37、AWS安全与成本优化：全面指南

AWS安全与成本优化：全面指南

1. AWS安全相关内容

1.1 证书导入与使用

在导入证书时，证书必须有效且未过期。若要将导入的证书与CloudFront一起使用，必须将其导入到us - east - 1区域。

1.2 Macie服务

Macie是一项自动定位并分类存储在S3存储桶中的敏感数据，并展示其使用方式的服务。借助机器学习，它能通过以下方式改善云安全态势：
- 识别诸如商业秘密和个人身份信息等敏感数据。
- 若发现存储桶权限过于宽松，会发出警报。
- 跟踪存储桶策略和ACL的更改。
- 根据自定义数据标识符对其他类型的数据进行分类。

Macie将其发现结果分为策略发现和敏感数据发现。策略发现包括降低存储桶安全性的更改，如更改存储桶策略或移除加密；敏感数据发现则对在S3存储桶中找到的任何敏感数据进行分类。Macie会自动将其发现结果发布到EventBridge和AWS Security Hub，其他应用程序可以利用这些发现结果并采取相应行动。例如，当发现具有公共权限的S3存储桶时，可以将发现结果发送到SNS通知主题以发送电子邮件。敏感数据发现会立即发布，而策略发现每15分钟发布一次。

1.3 安全控制原则

有效的安全控制必然会增加部署的复杂性，偶尔还会导致问题发生。但通过在每个层面实施安全措施，可以逐步解决这些问题。一开始配置服务时，可以稍微宽松一些，以确保一切按预期运行，但之后要立即实施安全控制。应遵循最小权限原则，使用IAM和基于资源的策略以及基于网络的控制。尽早配置日志记录以方便故障排除，在上线前设置加密，确保数据不会以明文形式传输或存