การเข้าถึงของผู้ปฏิบัติงานบน AWS

เราออกแบบระบบและบริการหลักของ AWS จำนวนมากให้ทำงานได้โดยที่ผู้ปฏิบัติงานไม่ต้องเข้าถึง ซึ่งรวมถึง AWS Key Management Service (AWS KMS), Amazon EC2 (ผ่าน AWS Nitro System), AWS Lambda, Amazon Elastic Kubernetes Service (Amazon EKS) และ AWS Wickr บริการเหล่านี้ไม่กำหนดให้ผู้ปฏิบัติงานของ AWS ต้องเข้าถึงข้อมูลของลูกค้าเลย แต่ระบบและบริการจะได้รับการบริหารจัดการผ่านระบบอัตโนมัติและ API ที่ปลอดภัย ซึ่งจะปกป้องข้อมูลของลูกค้าไม่ให้เปิดเผยทั้งโดยตั้งใจหรือไม่ตั้งใจ

AWS ใช้โมเดลการให้สิทธิ์เท่าที่จำเป็นเสมอเพื่อลดจำนวนบุคลากรที่สามารถเข้าถึงระบบที่ประมวลผลข้อมูลลูกค้า ดังนั้นเราจึงขอรับรองว่าพนักงาน Amazon ทุกคนจะมีสิทธิ์เข้าถึงระบบขั้นต่ำตามที่จำเป็นในการทำงานที่ได้รับมอบหมายหรือความรับผิดชอบในการทำงานเท่านั้น โดยจะจำกัดเฉพาะเวลาที่ต้องใช้สิทธิ์ดังกล่าวนั้น การเข้าถึงระบบที่จัดเก็บหรือประมวลผลข้อมูลหรือข้อมูลเมตาของลูกค้าจะมีการบันทึก ตรวจติดตามหาความผิดปกติ และตรวจสอบ AWS ป้องกันการกระทำทุกประเภทเพื่อปิดการทำงานหรือหลีกเลี่ยงการควบคุมเหล่านี้

นอกจากนี้ เรายังใช้หลักการให้สิทธิ์เท่าที่จำเป็นกับสถานะของระบบและบริการ AWS AWS ปฏิบัติเกินมาตรฐานอุตสาหกรรมในหัวข้อนี้ AWS Identity and Account Management (IAM) ช่วยให้ลูกค้าระบุการให้สิทธิ์ได้อย่างละเอียดโดยใช้บทบาทใน IAM - ซึ่งช่วยให้ลูกค้าควบคุมบุคคลที่จะสามารถเข้าถึงสิ่งต่าง ๆ ได้อย่างรอบคอบ นอกจากนี้ เรายังเพิ่มเลเยอร์การรักษาความปลอดภัยที่ไม่ซ้ำกันเพิ่มเติมที่เรียกว่า Forward Access Sessions (FAS) ซึ่งช่วยรับรองความมั่นใจได้ว่าสิทธิ์ที่ละเอียดอ่อนจะอยู่ในขอบเขตการให้อนุญาตของลูกค้า บริการ AWS เช่น Amazon EC2 และ Amazon Simple Storage Service (Amazon S3) ยังช่วยให้ลูกค้าเข้ารหัสข้อมูล ซึ่งแม้แต่ AWS ก็ไม่สามารถใช้คีย์เข้ารหัสของลูกค้าได้โดยไม่ได้รับอนุญาตจากลูกค้าโดยตรง โดยจะบังคับใช้โดย FAS ซึ่งรับรองว่าลูกค้าจะได้รับอนุญาตให้ดำเนินการนี้ นอกจากนี้ การดำเนินการเหล่านี้ ซึ่งรู้จักกันในชื่อการดำเนินงานของบริการ "ในนามของ" จะได้รับการบันทึกและแสดงให้ลูกค้าเห็นใน AWS CloudTrail โดยการออกแบบแล้ว ไม่มีคีย์ระดับ Super-User ที่อนุญาตให้บริการของ AWS เข้าถึงทรัพยากรของลูกค้าในบริการอื่นได้โดยไม่ได้รับการอนุมัติอย่างชัดแจ้ง

AWS ออกแบบระบบของเราเพื่อความมั่นใจว่าจะมีการบันทึกและตรวจติดตามจากส่วนกลางกับการดำเนินการด้านการบริหารจัดการระบบทั้งหมด เพื่อเป็นการป้องกันไม่ให้ผู้ปฏิบัติงานเข้าถึงระบบที่มีข้อมูลลูกค้า การดำเนินการทั้งหมดของผู้ปฏิบัติงานสามารถตรวจสอบย้อนกลับไปถึงรายละเอียดการพิสูจน์หลักฐานอย่างละเอียด ไปจนถึงบุคคลจริงที่ดำเนินการนั้น โดยจะไม่มีการปิดบังตัวตนด้วยบัญชีที่ใช้ร่วมกันภายในทีม การเข้าถึงจะได้รับการตรวจติดตามกิจกรรมที่ผิดปกติในแบบเรียลไทม์ ซึ่งรวมถึงความผิดพลาดที่อาจเกิดขึ้นหรือกิจกรรมที่น่าสงสัย และผู้จัดการรวมถึงทีมผู้บริหารของผู้ปฏิบัติงาน AWS ตลอดจนองค์กรด้านการรักษาความปลอดภัยอิสระของ AWS จะได้รับสรุปของกิจกรรมดังกล่าวทั้งหมดเป็นระยะ การตรวจติดตามนี้แบ่งออกเป็นหลายระดับ รวมถึงเอเจนต์ลงข้อมูลบันทึกบนโฮสต์ที่จะส่งเหตุการณ์ในระบบส่วนย่อยไปยังระบบรวมข้อมูลบันทึกส่วนกลางที่ดำเนินงานโดยทีมรักษาความปลอดภัยของ AWS ได้อย่างรวดเร็ว และการแจ้งเตือนแบบเรียลไทม์ หากเอเจนต์บนโฮสต์หยุดทำงาน ไม่ว่าจะด้วยเหตุผลใดก็ตาม โดยจะเสริมด้วยการติดตามตรวจติดตามระดับเครือข่าย, การติดตามตรวจสอบบริการ Bastion และการควบคุมอื่น ๆ

บุคลากรของ AWS จะดำเนินการทั้งหมดผ่านอินเทอร์เฟซที่ปลอดภัยเพื่อรับรองความมั่นใจว่าผู้ปฏิบัติงานดังกล่าวมีเวิร์กสเตชันที่ทันสมัยและปลอดภัย, มีโทเค็นรักษาความปลอดภัยฮาร์ดแวร์ที่ผ่านการตรวจสอบจาก FIPS แล้ว และได้รับการตรวจสอบสิทธิ์อย่างถูกต้อง อินเทอร์เฟซเหล่านี้ช่วยให้ผู้ปฏิบัติงาน AWS มีข้อมูลประจำตัวระยะสั้นชั่วคราว และยังติดตามตรวจติดตามกิจกรรมทั้งหมดโดยใช้กลไกที่ไม่สามารถข้ามหรือหลีกเลี่ยงได้ อินเทอร์เฟซที่ปลอดภัยสำหรับผู้ปฏิบัติงานนี้จะอนุญาตเฉพาะการปฏิบัติงานที่จำกัดเอาไว้เท่านั้น โดยจะไม่เปิดเผยข้อมูลของลูกค้า และบังคับใช้การอนุมัติสำหรับหลายบุคคลเพื่อการดำเนินการที่ละเอียดอ่อน

หากจำเป็นต้องเข้าถึงทรัพยากรภายในที่อาจจัดเก็บหรือประมวลผลข้อมูลของลูกค้า เช่น เพื่อแก้ปัญหาหรือแก้ไขปัญหาที่เกี่ยวข้องกับบริการ เราจะเพิ่มเลเยอร์การควบคุมเพิ่มเติมเพื่อจำกัด ประเมิน และตรวจติดตามการเข้าถึงของผู้ปฏิบัติงาน

บุคลากร AWS Support ที่ให้ความช่วยเหลือลูกค้าตามคำขอจะไม่สามารถเข้าถึงข้อมูลของลูกค้าได้ สิทธิ์การอนุญาตทั้งหมดของ AWS IAM ที่ใช้เพื่อวัตถุประสงค์ให้ความช่วยเหลือจะได้รับการลงบันทึกอย่างละเอียด และเข้าถึงได้โดยบทบาทเฉพาะที่ลูกค้า AWS แต่ละรายจะสามารถปิดการใช้งานได้ การใช้บทบาทเฉพาะเหล่านี้จะลงบันทึกเป็นข้อมูลใน AWS CloudTrail เช่นกัน

AWS ดำเนินงานการศูนย์ข้อมูลที่ปลอดภัยเพื่อลดความเสี่ยงลดความเสี่ยงจากการดักฟังเครือข่าย การโจรกรรม หรือการโจมตีทางกายภาพอื่น ๆ เราใช้หลักการให้สิทธิ์เท่าที่จำเป็นเพื่อตรวจสอบคำขอการเข้าถึง คำขอเหล่านั้นจะต้องเจาะจงเลเยอร์ของศูนย์ข้อมูลที่จำเป็นต่อบุคลากรแต่ละราย และต้องกำหนดเวลาไว้ จะไม่อนุญาตให้นำสื่อเก็บข้อมูลอิเล็กทรอนิกส์ออกจากศูนย์ข้อมูล AWS โดยไม่ทำลายตัวอุปกรณ์หรือลบพร้อมเข้ารหัส โดยใช้เทคนิคที่ลงรายละเอียดเอาไว้ใน NIST 800-88 เครือข่าย หน่วยความจำ และพื้นที่จัดเก็บของบริการและระบบ AWS รองรับการเข้ารหัสตลอดเวลา ในหลายกรณี มีการเข้ารหัสตลอดเวลาอย่างน้อยสองชั้นเพื่อความมั่นใจว่าเฉพาะระบบที่รับผิดชอบการประมวลผลข้อมูลของลูกค้าเท่านั้นที่จะเข้าถึงข้อมูลดังกล่าวได้

AWS ใช้การตรวจสอบและถ่วงดุลทั้งในระดับองค์กรและทางเทคนิค เพื่อรับรองความมั่นใจว่าไม่มีเหตุการณ์ด้านความปลอดภัยใดที่จะเล็ดลอดไม่ถูกตรวจพบ และไม่มีบุคคลหรือกลุ่มใดที่สามารถล้มล้างการควบคุมที่สำคัญด้านความปลอดภัยได้ ระบบควบคุมการเข้าถึงและระบบตรวจติดตามการเข้าถึงของ AWS ออกแบบมาเพื่อให้แต่ละทีมใช้งานโดยไม่ข้องเกี่ยวกัน

เราออกแบบ AWS ด้วยมาตรการรักษาความปลอดภัยด้วยการป้องกันในเชิงลึก รวมถึงการควบคุมการเปลี่ยนแปลง, ความสามารถของบันทึกที่ไม่สามารถเปลี่ยนแปลงได้, การแยกหน้าที่, การอนุมัติจากหลายฝ่าย, กลไกการอนุญาตแบบมีเงื่อนไข และเครื่องมือการปฏิบัติงานแบบไม่ต้องสัมผัส มาตรการรักษาความปลอดภัยเหล่านี้สูงเกินกว่าแนวทางปฏิบัติด้านความปลอดภัยมาตรฐาน เพื่อให้การดำเนินการของผู้ปฏิบัติงาน AWS มีความปลอดภัย โปร่งใส มีการลงบันทึก และมีการตรวจสอบ

เราใช้กลุ่มการให้สิทธิ์เพื่อจัดสรรการเข้าถึงทรัพยากร ซึ่งเป็นเครื่องมือการให้สิทธิ์อนุญาตเพื่อบริหารจัดการการเป็นสมาชิกกลุ่มสิทธิ์และเป็นเครื่องมือที่ปลอดภัยที่ช่วยให้ผู้ปฏิบัติงานที่ได้รับอนุญาตสามารถดำเนินการบำรุงรักษาและแก้ไขปัญหาระบบโดยไม่ต้องเข้าถึงทรัพยากรที่จะให้บริการโดยตรง นอกจากนี้เรายังอัปเดตสมาชิกโดยอัตโนมัติ เมื่อพนักงานเปลี่ยนบทบาทหรือลาออกจากบริษัท