Category: Security, Identity, & Compliance

This document delves into the core principles and security advantages of AWS KMS (Key Management Service) and Envelope Encryption—modern, enterprise-grade data protection technologies. We will demonstrate how Chaterm utilizes these technologies to construct a three-tier key architecture, achieving end-to-end data security and providing bank-level protection for sensitive digital assets such as user SSH keys and server configurations.

本文深入介绍了 亚马逊云科技 KMS (Key Management Service) 以及信封加密 (Envelope Encryption) 这一现代企业级数据保护技术的核心原理和安全优势。我们将展示 Chaterm 是如何运用这些技术构建三层密钥架构，实现数据的端到端安全，为用户的 SSH 密钥、服务器配置等敏感数字资产提供银行级别的安全保护。

账户安全是云安全的重中之重。许多用户在初期阶段并不清楚账户管理的重要性，以及如何有效地监控和管理控制台登录活动。分两篇博客，第一篇介绍了通过IAM用户和IAM Identity Center用户登录的认证过程和其中产生的EventBridge事件，以及如何创建简单的账户登录活动告警。第二篇介绍了如何通过自定义应用实现密码重试锁定用户的逻辑。

账户安全是云安全的重中之重。许多用户在初期阶段并不清楚账户管理的重要性，以及如何有效地监控和管理控制台登录活动。分两篇博客，第一篇介绍了通过IAM用户和IAM Identity Center用户登录的认证过程和其中产生的EventBridge事件，以及如何创建简单的账户登录活动告警。第二篇介绍了如何通过自定义应用实现密码重试锁定用户的逻辑。

Amazon Web Services 现已推出全新的网站分发与安全防护固定月费套餐（Flat-rate）方案，提供零超额费用（no overages） 的简化计费模式。该方案由 Amazon CloudFront 提供，将全球内容分发（CDN）与多项 AWS 服务和功能整合为一个按月计费的价格，无论你的网站因爆红导致流量激增，还是遭遇 DDoS 攻击，都不会产生额外费用，该方案大大提升了用户部署对外业务的在成本预估的便捷性与确定性，为用户提供一站式的方案。

在设计云架构时，身份层的多区域容灾设计与应用层同样重要——通过部署紧急破窗机制、使用区域STS端点和配置多区域身份联合，可确保在区域故障时仍能维持身份认证和访问控制的业务连续性。

今天，我们宣布对 Amazon GuardDuty 扩展威胁检测进行了新的增强，增加了针对 Amazon Elastic Compute Cloud（Amazon EC2）实例和 Amazon Elastic Container Service（Amazon ECS）任务的两项攻击序列调查发现。这些新的调查发现建立在现有的扩展威胁检测功能之上，这些功能已经结合了涉及 AWS Identity and Access Management（IAM）凭证滥用、异常 Amazon Simple Storage Service（Amazon S3）存储桶活动以及 Amazon Elastic Kubernetes Service（Amazon EKS）集群泄露的序列。通过增加对 EC2 实例组和 ECS 集群的覆盖范围，此次发布将序列级别的可见性扩展到支持相同应用程序的虚拟机和容器环境。这些功能共同为检测不同 Amazon Web Services（AWS）工作负载中的多阶段活动提供了一种更加一致和统一的方法。

如今，AWS Security Hub 已正式发布，改变了安全团队识别和应对 AWS 环境中的关键安全风险的方式。这些新功能首次在 AWS re:Inforce 2025 的 预览版中公布。Security Hub 会优先处理您的关键安全问题并统一安全操作，通过关联和丰富多项 AWS 安全服务之间的信号来帮助您进行大规模响应。Security Hub 提供近乎实时的风险分析、趋势、统一支持、简化的定价和自动关联功能，可将安全信号转换为切实可行的洞察。

今天，我们宣布推出 IAM Policy Autopilot，这是一款全新的开源模型上下文协议（MCP）服务器，能够分析应用程序代码，并帮助 AI 编程助手生成 AWS Identity and Access Management（IAM）基于身份的策略。IAM Policy Autopilot 能够为构建者提供可直接审阅并进一步优化的初始策略模板，从而大幅加速开发进程。它与 Kiro、Claude Code、Cursor、Cline 等主流 AI 编程助手集成，为这些工具注入 AWS Identity and Access Management（IAM）知识及 AWS 最新服务和功能的理解能力。IAM Policy Autopilot 无需额外付费、可在本地运行，您可通过访问我们的 GitHub 存储库开始使用该服务。

下周，千万不要错过 2025 年 12 月 1 日 – 5 日举行的 AWS re:Invent […]