Wiz 通过迁移到 Amazon Cognito 支持 FedRAMP 授权

Wiz 成立于 2020 年，致力于通过统一的云安全解决方案帮助各个组织保护他们的云环境。Wiz 的安全解决方案通过在云环境之间创建一个归一化层来发挥作用。此层可以帮助客户识别和消除风险。在最初的三年里，Wiz 为他们的企业对企业（B2B）软件即服务解决方案提供了 50 多项 AWS 服务。

在迁移到 Amazon Cognito 之前，Wiz 将一款第三方 CIAM 解决方案用作他们的主要身份验证服务。然而，Wiz 的开发人员必须进行特殊配置才能部署新的功能。“关于如何添加更多功能以支持不断增长的企业客户，我们有过很多想法，”Wiz 的 EMEA 地区首席技术官 Solal Raveh 表示。“我们不得不花费多得多的工程时间来实现这些功能。”

Wiz 的大多数技术堆栈都是在 AWS 上构建的，这是促使该团队决定使用 Amazon Cognito 的一个因素。“AWS 服务可以在我们的身份验证流程中互连，这一能力可以说是一张中奖彩票，”Raveh 说道。此外，使用 Amazon Cognito，Wiz 的客户能够选择他们希望将用户资料数据存储到哪个区域。通过选择他们的 AWS 区域，Wiz 的客户可以遵守《通用数据保护条例》（GDPR）等法规，该条例要求企业管理特定地理位置内的数据。

为了使用 Amazon Cognito 为他们的产品提供支持并自动执行身份验证流程的逻辑，Wiz 使用了 AWS Lambda，这是一项无服务器的事件驱动型计算服务。为了安全地存储客户的元数据，Wiz 使用了 Amazon DynamoDB，这是一个无服务器、NoSQL、完全托管式数据库，在几乎任何规模下都能提供个位数毫秒级性能。

Wiz 的很多客户都在受到严格监管的行业和区域开展业务；因此，当迁移用户存储功能时，服务可用性是重中之重。因此，Wiz 团队决定开发他们的基础设施，以支持来自 Amazon Cognito 和以前的提供商的令牌。Wiz 为他们的客户构建了一个基于 API 的自助服务门户，以鼓励他们将用户迁移到 Amazon Cognito。“我们将门户体验嵌入到我们的解决方案中，这样，租户管理员就可以根据需要迁移任何内容，”Raveh 表示。

此门户将引导客户完成四个主要步骤：设置和测试他们的新单点登录入口、将用户和脚本管道迁移到 Amazon Cognito、验证用户身份，以及清理 Wiz 现有 CIAM 提供商的剩余构件。“我们让我们的客户选择适合迁移的时间，同时为他们提供执行迁移的工具，”Raveh 说道。“我们还发布了一篇博客，其中解释了我们为何决定迁移到 Amazon Cognito，以使他们参与决策。”

为了进一步鼓励他们的客户迁移，Wiz 团队推出了一些新功能，例如多租户流程和灾难恢复。“通过将 AWS 服务用作 Amazon Cognito 的构建块，我们可以更加灵活、精细地开发我们的解决方案，并履行高服务水平协议，”Raveh 表示。随着客户迁移到 Amazon Cognito，Wiz 将他们的 CIAM 成本降低了 70%。

截至 2023 年 10 月，99.5% 的 Wiz 客户将他们的用户迁移到了 Amazon Cognito。这样，客户就实现了 99.9% 以上的可用性，因此得以立即提高了他们的可靠性。Wiz 的基于云的解决方案 Wiz for Government 还获得了 FedRAMP 授权。“由于使用了 Amazon Cognito，而且所有动态部分都符合监管要求，因此我们能够为我们的客户提供服务并实现我们的目标，”Raveh 说道。