保障AWS环境安全及实用技巧
一、AWS环境安全保障
1. 加密操作
- EBS卷加密：在相关仪表盘的密钥列表中可看到加密结果。切换到EC2控制台创建新的EBS卷时，自定义加密密钥会作为选项出现，之后可按常规流程将新的加密卷附加到EC2实例。
- S3对象加密：S3允许使用与EBS相同的AES - 256算法对存储桶中的所有对象或部分对象进行加密。密钥管理方法有：
- 导入自己的外部密钥集。
- 使用KMS服务在AWS内生成自定义密钥。
- 使用S3服务的默认（唯一）密钥。
- 加密现有数据可在文件夹级别进行，也可选择单个文件。新数据可通过在PUT请求中指定头部（x - amz - server - side - encryption）或使用AWS S3 CLI时传递 –sse 选项按需加密。还可使用存储桶策略拒绝未指定加密的上传尝试。
2. OS更新
将典型的EC2部署分为静态（非自动扩展）和自动扩展两组实例来部署最新的OS更新：
-静态实例：由于某些应用特定或其他类型的限制无法进行扩展，需先在完全独立的环境中测试更新，然后更新静态生产主机（通常一次更新一个）。
-自动扩展实例：可使用类似Jenkins管道进行OS更新，步骤如下：
1. 启动源AMI。
2. 执行软件包更新。
