Trusted Secure Enclaves on AWS 指引

步驟 1
具有多個帳戶的組織：組織將多個由單一客戶實體控制的單獨 AWS 帳戶進行分組。這可合併帳單、使用組織單位的群組帳戶，並有助於使用 SCP 來部署組織預防性控制。 

步驟 2
預防性安全控制：這些控制透過 SCP 來實作，可保護架構、防止防護機制停用，以及封鎖不良的使用者行為。SCP 提供一種防護機制，主要用於拒絕 AWS 帳戶、組織單位或組織層級的特定或整個類別的 API 作業。這些控制可用於確保工作負載僅部署在指定的 AWS 區域，或拒絕存取特定 AWS 服務。 

步驟 3
自動化：自動化可確保組織因佈設新的團隊和工作負載而新增 AWS 帳戶時，持續一致地套用防護機制。它可修復合規偏移，並在根組織帳戶中提供防護機制。

步驟 4
加密：具有客戶受管金鑰的 AWS Key Management Service (AWS KMS)，無論是在 Amazon Simple Storage Service (Amazon S3) 儲存貯體、Amazon Elastic Block Store (Amazon EBS) 磁碟區、Amazon Relational Database Service (Amazon RDS)，還是其他 AWS 儲存服務中，都使用 FIPS 140-2 驗證加密來加密存放的靜態資料。其使用 TLS 1.2 或更高版本來保護傳輸中的資料。

步驟 5
單一登入：AWS Identity and Access Management (IAM) 的一項功能，IAM Identity Center 用於在整個組織中的 AWS 帳戶為授權主體提供集中式 IAM 角色假設。組織的現有身分來源於客戶現有的 Active Directory (AD) 身分儲存或其他第三方身分提供者 (IdP)。 

AWS 使用驗證器應用程式、安全金鑰和內建驗證器執行多重要素驗證，支援 WebAuthn、FIDO2 和通用第二要素 (U2F) 驗證和裝置。

步驟 1
集中式日誌記錄：此架構規範了 AWS 服務和帳戶間的綜合日誌收集和集中化。AWS CloudTrail 日誌在整個組織範圍內運作，可在整個雲端環境提供完整的控制平面稽核功能。 

Amazon CloudWatch Logs 是一項雲端原生 AWS 日誌記錄服務，用於擷取各種日誌，包括作業系統和應用程式日誌、VPC 流量日誌，以及網域名稱系統日誌，這些日誌隨後會集中化，並且僅供定義的安全人員使用。

步驟 2
集中式安全監控：透過自動部署多種不同類型的偵測性安全控制，在客戶的 AWS 組織中顯示合規偏移和安全威脅。這包括在組織的每個帳戶中啟用多種 AWS 安全服務。 

這些安全服務包括 Amazon GuardDuty、AWS Security Hub、AWS Config、AWS Firewall Manager、Amazon Macie、IAM Access Analyzer 和 CloudWatch 警示。應將多帳戶環境中的控制和可視性委派給單一中央安全工具帳戶，以便在整個組織範圍內輕鬆洞察所有安全調查結果與合規偏差。

步驟 3
僅檢視存取權和可搜尋性：在整個組織中對安全帳戶提供僅檢視存取權 (包括對每個帳戶 CloudWatch 主控台的存取權)，以便在事件期間進行調查。 

僅檢視存取權與唯讀存取權不同，因為它不提供任何資料的存取權。提供選用附加元件，可取用綜合的集中式日誌，使其可搜尋，提供關聯性和基本儀表板。

步驟 1
集中式、隔離的聯網：透過 Amazon Virtual Private Cloud (Amazon VPC) 建置 VPC，可用於在工作負載之間建立資料平面隔離，並集中在共用網路帳戶中。集中化促進實現強大的職責分隔與成本優化。

步驟 2
中介連線：透過使用 AWS Transit Gateway、AWS Site-to-Site VPN、新一代防火牆和 AWS Direct Connect (如適用)，在輸入和輸出的中心點處理內部部署環境、網際網路輸出、共用資源和 AWS API 的中介連線。

步驟 3
替代選項：集中式 VPC 架構並非適用於所有客戶。對於不太關注成本優化的客戶，針對中央共用網路帳戶中，透過 Transit Gateway 互聯的本機帳戶 VPC，提供了一個選項。 

使用這兩種選項，架構規範了從 AWS 公有 API 端點到客戶的私有 VPC 位址空間的遷移，並使用集中式端點來提高成本效率。

步驟 4
集中式輸入和輸出基礎設施即服務 (IaaS) 檢查：通常會看到以 IaaS 為基礎的工作負載的集中式輸入和輸出要求。架構提供此功能，以便客戶能夠決定原生 AWS 輸入和輸出防火牆檢測服務 (例如 AWS Network Firewall、AWS WAF 或透過 Elastic Load Balancing (ELB) 的 Application Load Balancer) 是否符合其要求。 

如果不符合，客戶可使用第三方防火牆設備來增強這些功能。該架構支援從 AWS 防火牆開始，然後切換至第三方防火牆，或使用輸入和輸出防火牆技術的組合。

步驟 1
分割與區隔：該架構不僅僅在軟體開發生命週期不同階段的工作負載或不同 IT 管理角色之間 (例如，聯網、輸入和輸出防火牆以及工作負載之間) 提供強大的分割與區隔。 

它還提供強大的網路分區架構，透過將每個執行個體或元件封裝在 AWS Nitro System 硬體中強制執行的具狀態防火牆，以及使用 ELB 和 AWS WAF 等服務來對環境進行微型分割。

步驟 2
嚴格地強制執行所有網路流程，除非明確允許，否則在應用程式、應用程式內的層，以及應用程式層內的節點之間會封鎖橫向移動。此外，使用 CI/CD 架構建議，防止在開發、測試和生產之間進行路由，以實現開發人員敏捷性，並在適當核准的環境之間輕鬆提升程式碼。