AWS 上 Trusted Secure Enclaves 的指南

第 1 步
具有多个账户的组织：该组织将多个单独的 AWS 账户分组，由单个客户实体控制。这可以整合账单、使用 OU 对账户进行分组，并有助于使用 SCP 部署组织的预防性控制措施。 

第 2 步
预防性安全控制措施：这些由 SCP 实施的控制措施可以保护架构、防止防护机制失效并阻止不良的用户行为。SCP 提供了一种防护机制，主要用于拒绝 AWS 账户、OU 或组织级别的特定或整个类别的 API 操作。它们可用于确保工作负载仅部署在规定的 AWS 区域或拒绝访问特定的 AWS 服务。 

第 3 步
自动化：当组织添加新的 AWS 账户、引入新团队和新工作负载时，自动化可确保始终如一地应用防护机制。它可以纠正合规性偏差并在根组织账户中提供防护机制。

第 4 步
加密：使用客户管理密钥的 AWS Key Management Service（AWS KMS）使用经过 FIPS 140-2 验证的加密对静态存储的数据进行加密，无论是在 Amazon Simple Storage Service（Amazon S3）存储桶、Amazon Elastic Block Store（Amazon EBS）卷、Amazon Relational Database Service（Amazon RDS）数据库还是其他 AWS 存储服务中。它使用 TLS 1.2 或更高版本来保护传输中数据。

第 5 步
单点登录：作为 AWS Identity and Access Management（IAM）的一项功能，IAM Identity Center 用于授权主体在整个组织内 AWS 账户承担集中式 IAM 角色。组织的现有身份可以来自客户现有的 Active Directory（AD）身份存储或其他第三方身份提供者（IdP）。 

AWS 使用身份验证器应用程序、安全密钥和内置身份验证器促进多重身份验证实施，支持 WebAuthn、FIDO2 和通用双重（U2F）身份验证和设备。

第 1 步
集中式日志记录：此架构规定跨 AWS 服务和账户的全面日志收集和集中化。AWS CloudTrail 日志适用于整个组织范围内，以在整个云环境中提供完整的控制平面可审计性。 

Amazon CloudWatch Logs 是一种云原生 AWS 日志记录服务，用于捕获各种日志，包括操作系统和应用程序日志、VPC 流日志和域名系统日志，然后将这些日志集中起来，并仅供指定的安全人员使用。

第 2 步
集中式安全监控：通过自动部署多种不同类型的检测安全控件，可以显示客户 AWS 组织中的合规性偏差和安全威胁。这包括在组织的每个账户中激活多种 AWS 安全服务。 

这些安全服务包括 Amazon GuardDuty、AWS Security Hub、AWS Config、AWS Firewall Manager、Amazon Macie、IAM Access Analyzer 和 CloudWatch 警报。应将多账户环境中的控制和可见性委托给单个中央安全工具账户，以便在整个组织范围内轻松查看所有安全调查发现和合规性偏差。

第 3 步
“仅查看”访问权限和可搜索性：安全账户在整个组织内提供“仅查看”访问权限（包括访问每个账户的 CloudWatch 控制台），以便在事件发生时进行调查。 

“仅查看”访问权限与只读访问权限的不同之处在于，它不提供对任何数据的任何访问权限。可以使用可选的附加组件来使用全面的集中日志，使其可搜索，并提供相关性和基本控制面板。

第 1 步
集中式、隔离式网络：通过 Amazon Virtual Private Cloud（Amazon VPC）构建的 VPC 用于在工作负载之间创建数据平面隔离，并集中在共享网络账户中。集中化有助于实现强有力的职责分工和成本优化。

第 2 步
传递连接：通过使用 AWS Transit Gateway、AWS Site-to-Site VPN、下一代防火墙和 AWS Direct Connect（如适用），在入口和出口的中心点传递与本地环境、互联网出口、共享资源和 AWS API 的连接。

第 3 步
替代选项：集中式 VPC 架构并不适合所有客户。对于不太关心成本优化的客户，可以选择通过中央共享网络账户中的 Transit Gateway 互连的、基于本地账户的 VPC。 

在这两种选择下，架构都规定将 AWS 公共 API 端点移至客户的专用 VPC 地址空间，从而使用集中式端点来提高成本效益。

第 4 步
集中式入口和出口基础设施即服务（IaaS）检查：对于基于 IaaS 的工作负载，集中式入口和出口要求很常见。架构提供此功能，因此客户可以确定原生 AWS 入口和出口防火墙检查服务（例如 AWS Network Firewall、AWS WAF 或通过弹性负载均衡（ELB）运行的应用程序负载均衡器）是否满足其要求。 

如果不能，客户可以使用第三方防火墙设备增强这些功能。架构支持从 AWS 防火墙开始，然后切换到第三方防火墙，或者使用入口和出口防火墙技术的组合。

第 1 步
分段和分离：该架构不仅在属于软件开发生命周期不同阶段的工作负载之间或不同 IT 管理角色之间（例如网络、入口和出口防火墙以及工作负载之间）提供强大的分段和分离。 

它还提供强大的网络分区架构，通过将每个实例或组件包装在 AWS Nitro System 硬件中强制执行的状态防火墙中，以及 ELB 和 AWS WAF 等服务来对环境进行微分段。

第 2 步
所有网络流都得到严格执行，除非明确允许，否则将阻止应用程序、应用程序内的层和应用程序层中的节点之间的横向移动。此外，通过 CI/CD 架构上的建议阻止开发、测试和生产之间的路由，以实现开发人员的敏捷性并在获得适当批准的情况下简化环境之间的代码升级。