AWS PrivateLink ilə korporativ şəbəkələrdən sürətli girişin təmin edilməsi

Müəssisə məlumatları korporativ təhlükəsizlik divarının arxasında və ya özəl yerli məlumat mərkəzində oturduqda, Amazon Quick-də AI agentləri və idarə panelləri faktiki olaraq istənilən məlumat mənbəyini sorğulaya bilsə də, AWS-dən birbaşa şəbəkə yolu yoxdur. İnzibatçılar süni intellektə əsaslanan anlayışlar və fəaliyyətlər üçün əlçatan olarkən həssas müəssisə məlumatlarının ictimai internetə məruz qalmamasına əmin olmalıdırlar.

Bir çox müəssisələr üçün ictimai internet üzərindən trafikin yönləndirilməsi qəbuledilməz risk yaradır. HIPAA, FedRAMP və PCI-DSS kimi tənzimləyici çərçivələr çox vaxt həssas məlumatların idarə olunan şəbəkə sərhədləri daxilində qalmasını tələb edir. Uyğunluğun əsas sürücü olmadığı yerlərdə belə, daxili məlumat yollarının ifşa edilməsi hücum səthini artırır, audit yollarını çətinləşdirir və istifadəçi təcrübəsini pisləşdirə biləcək dəyişən gecikməni təqdim edir.

Bu araşdırma sizə ictimai internetdən trafik keçmədən yerli məlumat mənbələrini özəl olaraq Amazon Quick-ə necə qoşacağınızı göstərir. Güman edir ki, sizdə artıq AWS Direct Connect və ya yerli mühitinizi virtual şəxsi buludunuzla (VPC) birləşdirən AWS Saytdan Sayta VPN var. Bu təməldən biz AWS PrivateLink tərəfindən dəstəklənən VPC son nöqtələrini konfiqurasiya edirik ki, Quick AWS magistral üzərində şəxsi resurslarınıza, daha sonra səviyyəli təhlükəsizlik qruplarına və dərindən müdafiə üçün VPC son nöqtə siyasətlərinə çata bilsin.

Sonda siz Quick və yerli məlumat mənbələriniz arasında trafiki ictimai internetdən kənar saxlayan, hücum səthini azaldan, ardıcıl aşağı gecikmə ilə əlaqəni təmin edən və sizə uyğunluq üçün aydın audit izi verən şəbəkə arxitekturasına sahib olacaqsınız.

Amazon Quick axtarış, analitika, tədqiqat və avtomatlaşdırmanı tək danışıq təcrübəsinə gətirən süni intellektlə işləyən iş sahəsidir. Hansı komponentlərin şəxsi şəbəkənizə çatdığını və necə əldə etdiyini başa düşmək sonrakı bölmələrdə arxitekturanı müəyyənləşdirir.

Amazon Quick-də məlumat əldə etmək iki yola düşür. İstifadəçi ilə üzləşən trafik Sürətli konsolu açan, idarə paneli ilə əlaqə saxlayan, API zəngi edən və ya Tez İş masasından istifadə edən hər kəsi əhatə edir. Bütün bunlar VPC son nöqtələri vasitəsilə (istifadəçi və API girişi üçün VPC son nöqtələrinə baxın), istifadəçi sessiyalarını ictimai internetdən kənarda saxlayır.

Bu bölmə ardıcıllıqla dörd tikinti blokundan keçir: istifadəçi və API girişi üçün VPC son nöqtələri, məlumat mənbəyinə giriş üçün VPC əlaqələri, AWS məlumat xidmətləri üçün VPC son nöqtələri və tələb olunan xarici domenlərə çıxış.

PrivateLink tərəfindən dəstəklənən VPC son nöqtələri vebsayt, API zəngləri və daxil edilmiş məzmun daxil olmaqla, Amazon Quick-a istifadəçi ilə bağlı bütün trafiki idarə edir. Onlar istifadəçilərin Amazon Quick konsoluna daxil olmaq üçün ictimai internetdən keçmək ehtiyacının qarşısını alır.

Şəkil 1-də göstərildiyi kimi: (1) korporativ şəbəkədəki müştəri Quick-ə sorğu göndərir; (2) sorğu Direct Connect şluz vasitəsilə AWS Direct Connect vasitəsilə VPC-yə keçir; (3) Quick VPC son nöqtəsi son nöqtə siyasətini qiymətləndirir və sorğuya icazə verir və ya rədd edir; (4) icazə verilən sorğular AWS şəbəkəsi üzərindən Amazon Quick-ə çatır.

Son nöqtə arxitekturanızı planlaşdırarkən, VPC son nöqtələri eyni Regionda olmalıdır, çünki Quick hesabınızın yerləşdirildiyi AWS Regionunu müəyyən etməklə başlayın. Son nöqtə ENI yerləşdirilməsi üçün çoxlu Əlçatımlılıq Zonaları üzrə alt şəbəkələri seçin və bu alt şəbəkələrin Direct Connect və ya VPN vasitəsilə yerli şəbəkəniz üçün marşrutlara malik olduğundan əmin olun.

Son nöqtə ENI-lərdə trafiki yalnız tələb olunan portlara və mənbə diapazonlarına məhdudlaşdıran təhlükəsizlik qrupları dizayn edin. Əgər bütün trafikin şəxsi yönləndirilməsini istəyirsinizsə (Amazon Quick-in Amazon S3, Amazon Redshift və Amazon Athena-ya etdiyi zənglər daxil olmaqla), bu xidmətlər üçün də VPC son nöqtələrini planlaşdırın (bax: Məlumat mənbəyi VPC son nöqtələrinin konfiqurasiyası).

VPC son nöqtə siyasətləri son nöqtəni hansı hesabların və ya təşkilatların istifadə edə biləcəyini məhdudlaşdırır. Quick üçün siyasətlər AWS hesab ID-si və ya Təşkilatın ID-si ilə əhatə oluna bilər. Siyasəti dəyişdirmək üçün Amazon VPC konsolunda son nöqtəni açın, Siyasət nişanını seçin və Siyasəti Redaktə et seçin (Şəkil 8).

Vacib məhdudiyyət: Sürətli vebsaytın son nöqtəsi üçün Əsas , Fəaliyyət və Resurs sahələrinin hamısı * olaraq təyin edilməlidir. Şərtlər yalnız aws:PrincipalAccount və ya aws:OrgId atributlarına qarşı müəyyən edilə bilər. Daha məhdudlaşdırıcı fəaliyyət səviyyəli siyasətlər yalnız API son nöqtəsində dəstəklənir.

VPC son nöqtələri istifadəçi ilə bağlı trafiki idarə edərkən, VPC əlaqələri server tərəfi yolu idarə edir, yəni Amazon Quick verilənlər bazalarına, Amazon Redshift məlumat bazası mənbələrinə və daxili API-lərə daxil olmaq üçün VPC-yə daxil olur.