Présentation
Vous êtes ingénieur sécurité chez AnyCompany. Vous êtes responsable de la sécurité de toutes les instances Amazon Elastic Compute Cloud (Amazon EC2) de l’entreprise, des données qui sont stockées sur les instances (données au repos) et des données qui circulent entre les instances (données en transit).
Les développeurs d’applications d’AnyCompany utilisent fréquemment des instances EC2 pour les serveurs web frontend et les serveurs de base de données backend. Plutôt que d’avoir à appliquer des ajustements liés à la sécurité à chaque nouvelle instance au fur et à mesure de leur déploiement, vous souhaitez fournir une image de base préconfigurée pour toutes les instances de l’entreprise.
Dans cet atelier, vous créez une Amazon Machine Image (AMI) personnalisée qui contient diverses modifications de configuration. Vous déployez ensuite une nouvelle instance à partir de l’AMI personnalisée et utilisez des scripts de données utilisateur sur l’instance pour ajouter un nouvel utilisateur spécifique à la fonction de l’instance. Vous apprendrez ensuite à utiliser AWS Systems Manager pour maintenir vos instances corrigées. Enfin, vous utilisez le chiffrement Amazon Elastic Block Store (Amazon EBS) et les règles de groupe de sécurité pour protéger les données de l’entreprise au repos et en transit.
Objectifs
À la fin de cet atelier, vous serez en mesure d’effectuer les opérations suivantes :
- Création d’une AMI personnalisée.
- Déploiement d’une nouvelle instance EC2 à partir d’une AMI personnalisée.
- Correction d’une instance EC2 à l’aide d’AWS Systems Manager.
- Chiffrement d’un volume EBS.
- Compréhension du fonctionnement du chiffrement EBS et de son impact sur d’autres opérations, telles que les instantanés.
- Utilisation des groupes de sécurité pour limiter le trafic entre les instances EC2 au seul trafic chiffré.
Connaissances techniques préalables
Pour mener à bien cet atelier, vous devez être familiarisé avec la navigation de base d’Console de gestion AWS et être à l’aise avec l’exécution de commandes dans Command Line Interface (CLI) Linux.
Durée
Cet atelier dure environ 45 minutes.
Signification des icônes
Cet atelier utilise de nombreuses icônes différentes pour attirer l’attention sur différents types d’instructions et de remarques. La liste suivante explique la raison d’être de chaque icône :
- Commande : une commande que vous devez exécuter.
- Sortie attendue : un exemple de sortie que vous pouvez utiliser pour vérifier la sortie d’une commande ou d’un fichier modifié.
- Remarque : un indice, une directive ou un conseil important.
- Informations complémentaires : indique où trouver plus d’informations.
- Attention : information présentant un intérêt spécial ou d’une importance particulière (pas assez importante pour causer des problèmes avec l’équipement ou les données si vous n’y faites pas attention, mais qui pourrait vous amener à devoir répéter certaines étapes).
- Envisagez ceci : un moment de pause pour réfléchir à la façon dont vous pourriez appliquer un concept dans votre propre environnement ou pour entamer une conversation sur le sujet en question.
- Actualisation : un moment où vous devez actualiser une page de navigateur web ou une liste pour afficher de nouvelles informations
Présentation de l’environnement
Le diagramme suivant illustre l’architecture de base de l’environnement de l’atelier :
La liste suivante détaille les principales ressources du diagramme :
- Un VPC avec un sous-réseau public et deux sous-réseaux privés dans une zone de disponibilité, et un sous-réseau public dans une deuxième zone de disponibilité.
- Un Network Load Balancer avec deux nœuds, un dans chaque sous-réseau public.
- Une instance EC2 faisant office de serveur web dans le premier sous-réseau privé.
- Une instance EC2 agissant en tant que serveur de base de données dans le deuxième sous-réseau.
- Deux groupes de sécurité, un pour chaque instance en fonction de son objectif.
Le trafic réseau circule d’un utilisateur externe, via une passerelle Internet vers l’un des deux nœuds Network Load Balancer, vers le serveur web. Si l’URL du site de blog WordPress exécuté sur le serveur web est demandée, le trafic est également acheminé vers le serveur de base de données.
