Amazon Web Services

تنطبق هذه المتطلبات بغض النظر عن القالب الذي تحدّده.

الحساب موجود في قسم AWS القياسي

تُدعَم مؤسسات وحسابات AWS الموجودة في القسم التجاري AWS القياسي فقط. الحسابات في الأقسام الأخرى (مثل AWS GovCloud أو AWS الصين) غير متاحة.

النشر في منطقة AWS المدعومة

انشر النموذج CloudFormation في إحدى مناطق AWS التي يتم تمكينها افتراضياً بواسطة AWS (GovCloud ومناطق الصين غير مدعومة):

شرق الولايات المتحدة (شمال فيرجينيا) - us-east-1

شرق الولايات المتحدة (أوهايو) - us-east-2

غرب الولايات المتحدة (شمال كاليفورنيا) - us-west-1

غرب الولايات المتحدة (أوريغون) - us-west-2

آسيا والمحيط الهادئ (مومباي) - ap-south-1

آسيا والمحيط الهادئ (أوساكا) - ap-northeast-3

آسيا والمحيط الهادئ (سيول) - ap-northeast-2

آسيا والمحيط الهادئ (سنغافورة) - ap-southeast-1

آسيا والمحيط الهادئ (سيدني) - ap-southeast-2

آسيا والمحيط الهادئ (طوكيو) - ap-northeast-1

كندا (وسط) - ca-central-1

أوروبا (فرانكفورت) - eu-central-1

أوروبا (أيرلندا) - eu-west-1

أوروبا (لندن) - eu-west-2

أوروبا (باريس) - eu-west-3

أوروبا (ستوكهولم) - eu-north-1

أمريكا الجنوبية (ساو باولو) - sa-east-1

أذونات حساب AWS

يجب أن يكون لدى مسؤول AWS IAM الرئيسي (المستخدم أو الدور) الذي تعتمد عليه لنشر مجموعة CloudFormation، أذونات كافية لإنشاء جميع الموارد التي يوفّرها القالب.

نطاق الأذونات المطلوبة: AdministratorAccess، أو سياسة مخصّصة تسمح بإنشاء:

• أدوار IAM والسياسات المُدارة
• حاويات S3 وسياسات الحاويات
• مسارات CloudTrail
• وظائف Lambda (تُستدعَى كموارد CloudFormation مخصّصة)
• مجموعات CloudFormation وStackSets

إذا لم تكن متأكداً من كفاية بيانات الاعتماد، فتحقّق من ذلك مع مسؤول AWS قبل المتابعة.

نشر المجموعة مرة واحدة فقط لكل حساب/مؤسسة

يُنشئ كل قالب موارد بأسماء ثابتة (على سبيل المثال، CWPPServiceRole). سيتعذّر نشر مجموعة ثانية في الحساب نفسه مع ظهور خطأ يشير إلى أنّ المورد موجود بالفعل. إذا تعذّر إكمال النشر السابق أو كنت بحاجة إلى إعادة تنفيذه، فاحذف مجموعة CloudFormation الموجودة أولاً.

استثناء لأدوار خدمة CWP في سياسات الرفض الصريح

إذا كانت مؤسستك أو حسابك في AWS يستخدم سياسات التحكم في الخدمة (SCP) أو السياسات القائمة على الموارد التي تحتوي على Deny صريح بشرط StringNotLike في aws:PrincipalARN، يجب إضافة استثناء لدور IAM من إنشاء CWP. بدون هذا الاستثناء، ستتسبب سياسة الرفض في حظر CWP من التشغيل.

الاستثناءات المطلوبة:

• جميع الحسابات

أضف الدور التالي إلى قوائم السماح: arn:aws:iam::*:role/CwppServiceRole.

• حساب الإدارة (النشر على مستوى المؤسسة فقط)

لعمليات النشر على مستوى المؤسسة، عليك أيضاً الإضافة إلى قوائم السماح بحساب الإدارة: arn:aws:iam::*:role/CwppManagementServiceRole.

يجب إضافة هذا الدور فقط إلى السياسات القائمة على الموارد في حساب الإدارة. لا تنطبق سياسات التحكم في الخدمة على حساب الإدارة، لذلك لا يلزم تحديث هذه السياسات لهذا الدور.

مثال على السياسة:

{

  "Effect": "Deny",

  "Resource": "*",

  "Condition": {

    "StringNotLike": {

      "aws:PrincipalARN": "arn:aws:iam::*:role/CwppServiceRole"

    }

  }

}

تأكد من تضمين الأدوار المطلوبة في قائمة السماح StringNotLike لأي سياسة مشابهة قبل نشر حزمة CloudFormation.

ينطبق CwppManagementServiceRole فقط على عمليات النشر على مستوى المؤسسة وضمن السياسات القائمة على الموارد لحساب الإدارة فقط.

تنطبق هذه المتطلبات الإضافية عند استخدام أيّ من قوالب المؤسسة.

النشر من حساب الإدارة

يجب نشر قوالب المؤسسة في أثناء تسجيل الدخول إلى حساب إدارة مؤسسات AWS. لا يمكنك التسجيل بحساب مستخدِم لهذا النشر.

العثور على معرّف الوحدة التنظيمية الأصل

في أثناء النشر، سيُطلب منك معرّف الوحدة التنظيمية الأصل، والذي يُستخدَم لنشر StackSets على جميع الحسابات. للعثور عليه:

1. افتح وحدة تحكم مؤسسات AWS.
2. انقر على الإدخال: الأصل في الجزء العلوي من الهيكل التنظيمي.
3. انسخ المعرّف، يكون بالتنسيق r-xxxx.

للحصول على تعليمات تفصيلية، راجع مستندات AWS الخاصة بالتنقّل داخل الهيكل الهرمي لمؤسستك.

إذن تنشيط الوصول الموثوق به إلى مؤسسات CloudFormation

يعمل القالب تلقائياً على تنشيط الوصول الموثوق بين مؤسسات CloudFormation وAWS (من خلال مورد Lambda مخصّص). يجب السماح للمسؤول الأساسي الذي ينفذ النشر باستدعاء cloudformation:ActivateOrganizationsAccess. هذا مُضمن في AdministratorAccess. إذا كنت تستخدم مجموعة أذونات محدودة النطاق، فتأكد من السماح بهذا الإجراء بشكل صريح.

تنطبق هذه المتطلبات الإضافية عند استخدام أيّ متغير من قوالب DHMC.

لا يوجد تعارض في تكوين إدارة المضيف الافتراضي (DHMC)

إذا سبق لك استخدام الإعداد السريع لـ SSM AWS من أجل تهيئة DHMC، حتى بشكل جزئي، فلا يمكنك استخدام الإعداد على مستوى المؤسسة التي تتضمّن DHMC. ستتعارض عمليتا التهيئة. في هذه الحالة:

1. استخدم الإعداد المؤسسي غير المعتمد على DHMC.
2. في تهيئة الإعداد السريع لـ SSM الحالية، تأكد من تنشيط DHMC في جميع حسابات المستخدمين وجميع المناطق التي سيتم نشر CWP فيها.

أذونات الإعداد السريع لـ SSM

بالإضافة إلى أذونات المؤسسة الأساسية، يحتاج المسؤول الأساسي عن النشر إلى:

• ssm-quicksetup:UpdateServiceSettings
• organizations:EnableAWSServiceAccess

• إذن لإنشاء أدوار مرتبطة بالخدمة

تُضمن كل هذه العناصر في AdministratorAccess. ينشئ القالب Lambda الذي ينفّذ هذه الخطوات تلقائياً، لذا لا تحتاج إلى تشغيل أيّ أوامر يدوياً.

تفعيل حماية الأجهزة الظاهرية (مثيل EC2) في CWP لمثيلات AWS EC2 يتضمن مستويين من المتطلبات. يجب أولاً تسجيل مثيل EC2 كمثيل مُدار عبر SSM (إعداد على مستوى الحساب)، ثم يجب أن يستوفي كل مثيل على حدة متطلبات مستوى الجهاز الظاهري قبل تثبيت منتج الحماية عليه. تعمل وظائف CWP الأخرى على الحسابات التي لا تستوفي هذه المتطلبات الأساسية.

المتطلبات الأساسية للحساب

تنطبق هذه المتطلبات على مستوى حساب AWS. ويعمل CWP على تهيئتها تلقائياً خلال عملية الإعداد عند استخدام متغيّر قالب DHMC. بالنسبة إلى الحسابات التي لم يُعَد DHMC فيها خلال عملية الإعداد (أو قبلها)، يجب إكمال هذه الخطوات يدوياً قبل تفعيل حماية الأجهزة الظاهرية.

• المناطق المدعومة لنشر الحماية

يمكن نشر VM Protection على مثيلات EC2 في مناطق AWS التالية دون تكوين يدوي إضافي لتكوين إدارة المضيف الافتراضي (DHMC):

شرق الولايات المتحدة (أوهايو) - us-east-2

شرق الولايات المتحدة (شمال فيرجينيا) - us-east-1

غرب الولايات المتحدة (شمال كاليفورنيا) - us-west-1

غرب الولايات المتحدة (أوريغون) - us-west-2

آسيا والمحيط الهادئ (مومباي) - ap-south-1

آسيا والمحيط الهادئ (سيول) - ap-northeast-2

آسيا والمحيط الهادئ (سنغافورة) - ap-southeast-1

آسيا والمحيط الهادئ (سيدني) - ap-southeast-2

آسيا والمحيط الهادئ (طوكيو) - ap-northeast-1

كندا (وسط) - ca-central-1

أوروبا (فرانكفورت) - eu-central-1

أوروبا (ستوكهولم) - eu-north-1

أوروبا (أيرلندا) - eu-west-1

أوروبا (لندن) - eu-west-2

أوروبا (باريس) - eu-west-3

أمريكا الجنوبية (ساو باولو) - sa-east-1

• يجب أن يكون مثيل EC2 مثيلاً مُداراً عبر مدير الأنظمة (SSM)

ينشر CWP منتج حماية ESET عبر مدير الأنظمة (SSM) لدى AWS. كي يتمكّن SSM من الوصول إلى مثيل EC2، يجب تسجيل هذا المثيل كمثيل مُدار عبر SSM. الطريقة الموصى بها لضمان ذلك لجميع المثيلات داخل الحساب هي تفعيل تكوين إدارة المضيف الافتراضي (DHMC)، فهو يسجل تلقائياً كل مثيل EC2 داخل الحساب والمنطقة دون الحاجة إلى ملف تعريف مثيل IAM مخصّص لكل مثيل.

يمكن تفعيل DHMC لكل منطقة من خلال وحدة تحكم AWS ضمن مدير الأنظمة > مدير الأسطول > مدير الحساب أو على مستوى المؤسسة عبر الإعداد السريع لـ SSM. راجع AWSمستندات DHMC لدى لمعرفة التفاصيل.

المتطلبات على مستوى الجهاز الظاهري

تنطبق هذه المتطلبات على كل مثيل EC2 على حدة. عند اكتمال الإعداد على مستوى الحساب، لا يمكن نشر منتج الحماية على أيّ مثيل إلا إذا استوفى جميع المتطلبات التالية.

• يجب أن يمتلك مثيل EC2 إمكانية الوصول إلى الإنترنت الصادر

يجب أن يمتلك كل مثيل EC2 مستهدف لنشر الحماية، إمكانية الوصول إلى الإنترنت الصادر. بالنسبة إلى المثيلات الموجودة في الشبكات الفرعية الخاصة دون بوابة NAT، يجب تهيئة الوصول الصادر إلى الإنترنت قبل نشر الحماية.

• يجب تثبيت عامل SSM وتشغيله

يتواصل SSM لدى AWS مع مثيلات EC2 عبر عامل SSM. تتضمن معظم صور AMI المُقدَّمة من AWS (Amazon Linux، Ubuntu Server، Windows Server) عامل SSM مثبت مسبقاً. بالنسبة إلى صور AMI المخصصة أو التابعة لجهات خارجية، تحقق من أنّ العامل مثبّت ويعمل.

راجع مستندات عامل SSM لدى AWS لمعرفة تعليمات التثبيت وكيفية التحقّق من حالة العامل على مثيل قيد التشغيل.

لضمان نشر وظيفي للحماية على مثيلات EC2 لنظام Linux في AWS، يجب أن يكون مدير نظام AWS مفعلاً للحساب أو المؤسسة المحمية، كما يجب تثبيت عامل SSM على مثيلات EC2.

• يجب أن يعمل الجهاز الظاهري بنظام تشغيل مدعوم

يمكن لـ CWP فقط نشر منتج حماية ESET على المثيلات التي تعمل بتوزيع نظام تشغيل مدعوم. لمعرفة القائمة الكاملة بتوزيعات أنظمة التشغيل المدعومة، اطّلع على المرجع أدناه.

• يجب أن يستوفي الجهاز الظاهري متطلبات نظام منتج الحماية

يجب أن يستوفي كل جهاز ظاهري مستهدف لنشر الحماية الحد الأدنى من متطلبات الأجهزة والبرامج الخاصة بمنتج حماية ESET.

Windows الخوادم

• المعالج: معالج Intel أو AMD أحادي النواة x64
• الذاكرة: 256 ميجابايت من ذاكرة الوصول العشوائي الفارغة
• القرص الصلب: 700 ميجابايت من مساحة القرص الفارغة

Linux

• المعالج: Intel/AMD x64 مع نواتين (vCPU)
• الذاكرة: 2 جيجابايت من ذاكرة الوصول العشوائي
• القرص الصلب: 700 ميجابايت من مساحة القرص الفارغة
• Glibc 2.28 أو أحدث
• إصدار Linux kernel 4.18 أو أحدث
• أيّ لغة ترميز UTF-8
• يجب تعطيل التمهيد الآمن
• يجب تثبيت curl أو wget
• تعتمد الحزم الأخرى على Live Installer، والذي يحتاج إلى تثبيت تبعياته/مكتباته حتى يعمل:

• • glibc
  • libgcc
  • openssl (libssl)
  • curl (libcurl)
  • tar

1. انتقل إلى AWS CloudFormation > Stacks.
2. ابحث عن مكدس CWP الخاص بك (الاسم الذي استخدمته عند النشر؛ الاسم الافتراضي هو CWPP-Integration).
3. انقر فوق اسم المكدس.
4. انقر فوق الزر إزالة.
5. انقر فوق حذف المكدس للتأكيد.
6. استنى لحد ما الحذف يخلص (راجع علامة تبويب الأحداث للمتابعة).

1. انتقل إلى AWS S3 > الحاويات.
2. ابحث عن أسماء الحاويات التي تبدأ بـ eset-cwpp-ct- متبوعًا بمعرف حسابك.

1. انتقل إلى وحدة تحكم AWS Organizations.
2. في جزء التنقل، حدد الخدمات.
3. من قائمة الخدمات، حدد AWS CloudFormation StackSets.
4. انقر فوق تعطيل الوصول الموثوق به وأكّد الإجراء.
5. انتقل إلى IAM > الأدوار.
6. حدد مكان دور الخدمة المرتبط AWSServiceRoleForCloudFormationStackSetsOrgAdmin واحذفه.

1. انتقل إلى وحدة تحكم AWS المؤسسات.
2. في لوحة التنقل، حدد الخدمات.
3. من قائمة الخدمات، اختر Systems Manager.
4. انقر فوق زر تعطيل الوصول الموثوق.
5. أكّد الإجراء لما يتطلب منك كده.

1. انتقل إلى وحدة تحكم AWS Organizations.
2. في لوحة التنقل، حدد الخدمات.
3. من قائمة الخدمات، اختار QuickSetup.
4. انقر فوق زر تعطيل الوصول الموثوق.
5. أكّد الإجراء لما يُطلب منك ده.

1. انتقل إلى IAM > الأدوار.
2. ابحث عن AWS-QuickSetup-SSM-RoleForEnablingExplorer.
3. لما تلاقيه، اضغط على اسم الدور.
4. انقر على زر حذف الدور.
5. تأكيد الحذف.

ربما تم إنشاء الأدوار المرتبطة بالخدمة التالية:

AWSServiceRoleForAmazonSSM

ServiceRoleForAccountDiscoverySSM

AWSServiceRoleForSSMQuickSetup

احذف الأدوار المحددة بنفس الطريقة التي حذفت بها دور Explorer الموضح في الخطوة السابقة.

1. انتقل إلى AWS مدير الأنظمة > مدير الأسطول.
2. انقر فوق إدارة الحساب.
3. قم بتعطيل خيار تمكين تكوين إدارة المضيف الافتراضي إذا لم تكن هناك حاجة إلى DHMC، أو حدد دور IAM موجودًا إذا كنت تريد متابعة استخدام DHMC.
4. انقر فوق تكوين لحفظ التغييرات.
5. كرر هذه الخطوات في جميع مناطق AWS.