Lindungi dan isolasi beban kerja sensitif Anda dengan enclave aman
Panduan ini menunjukkan cara Anda dapat membangun arsitektur cloud yang komprehensif untuk beban kerja yang sensitif dalam bidang keamanan nasional, pertahanan, dan penegakan hukum nasional. Dengan memanfaatkan arsitektur multi-akun di AWS, Anda dapat menyampaikan misi sambil menjaga data sensitif dan beban kerja tetap aman. Panduan ini dirancang untuk membantu Anda memenuhi persyaratan keamanan dan kepatuhan yang ketat dan unik, menangani manajemen identitas dan akses pusat, tata kelola, keamanan data, logging komprehensif, dan desain jaringan serta segmentasi yang selaras dengan berbagai kerangka kerja keamanan AS.
Perhatikan: [Penafian]
Diagram Arsitektur

-
Gambaran Umum
-
Akun Manajemen Organisasi
-
Akun Keamanan
-
Akun Infrastruktur
-
Aplikasi, Komunitas, Tim, atau Akun Grup (Sensitif)
-
Gambaran Umum
-
Diagram arsitektur ini memberikan gambaran umum tentang cara mengonfigurasi beban kerja multi-akun yang komprehensif dengan persyaratan keamanan dan kepatuhan yang unik. Untuk detail selengkapnya tentang cara menerapkan Panduan ini, buka tab lainnya.
Langkah 1
Organisasi di AWS Organizations dengan beberapa akun, dipandu oleh kebijakan kontrol layanan (SCP): Organisasi mengelompokkan beberapa akun AWS terpisah yang dikendalikan oleh satu entitas pelanggan. Akun-akun AWS terpisah menjadi isolasi bidang kontrol dan bidang data yang kuat yang memisahkan beban kerja atau lingkungan, seolah tiap akun dimiliki oleh satu pelanggan AWS. -
Akun Manajemen Organisasi
-
Diagram arsitektur ini menunjukkan cara suatu organisasi dapat mengelompokkan beberapa akun yang semuanya dikendalikan oleh satu entitas pelanggan. Ikuti langkah-langkah dalam diagram arsitektur ini untuk menerapkan bagian Akun Manajemen Organisasi dari Panduan ini.
Langkah 1
Organisasi dengan beberapa akun: Organisasi mengelompokkan beberapa akun AWS terpisah yang dikendalikan oleh satu entitas pelanggan. Model ini menggabungkan penagihan, mengelompokkan akun menggunakan OU, dan memfasilitasi deployment kontrol pencegahan organisasi menggunakan SCP. -
Akun Keamanan
-
Diagram arsitektur ini menunjukkan cara mengonfigurasi kumpulan log komprehensif secara terpusat di seluruh layanan dan akun AWS. Ikuti langkah-langkah dalam diagram arsitektur ini untuk menerapkan bagian Akun Keamanan dari Panduan ini.
Langkah 1
Logging terpusat: Arsitektur ini dirancang untuk pengumpulan log yang komprehensif dan sentralisasi di seluruh layanan dan akun AWS. Log AWS CloudTrail bekerja di seluruh organisasi guna memberikan auditabilitas menyeluruh terhadap bidang kontrol di seluruh lingkungan cloud. -
Akun Infrastruktur
-
Diagram arsitektur ini menunjukkan cara terbentuknya lingkungan jaringan terpusat dan terisolasi dengan Cloud Privat Virtual (VPC). Ikuti langkah-langkah dalam diagram arsitektur ini untuk menerapkan bagian Akun Infrastruktur dari Panduan ini.
Langkah 1
Jaringan terpusat dan terisolasi: VPC yang dibangun melalui Amazon Virtual Private Cloud (Amazon VPC) digunakan untuk mengisolasi bidang data di antara beban kerja, terpusat dalam satu akun jaringan bersama. Sentralisasi memfasilitasi segregasi tugas yang kuat dan pengoptimalan biaya. -
Aplikasi, Komunitas, Tim, atau Akun Grup (Sensitif)
-
Diagram arsitektur ini menunjukkan cara mengonfigurasi segmentasi dan pemisahan di antara beban kerja yang termasuk dalam berbagai tahapan dalam siklus pengembangan perangkat lunak, atau di antara peran administrasi TI yang berbeda. Ikuti langkah-langkah dalam diagram arsitektur ini untuk menerapkan bagian Aplikasi, Komunitas, Tim, atau Akun Grup dari Panduan ini.
Langkah 1
Segmentasi dan pemisahan: Arsitektur ini tidak hanya memberikan segmentasi dan pemisahan yang kuat di antara beban kerja yang termasuk dalam berbagai tahap dalam siklus pengembangan perangkat lunak atau di antara peran administratif TI yang berbeda (seperti antara jaringan, firewall masuk dan keluar, dan beban kerja).
Pilar Well-Architected

Kerangka Kerja AWS Well-Architected membantu Anda memahami keuntungan dan kerugian dari keputusan yang Anda buat saat membangun sistem di cloud. Enam pilar dari Kerangka Kerja ini memungkinkan Anda mempelajari praktik terbaik arsitektur untuk merancang dan mengoperasikan sistem yang andal, aman, efisien, hemat biaya, dan berkelanjutan. Dengan Alat AWS Well-Architected yang tersedia secara gratis di Konsol Manajemen AWS, Anda dapat meninjau beban kerja dan membandingkannya terhadap praktik terbaik ini dengan menjawab serangkaian pertanyaan untuk setiap pilar.
Diagram arsitektur di atas adalah contoh Solusi yang dibuat dengan mempertimbangkan praktik terbaik Well-Architected. Untuk menjadi Well-Architected sepenuhnya, Anda harus mengikuti praktik terbaik Well-Architected sebanyak mungkin.
-
Keunggulan Operasional
Panduan ini menggunakan stack dan konfigurasi Organisasi dengan AWS CloudFormation untuk menciptakan fondasi yang aman bagi lingkungan AWS Anda. Panduan ini menyediakan solusi infrastruktur sebagai kode (IaC) yang mempercepat implementasi kontrol keamanan teknis Anda. Aturan konfigurasi memperbaiki delta konfigurasi apa pun yang telah ditentukan agar tidak berdampak negatif terhadap arsitektur yang ditentukan. Anda dapat menggunakan infrastruktur komersial global AWS untuk beban kerja rahasia yang sensitif dan mengotomatiskan sistem aman untuk mengirimkan misi dengan lebih cepat sambil terus meningkatkan proses dan prosedur Anda.
-
Keamanan
Panduan ini menggunakan Organisasi untuk memfasilitasi deployment pagar pembatas organisasi, seperti logging API dengan CloudTrail. Panduan ini juga menyediakan kontrol pencegahan menggunakan AWS SCP preskriptif sebagai mekanisme pagar pembatas, terutama digunakan untuk menolak kategori API tertentu atau keseluruhan dalam lingkungan Anda (guna memastikan beban kerja hanya diterapkan di Region yang ditentukan) atau menolak akses ke layanan AWS tertentu. Log CloudTrail dan CloudWatch memungkinkan pengumpulan log komprehensif yang ditentukan dan sentralisasi di seluruh layanan dan akun AWS. Kemampuan keamanan AWS dan banyak layanan yang relevan dengan keamanan dikonfigurasi dalam pola yang ditentukan guna membantu Anda memenuhi berbagai persyaratan keamanan paling ketat di dunia.
-
Keandalan
Panduan ini menggunakan beberapa Zona Ketersediaan (AZ), sehingga hilangnya satu AZ tidak memengaruhi ketersediaan aplikasi. Anda dapat menggunakan CloudFormation untuk mengotomatiskan penyediaan dan pembaruan infrastruktur Anda dengan cara yang aman dan terkontrol. Panduan ini juga menyediakan aturan bawaan untuk mengevaluasi konfigurasi sumber daya AWS dan perubahan konfigurasi dalam lingkungan Anda. Anda juga dapat membuat aturan khusus di AWS Lambda untuk menentukan praktik dan pedoman terbaik. Anda dapat mengotomatiskan kemampuan untuk menskalakan lingkungan Anda agar memenuhi permintaan dan mengurangi gangguan seperti kesalahan konfigurasi atau masalah jaringan sementara.
-
Efisiensi Performa
Panduan ini menyederhanakan manajemen infrastruktur cloud dengan memanfaatkan Gateway Transit, yang berfungsi sebagai hub pusat penghubung beberapa VPC melalui satu gateway, sehingga lebih mudah untuk menskalakan dan memelihara arsitektur jaringan. Cara ini menyederhanakan arsitektur jaringan Anda dan memfasilitasi routing lalu lintas yang efisien di antara berbagai akun AWS dalam organisasi Anda.
-
Optimisasi Biaya
Dengan Panduan ini, Anda dapat menghindari atau memangkas biaya yang tidak diperlukan atau penggunaan sumber daya yang tidak optimal. Organisasi menyediakan penagihan terpusat dan terkonsolidasi, memfasilitasi pemisahan yang kuat antara penggunaan sumber daya dan pengoptimalan biaya. Panduan ini dirancang untuk pemindahan titik akhir API publik AWS ke ruang alamat VPC pribadi Anda, menggunakan titik akhir terpusat untuk efisiensi biaya. Selain itu, Anda dapat menggunakan AWS Cost and Usage Reports (AWS CUR) untuk melacak penggunaan AWS dan memperkirakan biaya.
-
Keberlanjutan
Panduan ini membantu Anda mengurangi jejak karbon yang terkait dengan pengelolaan beban kerja di pusat data Anda sendiri. Infrastruktur global AWS menyediakan infrastruktur pendukung (seperti daya, pendinginan, dan jaringan), tingkat pemanfaatan yang lebih tinggi, dan penyegaran teknologi yang lebih cepat daripada pusat data biasa. Selain itu, segmentasi dan pemisahan beban kerja membantu Anda mengurangi pergerakan data yang tidak perlu, dan Amazon S3 menawarkan tingkatan penyimpanan dan kemampuan untuk memindahkan data secara otomatis ke tingkatan penyimpanan yang efisien.
Sumber Daya Implementasi

Kode sampel adalah titik awal. Kode sampel ini divalidasi industri, bersifat preskriptif tetapi tidak definitif, dan menjadi sarana untuk mencoba sebelum menggunakannya.
Konten Terkait

Konfigurasi Sampel TSE-SE (dengan mesin otomatisasi LZA)
Trusted Secure Enclaves - Sensitive Edition
Penafian
Kode sampel; pustaka perangkat lunak; alat baris perintah; bukti konsep; templat; atau teknologi terkait lainnya (termasuk yang sebelumnya disediakan oleh personel kami) disediakan untuk Anda sebagai Konten AWS berdasarkan Perjanjian Pelanggan AWS, atau perjanjian tertulis yang relevan antara Anda dan AWS (mana saja yang berlaku). Anda tidak boleh menggunakan Konten AWS ini di akun produksi Anda, atau pada produksi atau data penting lainnya. Anda bertanggung jawab untuk menguji, mengamankan, dan mengoptimalkan Konten AWS, seperti kode sampel, yang sesuai untuk penggunaan tingkat produksi berdasarkan praktik dan standar kontrol kualitas spesifik Anda. Melakukan deployment Konten AWS dapat dikenai biaya AWS untuk membuat atau menggunakan sumber daya AWS berbayar, seperti menjalankan instans Amazon EC2 atau menggunakan penyimpanan Amazon S3.
Referensi ke layanan atau organisasi pihak ketiga dalam Panduan ini tidak menyiratkan dukungan, sponsor, atau afiliasi antara Amazon atau AWS dan pihak ketiga. Panduan dari AWS adalah titik awal teknis, dan Anda dapat menyesuaikan integrasi Anda dengan layanan pihak ketiga saat melakukan deployment arsitektur.