Aperçu
Vous êtes un ingénieur en sécurité réseau chez AnyCompany. Vous êtes responsable de la création d'une infrastructure réseau sécurisée dans AWS pour préparer la prochaine migration d'AnyCompany vers le cloud. AnyCompany dispose actuellement d'une infrastructure de sécurité réseau à trois niveaux sur site :
- La zone d'accès public héberge des équilibreurs de charge qui servent de point de connexion principal à vos serveurs web.
- La zone de serveur web héberge les serveurs frontend de votre site web.
- La zone de base de données héberge les serveurs de base de données principaux qui fournissent des données à votre site web.
Vous devez vous assurer que chaque zone est segmentée en toute sécurité les unes des autres et que seuls certains types de trafic sont autorisés à circuler entre ces zones pour prendre en charge les sites web et les applications de l'entreprise.
Dans cet atelier, vous allez utiliser des sous-réseaux publics et privés, des groupes de sécurité et des listes ACL réseau pour créer une infrastructure réseau à trois zones de sécurité. Vous utilisez ensuite les journaux de flux VPC pour surveiller le trafic qui atteint les ressources dans chaque zone afin de vérifier que seul le trafic requis est autorisé.
Objectifs
À la fin de cet atelier, vous serez en mesure d'effectuer les opérations suivantes :
- Créer une infrastructure réseau à trois zones de sécurité
- Mettre en œuvre la segmentation réseau à l'aide de groupes de sécurité, de listes ACL réseau et de sous-réseaux publics et privés
- Surveiller le trafic réseau vers les instances EC2 à l'aide des journaux de flux VPC
Connaissances techniques préalables
Pour mener à bien cet atelier, vous devez être familiarisé avec la navigation dans la Console de gestion AWS et comprendre les concepts de mise en réseau de base.
Durée
Cet atelier dure environ 45 minutes.
Signification des icônes
Cet atelier utilise de nombreuses icônes différentes pour attirer l'attention sur différents types d'instructions et de remarques. La liste suivante explique la signification de chaque icône :
- Un exemple de sortie que vous pouvez utiliser pour vérifier la sortie d'une commande ou d'un fichier modifié
- Un indice, une directive ou un conseil important
- Où trouver plus d'informations ?
- Information présentant un intérêt spécial ou d'une importance particulière (pas assez importante pour causer des problèmes avec l'équipement ou les données si vous n'y faites pas attention, mais qui pourrait entraîner une nécessité de répéter certaines étapes)
- Un moment de pause pour réfléchir à la façon dont vous pourriez appliquer un concept dans votre propre environnement ou pour entamer une conversation sur le sujet en question
- Une opportunité de vérifier vos connaissances et de tester ce que vous avez appris
- Indice relatif à une question ou à un défi
Présentation de l'environnement
Le diagramme suivant illustre l'architecture de base de l'environnement de l'atelier :
La liste suivante détaille les principales ressources du diagramme :
- Un VPC avec un sous-réseau public et deux sous-réseaux privés dans une zone de disponibilité, et un sous-réseau public dans une deuxième zone de disponibilité.
- Un Network Load Balancer avec deux nœuds, un dans chaque sous-réseau public.
- Une instance EC2 faisant office de serveur web dans le premier sous-réseau privé.
- Une instance EC2 agissant en tant que serveur de base de données dans le deuxième sous-réseau.
- Deux groupes de sécurité, un pour chaque instance en fonction de son objectif.
Le trafic réseau circule d'un utilisateur externe, via une passerelle Internet vers l'un des deux nœuds Network Load Balancer, vers le serveur web. Si l'URL du site de blog WordPress exécuté sur le serveur web est demandée, le trafic est également acheminé vers le serveur de base de données.
En raison des restrictions actuelles de la plateforme de l'atelier avec la création de certificats pour un Application Load Balancer, un Network Load Balancer est utilisé à la place. L'équilibreur de charge agit comme un relais pour le trafic entrant vers le serveur web : il n'analyse ni ne transforme le trafic en aucune façon. Dans un environnement de production, vous pouvez envisager d'utiliser un Application Load Balancer pour tirer parti de ses fonctionnalités et mesures de sécurité supplémentaires, telles que l'acceptation et le traitement d'une requête HTTPS d'un client avant qu'elle n'atteigne le serveur web. Pour plus d'informations sur les fonctionnalités de chaque type d'Elastic Load Balancer, consultez Comparaisons de produits Elastic Load Balancing dans la section Ressources supplémentaires à la fin de cet atelier.
