Как защитить доступ к ресурсам эластичного бобового стебля + советы по безопасности?

Question

Я использую Elastic Beanstalk, а также новые функции для автоматического создания некоторых ресурсов среды (например, очереди SQS). Это действительно удобно, однако это связано с одной проблемой: если я «завершаю» среду, все связанные ресурсы также удаляются.

Я считаю это действительно опасным, хотя я единственный, кто может управлять этим аккаунтом, я всегда могу быть пьян (ха-ха) или, набрав неправильную команду в CLI, или, конечно, кто-то может украсть мою учетную запись.

Может быть, я немного параноик, но до сих пор я нашел несколько стратегий, я хотел бы знать, какой из них лучше:

1) Создание нового IAM пользователя для себя с Read- только доступ и настроить двухфакторную аутентификацию для основной учетной записи (мастер), так что, если мне нужно создать ресурсы, мне абсолютно необходимо перейти на главную учетную запись с лучшей безопасностью.

2) Предотвратите прекращение действия из основного экземпляра EC2, созданного Beanstalk. Если я это сделаю, я больше не могу закончить среду Beanstalk по ошибке. Мой вопрос: одно из преимуществ балансировки эластичной нагрузки заключается в том, что он может отключать нездоровые экземпляры и запускать новые. Однако, что произойдет, если один экземпляр установлен как «запрет закрытия»? Может ли балансировка нагрузки обойти это и создать новый экземпляр?

3) Сделайте оба?

Как правило, что такое лучшие практики по этой теме?

Спасибо за ваши ответы!

Answer 1

К сожалению, очереди SQS не поддерживают защиту терминации.

Из двух вариантов я бы определенно пошел с 1), поскольку 2) не полностью защищает кластер EB от удаления.

Объяснение:

1) Я рекомендую создать отдельную IAM пользователя для каждодневных задач и защиты основного счета с двухфакторной аутентификацией и использовать, чтобы закрутить вверх/вниз новые кластеры EB.

2) Даже если вы защитите основной экземпляр EC2 с защитой от завершения, другие критически важные ресурсы, связанные с средой EB, будут по-прежнему прекращены, например, балансировщики нагрузки, группы автомасштабирования и темы SNS.

Я думаю, что самым простым решением по-прежнему будет следовать философия «цель дважды, снимать один раз», хотя учетная запись IAM с политикой, которая не позволяет ей прерывать экземпляры, среды EB, удалять приложения EB и подобная была бы вашей надежной защитой против вас в моменты временного безумия.

Надеюсь, это поможет!