Hallo und willkommen zurück.
Im heutigen Video werden wir über Strategien zur Verwendung von Dienstkontrollrichtlinien sprechen.
Im Großen und Ganzen gibt es zwei Hauptstrategien, mit denen Sie die Schritte in Ihrem Konto
konfigurieren können.
Die eine ist die auf der Verweigerungsliste basierende Strategie, die zweite ist die auf der Erlaubnisliste basierende Strategie.
In unserem heutigen Video werden wir beide Themen ausführlich behandeln.
Der erste primäre Ansatz ist die Ablehnungsliste, und in der Ablehnungsliste werden die Aktionen standardmäßig auf IP-Ebene
zugelassen.
Und dann geben Sie an, welche Dienste und Aktionen Sie verweigern möchten.
Wenn wir nun über Organisationen und Dienstkontrollrichtlinien sprechen, verwenden sie standardmäßig
diese auf Verweigerungslisten basierende Strategie, und dies wird durch die Verwendung der Vollzugriffs-CB-Richtlinie erreicht, die mit dem Stamm verknüpft
ist.
Wenn wir uns nun kurz ansehen, wie diese vollständige Zugriffsrichtlinie aussieht, ist dies die Richtlinienanweisung,
bei der standardmäßig alles erlaubt ist.
Dies könnte ein wenig verwirrend sein, da die Strategie der Verweigerung tatsächlich erlaubt ist.
Das ist also zunächst einmal etwas verwirrend.
Lassen Sie uns auch dies kurz untersuchen.
Jetzt bin ich in einer Organisation, in der das IPS nicht aktiviert ist.
Wenn Sie sich also eines der Konten hier ansehen, dann gibt es in diesem Stadium
keine zugehörigen Policen.
Wenn wir die Dienstkontrollrichtlinien aktivieren, sehen wir in diesem Stadium, dass eine primäre
Richtlinie erstellt wird, nämlich Vollzugriff.
Die Art ist eine verwaltete Politik.
Und wenn man sich diese Richtlinienziele ansieht, sind sie mit dem Stamm und allen Konten verbunden, die
jetzt Teil dieses Basisansatzes sind.
Wenn man sich die allgemeine politische Erklärung ansieht, ist alles erlaubt.
Standardmäßig wird also alles auf der SP-Ebene zugelassen, und Sie verweigern dann ausdrücklich alle Dienste, die Sie verbieten
möchten.
Wenn Sie beispielsweise nicht möchten, dass sich jemand mit dem Dienst verbindet, fügen Sie explizit eine Deny-Anweisung hinzu.
Da es sich um eine verwaltete Richtlinie handelt, gibt es bestimmte Einschränkungen, so dass Sie neue Richtlinien
erstellen können.
Sie können dann verschiedene Vorgänge nicht durchführen.
Wenn Sie ihn zum Beispiel löschen wollen, sollten Sie ihn als Vollzugriff ausprobieren.
Und wie Sie in der Beschreibung sehen, können Sie die Richtlinie nicht ändern und verwalten.
Sie sind einfach großartig zu lesen.
Mit diesem grundlegenden Verständnis sollten wir uns nun einige der Vorteile dieser Art von Strategie ansehen.
Wie wir bereits wissen, kann der Kontoverwalter mit der Verweigerungsstrategie alle Dienste und Aktionen delegieren,
bis Sie eine angehängte CFP erstellen, die einen bestimmten Dienst verweigert.
Standardmäßig wird also alles erlaubt sein.
Und dann fügen Sie die explizite Verweigerungsrichtlinie hinzu, um einen bestimmten Dienst oder eine Aktion zu verweigern.
Hier ist also zu beachten, dass die Deny-Anweisungen weniger Wartungsaufwand erfordern, da die Richtlinie nicht
aktualisiert werden muss, wenn neue Dienste hinzugefügt werden.
Ein Unternehmen hat also Hunderte von Diensten, und da Sie alle Dienste auf ACP-Ebene ausdrücklich zugelassen haben, brauchen
Sie sich keine Sorgen zu machen, denn selbst wenn ein neuer Dienst eingeführt wird, haben die Benutzer Zugang
zu ihm.
Vorausgesetzt, sie verfügen über die entsprechenden Berechtigungen.
Ein weiterer Vorteil besteht darin, dass die Verweigerungsanweisungen in der Regel weniger Platz benötigen, so dass
es einfacher ist, die maximale Größe der Dienstkontrollrichtlinien einzuhalten.
Wenn Sie sich nun die auf einer Verweigerungsliste basierende Beispielrichtlinie ansehen, könnte sie etwa so
aussehen: Sie haben eine Anweisung "loud" und dann eine explizite Verweigerungsanweisung für die Aktion und den Dienst.
Also hier ist die Aktion Dynamo DB star mit dieser grundlegenden, lassen Sie uns auch einen Blick auf die Strategie Nummer zwei, die
Liste zu ermöglichen ist.
Um die Zulassen-Liste nutzen zu können, müssen Sie den verwalteten Vollzugriffs-ACP durch einen neuen
ACP ersetzen, der ausdrücklich nur die Dienste und Aktionen zulässt, die Sie zulassen möchten.
Sie müssen bedenken, dass durch das Entfernen des Standard-ACPs mit Vollzugriff nun alle Aktionen für alle
Dienste implizit verweigert werden.
Dies ist ein sehr wichtiger Punkt, den man sich merken sollte.
Da alle Aktionen und Dienste implizit verweigert werden, fügen Sie einen benutzerdefinierten ACP hinzu, der dieses implizite Verweigern
mit dem expliziten Zulassen nur für die Aktionen aufhebt, die Sie zulassen möchten.
Wenn Sie sich also dieses Beispiel einer auf der Zulassungsliste basierenden Richtlinie ansehen, sieht es folgendermaßen aus.
Hier wird also davon ausgegangen, dass dieser ACP mit Vollzugriff nicht mit den Konten verbunden ist.
Und dann fügen Sie diese spezifische Richtlinie hinzu, die bestimmte Dienste wie EC two star cloud watch star zulässt.
Abgesehen von diesen Diensten können die Nutzer also mit keinem dieser Dienste arbeiten.
Bevor wir weitermachen, wollen wir noch ein kurzes Demo dazu machen.
Lassen Sie mich Ihnen noch schnell eine Demo zeigen.
An dieser Stelle sei darauf hingewiesen, dass wir die Sache nur aus der Perspektive der Demo betrachten, um sicherzustellen, dass unsere Konzepte
besser verstanden werden.
Für die heutige Demo habe ich noch eine weitere Richtlinie, nämlich die Richtlinie "College allow list".
Wenn Sie sich also die Richtlinie für die Erlaubnisliste ansehen, ist sie mit dem Stammkonto und einem Sandbox-Konto
verbunden.
Damit die Richtlinie für die Erlaubnisliste in Kraft treten kann, müssen Sie sicherstellen, dass Ihr vollständiger
Zugriff nicht mit den Konten verknüpft ist.
Wenn Sie sich also die Ziele ansehen, ist es nur mit dem Managementkonto hier verbunden.
Sie ist nicht mit anderen Konten verbunden.
Wenn ich es Ihnen also zeigen muss.
In Root haben wir also das Verwaltungskonto und das Sandbox-Konto.
Diese spezielle Richtlinie, die wir haben, die Richtlinie für die Erlaubnisliste, ist also mit dem Sandbox-Konto verbunden, und
es gibt hier keine Richtlinie für den vollständigen Zugriff.
Also probieren wir es einfach mal aus.
Wenn man sich also den Inhalt ansieht, kann man jetzt EC two star und cloud watch star ausprobieren.
Ich bin als Root-Benutzer bei einem der Mitgliedskonten angemeldet.
Nun, da wir nur EC zwei und Cloud Watcher kennen, sollten wir sofort versuchen, andere
Dienste wie SES zu erkunden.
Sie sehen, dass wir eine Fehlermeldung erhalten haben, die besagt, dass es eine Verweigerung im ACP gibt.
Lassen Sie uns noch einen weiteren Dienst ausprobieren.
Ich sage noch einmal API-Gateway, wir erhalten einen Fehler.
Ähnlich verhält es sich mit e c. Diesmal funktioniert ec two einwandfrei.
Sie werden in der Lage sein, Instanzen usw. zu starten.
Also gut.
Ich hoffe, Sie haben damit die Grundlagen von Zulassen- und Verweigern-Listen verstanden.
Eine Sache, die ich Ihnen noch zeigen wollte, sehen wir uns kurz an.
Wenn Sie sich diese Sandbox-Kontorichtlinien ansehen, dann ist das nur die Richtlinie für die Erlaubnisliste.
Bei uns gibt es keine Politik des uneingeschränkten Zugangs.
Und das ist der Grund, warum die Dinge in Gang kommen.
Bevor wir nun zum Schluss kommen, müssen wir noch einige wichtige Hinweise beachten.
Die erste ist, dass jeder Root oder Sie und jedes Konto mindestens eine Dienstkontrollrichtlinie haben muss.
Aus diesem Grund müssen Sie, wenn Sie die standardmäßige Vollzugriffsrichtlinie durch eine ACP ersetzen wollen, die die Berechtigung
einschränkt, die Ersatz-SFP anbringen, bevor Sie die Standardrichtlinie entfernen.
In diesem Stadium werden Sie zum Beispiel sehen, dass das Sandbox-Konto eine Richtlinie für die Erlaubnisliste hat.
Daher muss zum gegebenen Zeitpunkt eine Police beigefügt werden.
Wenn Sie also von einer Liste zu einer Verweigerungsliste wechseln wollen, müssen Sie eine Verweigerungslistenrichtlinie
zuordnen und können dann die Erlaubnisliste entfernen.
Großartig.
Das ist also der grobe Überblick über die Strategien, die Sie anwenden können.
Auch hier habe ich gesehen, dass die meisten Unternehmen ihre Standardstrategie auf der Grundlage von Ablehnungslisten
anwenden.
Sie entscheiden sich nicht für eine zulässige Liste, wenn Sie eine niedrige Liste verwenden, obwohl dies gut aussieht,
aber es erfordert auch eine Menge Aufwand.
Und in den meisten Unternehmen ist das Sicherheitsteam oder das Team, das alle SPs verwaltet, recht klein und
verfügt nicht über die nötige Zeit und die Ressourcen, um die Richtlinien für die Erlaubnisliste zu verwalten,
abgesehen von anderen sicherheitsrelevanten Konfigurationen, an denen sie als Teil der gesamten Infrastruktur
arbeiten müssen.
Damit endet unser heutiges Video.