Category: Security

本文讲解加密相关知识、信封加密原理、KMS密钥类型、KMS与实际服务集合使用。同时针对常见的加密需求，本文将介绍AWS Encrption SDK对文件加密场景，并给出AWSCLI、CLI命令示例、Python代码示例供参考。此外，本文还介绍了使用KMS保护Data Key并使用对称加密算法对字符串加密、非对称加密算法对字符串加密等场景，同时也给出了Python代码示例。

一、背景

1、什么是SAML

SAML是用于单点登录认证的通用协议，以XML格式为基础进行配置交换。负责用户认证的系统可被称为SSO平台，可以是基于Active Directory Federation Service构建，也可以是用户自行开发的统一认证平台。应用系统指的是与SSO平台对接的业务软件，例如OA、ERP、代码管理系统等软件。当使用SSO方式登录时候，应用系统本身不需要额外管理用户分组、密码、校验等，也就避免了在多个应用软件之间同步用户清单、同步用户密码的麻烦。

使用SSO是安全领域的最佳实践之一。

一、背景

在AWS安全最佳实践中，为EC2分配公有IP地址并开放安全规则住允许从互联网上任意地址（也就是来源为0.0.0.0/0）访问操作系统的SSH/RDP是非常不安全的，有非常大的安全隐患。以近期的SSH漏洞

 https://explore.alas.aws.amazon.com/CVE-2024-6387.html 

为例，这样开放端口可能导致几分钟内系统被侵入。为了规避这个安全风险，一般采用如下方式：

提示：本文详细阅读需要20-30分钟时间

概述：本文以使用S3+Glue+Redshift+MWAA（Airflow）为例，介绍使用两种不同方式区分Prod环境和Test环境的权限。

目录如下：

• 一、如何定义多账号和单账号
• 二、多账号的隔离效果测试
• 三、单账号下多用户的隔离效果测试
• 四、二者对比
• 五、小结

一、背景

计算机信息系统等级保护（俗称等保）的要求之一是应用服务器具有病毒防护手段，并定期升级病毒特征库。这个防护场景通常被称为Endpoint Detection and Response（EDR），也可简称终端防护。EDR一般是采用侵入性的防护方式。所谓侵入性意味着需要在EC2虚拟机内植入专门的Agent才可以进行安全防护。在亚马逊云科技上，可通过Marketplace方式订阅多个第三方厂家的EDR，也可以线下采购。

商用的EDR方案有完整的检测、识别、发现、预防、干预、强化、集中管控等一整套管理功能，不过相对带来的问题是成本较高。在一些非严格等保的场合，如果只是要求实现病毒扫描和防护能力，那么可使用本文介绍的ClamAV方案进行替代。

一、背景

Route53支持对特定VPC内发起的DNS请求进行记录，由此可以记录VPC内应用对外访问的请求信息。仅限域名，通过IP直接访问的不会记录。

本文介绍如何开启Route53的DNS日志，然后将其输出到CloudWatch的日志组的这样一个简单场景。在生产环境中，日志信息还可以输出到Kinesis或者OpenSearch，以便于各种分析。如果是低频分析，审计用途为主，也可以将日志输出到S3存储桶。

请注意：Query logging功能是记录日志的审计能力，不是实时阻断。如果您需要实施阻断，那么应该考虑Route53 DNS Firewall（2022年10月AWS中国区也上线了此功能），或者使用Network Firewall（简称NFW），或者使用网络流量深度检测的终极解决方案Gateway Load Balancer（简称GWLB）。因此基于以上的信息，可选择一个合适的方案。

本文以中国区为例进行配置，配置将默认VPC的日志输出到CloudWatch日志组。

HIPAA 是《健康保险流通与责任法案》。 制定 HIPAA 是为了提高医疗保健系统的效率和有效性，并建立美国联邦安全标准来保护受保护的健康信息 (PHI) 的安全和隐私。

HIPAA is the Health Insurance Portability and Accountability Act. HIPAA was enacted to improve the efficiency and effectiveness of the health care system and establishes federal security standards to protect the security and privacy of Protected Health Information (PHI).

一、背景

在某些环境内，需要为某个系统生成一个临时访问授权，例如某应用允许用户发起对S3存储桶的特定目录的写入操作，而且有超时时间，过期后失效。此时，可使用STS服务临时生成AK/SK密钥，然后将临时AK/SK作为应用程序上传时候调用的角色即可。

本文编写参考了这篇博客，并针对AWS中国区的IAM策略添加了aws-cn标签。