AWS SSA-C03 筆記系列 02 - Domain 1 建立安全的架構

在SSA-C03的版本，大幅度提升了安全方面的比重，佔比是30%左右，這個還蠻正常的，不過這邊不是指大外宣，說AWS是多安全的東西，比較著重在架構師能夠正確的使用工具建置一具安全架構。

這邊包含的安全，大致上是指權限控管、攻擊防護、備份三個面相，都會有相對應的工具。

這邊整理(翻譯)一下exam guide 中在這方面的說明。

在多個帳號(account)中存取控制及管理
在AWS中所使用的權限管理機制 (AWS Identity and Access Management - IAM, AWS Single Sign-ON [AWS SSO] )
AWS 中所建置的多重基礎架構 ( Availability Zones, AWS Regions)
練習合適的權限控管 (沒必要的權限就不要放給不需要的人 -> Least Privilege)
AWS shared responsibility model.

在初期規劃AWS環境的時後，最重要也是最基本的就是權限角色的劃分，在AWS的設計裡面有一些蠻有趣的設計，像是IAM users, Group, Roles, Polices等設計都是需要知道的項目，最主要，該權限設計的架構多為role-based access control strategy。

課題2. 設計安全的工作負載及應用

基礎架構的第2個課題，就是如何架構出一安全的核心網路架構，像是VPC的設計，之後的ACL, Secure Group, route table...，雖然說這個應該是網路層級的設計，但放在這邊也沒什麼太大的牴觸，必竟要有安全的地基，房子才好建在上面，整個雲端平台也是建立在網路(network)上。

這邊也要知道一下，不同的子網(subnet)存取外部網路方式的不同，分成public及private的不同處理方式。

最後就是安全的防護，基本上市面上找得到的安全技術，AWS一樣不會少，像是 AWS Shield, AWS WAF AWS SSO, AWS Secrets Manager)

課題3. 驗證(確認)正確的資料安全管理

這邊會比較需要知道的是aws所使用的資料保全的技術，像是:

資料加密 -> AWS Key Management Service [AWS KMS] 。

傳輸的加密技術 -> AWS Certificate Manager [ACM] using TLS。

當然還有密鑰的管理等等…，也別忘了這邊加密的方式有其期限，所以更新(renew)的方式也得知道。

也少不了資料備份的方式及還原，另外還有資料的生態週期(life cycle)

貓茶室