AWS安全策略怎么管理？

AWS 安全策略的核心是通过 IAM (Identity and Access Management) 服务来定义“谁”可以对“哪些资源”执行“什么操作”。此外，还需要结合 安全组 和 网络 ACLs 来管理网络流量。

1. 核心权限管理：IAM (身份和访问管理)

IAM 是 AWS 安全策略的基石，用于管理对 AWS 服务和资源的访问权限。

A. IAM Policy（策略）：定义权限内容

• 管理方式：

(1)AWS 管理策略： AWS 提供的预定义策略（如 AmazonS3ReadOnlyAccess）。

(2)客户管理策略： 您创建的、完全符合您需求的自定义策略。

(3)内联策略： 直接嵌入到用户、组或角色的策略（不推荐）。

B. IAM Identity（身份）：分配权限主体

(1)用户 (Users)： 针对需要访问 AWS 控制台或 API 的特定个人。

(2)组 (Groups)： 将策略附加到组，组内所有用户都继承该策略，简化管理。

(3)角色 (Roles)： 推荐用于 EC2 实例和服务间通信。 角色是一种不需要长期凭证的身份，它允许 EC2 实例、Lambda 函数或其他 AWS 服务临时获取访问权限来执行操作（例如，EC2 角色允许实例读取 S3 存储桶）。

C. 实施建议 (最小权限原则)
 必须只授予用户或服务完成其工作所需的最少权限。

 操作： 始终从“拒绝所有”开始，然后只添加完成任务所必需的特定“允许”操作。

 示例： 如果一个 Web 应用只需要读取 S3 存储桶中的图片，那么分配的角色策略中，只能包含 S3 的 s3:GetObject 权限，而不是 s3:PutObject 或 s3:*。

2. 网络安全管理：安全组与 ACL

A. 安全组 (Security Groups)

(1)范围： 实例级别的防火墙。

(2)规则： 仅支持 允许 (Allow) 规则（隐式拒绝所有）。

(3)状态： 有状态 (Stateful)。例如，如果您允许入站流量（Inbound），则出站流量（Outbound）会自动放行，反之亦然。

(4)管理方式： 用于控制 EC2 实例、RDS 数据库等资源的入站和出站流量。

B. 网络 ACL (Network Access Control Lists)

(1)范围： 子网级别的防火墙。

(2)规则： 支持 允许 (Allow) 和 拒绝 (Deny) 规则。

(3)状态： 无状态 (Stateless)。入站流量和出站流量需要分别定义规则。

(4)管理方式： 作为 VCP（虚拟私有云）内的第二层防御，用于过滤整个子网的流量。

3. 合规性与治理：AWS Organizations 和 Security Hub

对于大型组织和多账号环境，需要更高层次的策略管理：

(1)AWS Organizations： 集中管理多达数千个 AWS 账户。可以使用 服务控制策略 (Service Control Policies, SCPs)，对组织内的所有账户设置最大权限边界，确保所有账户都遵守公司的治理标准。

(2)AWS Security Hub： 提供对 AWS 安全状态的集中视图，自动聚合和管理来自各种 AWS 服务（如 GuardDuty, Inspector 等）的安全警报和合规性检查结果。

(3)AWS Config： 持续监控和记录 AWS 资源配置的更改历史，并根据预设的合规性规则评估配置，帮助实现策略的持续验证。

总结管理策略

1. 分权授权 (IAM): 使用 IAM Roles 替代长期密钥，并遵循最小权限原则。

2. 分层防御 (Network): 先用 网络 ACL 在子网层面做粗略过滤，再用 安全组 在实例层面做精细控制。

3. 集中治理 (Organization): 利用 SCPs 在多账户环境中执行统一的策略。