Проектирование защищённой landing zone в AWS European Sovereign Cloud

AWS European Sovereign Cloud (EUSC) — это новое независимое облако для Европы, физически и логически отделённое от существующих регионов AWS и управляемое в пределах Европейского союза. Оно предоставляет те же сервисы, функции и API, что и коммерческие регионы AWS, но работает как отдельный партицион aws-eusc с собственным control plane, AWS Identity and Access Management (IAM), биллингом, консолью и endpoint'ами сервисов. Понимание границы партициона — ключ к правильным ответам на вопросы о сводном биллинге, single sign-on (SSO), кросс-аккаунтных ролях, AWS Direct Connect и распространении образов. В этой публикации рассматривается, как спроектировать защищённую и масштабируемую landing zone в AWS European Sovereign Cloud. Она охватывает структуру аккаунтов и управление, идентификацию как инфраструктуру как код (IaC), централизованное логирование в SIEM, защиту данных, проектирование сети и периметра, защищённые CI/CD и распространение артефактов, а также реагирование на инциденты. Все решения сопоставляются с AWS Security Reference Architecture (AWS SRA) и AWS Well-Architected Framework, а также отмечается, какие модели поведения являются платформенными границами суверенного партициона, а какие — конфигурационными решениями, которые можно адаптировать.

Подробности

Ключевая концепция: EUSC — это партицион. AWS группирует регионы в партиционы. Каждый регион находится ровно в одном партиционе, и каждый партицион содержит один или несколько регионов. Партиционы имеют независимые экземпляры AWS Identity and Access Management (IAM) и обеспечивают жёсткую границу между регионами разных партиционов. Коммерческие регионы AWS находятся в партиционе aws, регионы в Китае — в aws-cn, регионы AWS GovCloud — в aws-us-gov. AWS European Sovereign Cloud — это партицион aws-eusc с первым регионом в Бранденбурге, Германия (eusc-de-east-1). Некоторые сервисы AWS предоставляют кросс-региональную функциональность, например Amazon S3 Cross-Region Replication или AWS Transit Gateway Inter-Region peering. Эти возможности работают только между регионами внутри одного партициона. Нельзя использовать учётные данные IAM из одного партициона для взаимодействия с ресурсами в другом партиционе. Существуют практические различия, влияющие на архитектуру. Префикс ARN: arn:aws: в коммерческом AWS против arn:aws-eusc: в EUSC. Домен консоли или endpoint'а: amazonaws.com против amazonaws.eu. AWS Organizations: одна организация в партиционе против отдельной независимой организации. Это означает, что при проектировании landing zone в EUSC необходимо заново выстроить структуру организации, политики IAM, схемы биллинга и интеграции с внешними системами, поскольку они не переносятся автоматически из коммерческого партициона. Кросс-аккаунтные роли, федерация идентичности и SSO должны быть настроены независимо в границах aws-eusc.

Что делать

При построении landing zone в AWS European Sovereign Cloud рекомендуется: - Заранее определить границы партициона и не пытаться переиспользовать IAM-учётные данные, роли или организации из коммерческого AWS. - Спроектировать структуру аккаунтов и модель управления (governance) с учётом независимой AWS Organizations внутри aws-eusc. - Управлять идентификацией как инфраструктурой как код (IaC), чтобы обеспечить воспроизводимость и аудит. - Настроить централизованное логирование в SIEM с учётом новых endpoint'ов и домена amazonaws.eu. - Продумать защиту данных, дизайн сети и периметра, а также схему распространения образов и артефактов внутри партициона. - Выстроить безопасные процессы CI/CD и реагирования на инциденты с учётом изоляции партициона. - Сопоставить архитектуру с AWS Security Reference Architecture (AWS SRA) и AWS Well-Architected Framework. - Если требуется оценка соответствия требованиям C5:2020, обратиться к отчёту Landing Zone Accelerator Independent Assessment Report, доступному в AWS Artifact. Итог: AWS European Sovereign Cloud — это отдельный суверенный партицион с собственными границами IAM, биллинга и endpoint'ов, поэтому landing zone в нём следует проектировать с нуля, а не переносить из коммерческого AWS. Понимание границы партициона позволяет избежать ошибок в архитектуре безопасности, сети и управления доступом.

Источник: AWS Security Blog