Как защитить доступ к ресурсам Elastic Beanstalk + советы по безопасности?

Question

Я использую Elastic Beanstalk, а также новые функции для автоматического создания некоторых ресурсов среды (например, очередей SQS). Это действительно удобно, однако здесь есть одна проблема: если я "завершаю" среду, все связанные с ней ресурсы также удаляются.

Я считаю это действительно опасным, хотя я единственный, кто управляет этой учетной записью, я всегда могу быть пьяным (хаха) или, введя неправильную команду в CLI, или, конечно, кто-то может украсть мою учетную запись.

Может быть, я немного параноик, но пока я нашел несколько стратегий, я хотел бы знать, какая из них лучше:

1) Создайте для себя нового пользователя IAM с доступом только для чтения и настройте двухфакторную проверку подлинности для основной учетной записи (основной), чтобы при необходимости создания ресурсов мне абсолютно необходимо было входить в главную учетную запись с безопасность.

2) Запретить завершение из основного экземпляра EC2, созданного Beanstalk. Если я сделаю это, я больше не смогу по ошибке прекратить среду Beanstalk. Мой вопрос: одно из преимуществ упругого балансировщика нагрузки заключается в том, что он может отключить нездоровые экземпляры и запустить новые. Однако что произойдет, если один экземпляр будет установлен как "запретить завершение"? Может ли балансировщик нагрузки обойти это и все же создать новый экземпляр?

3) сделать оба?

Как правило, каковы лучшие практики по этой теме?

Спасибо за ваши ответы!

Answer 1

К сожалению, очереди SQS не поддерживают защиту от прерывания.

Из ваших двух вариантов я бы определенно выбрал 1), поскольку 2) не полностью защищает кластер EB от удаления.

Объяснение:

1) Я рекомендую настроить отдельного пользователя IAM для повседневных задач, защитить основную учетную запись с помощью двухфакторной аутентификации и использовать ее для ускорения / уменьшения новых кластеров EB.

2) Даже если вы защитите основной экземпляр (ы) EC2 с помощью Termination Protection, другие критически важные ресурсы, связанные со средой EB, будут по-прежнему прекращены, например, балансировщики нагрузки, группы автоматического масштабирования и темы SNS.

Я думаю, что самое простое решение по-прежнему состоит в том, чтобы следовать философии "цель дважды, один раз выстрелить", хотя учетная запись IAM с политикой, которая не позволяет ему закрывать экземпляры, среды EB, удалять приложения EB и тому подобное, была бы вашей надежная защита от себя в моменты временного безумия.

Надеюсь, это поможет!