Amazon Web Services

Αυτές οι απαιτήσεις ισχύουν ανεξάρτητα από το πρότυπο που επιλέγετε.

Ο λογαριασμός βρίσκεται στο τυπικό διαμέρισμα AWS

Υποστηρίζονται μόνο οργανισμοί AWS και λογαριασμοί στο τυπικό εμπορικό διαμέρισμα AWS. Δεν υποστηρίζονται λογαριασμοί σε άλλα διαμερίσματα (όπως AWS GovCloud ή AWS Κίνας).

Ανάπτυξη σε υποστηριζόμενο τομέα AWS

Αναπτύξτε το πρότυπο CloudFormation σε μία από τις περιοχές AWS που έχουν ενεργοποιηθεί από προεπιλογή από το AWS (το GovCloud και οι περιοχές της Κίνας δεν υποστηρίζονται):

Ανατολικές ΗΠΑ (Βόρεια Βιρτζίνια) – us-east-1

Ανατολικές ΗΠΑ (Οχάιο) – us-east-2

Δυτικές ΗΠΑ (Βόρεια Καλιφόρνια) – us-west-1

Δυτικές ΗΠΑ (Όρεγκον) – us-west-2

Ασία-Ειρηνικός (Μουμπάι) – ap-south-1

Ασία-Ειρηνικός (Οσάκα) – ap-northeast-3

Ασία-Ειρηνικός (Σεούλ) – ap-northeast-2

Ασία-Ειρηνικός (Σιγκαπούρη) – ap-southeast-1

Ασία-Ειρηνικός (Σίδνεϊ) – ap-southeast-2

Ασία-Ειρηνικός (Τόκιο) – ap-northeast-1

Καναδάς (Κεντρικός) – ca-central-1

Ευρώπη (Φρανκφούρτη) – eu-central-1

Ευρώπη (Ιρλανδία) – eu-west-1

Ευρώπη (Λονδίνο) – eu-west-2

Ευρώπη (Παρίσι) – eu-west-3

Ευρώπη (Στοκχόλμη) – eu-north-1

Νότια Αμερική (Σάο Πάολο) – sa-east-1

Δικαιώματα λογαριασμού AWS

Ο κύριος (χρήστης ή ρόλος) AWS IAM που χρησιμοποιείτε για την ανάπτυξη της στοίβας CloudFormation πρέπει να έχει επαρκή δικαιώματα για τη δημιουργία όλων των πόρων που παρέχει το πρότυπο.

Πεδίο εφαρμογής απαιτούμενων δικαιωμάτων: AdministratorAccess ή μια προσαρμοσμένη πολιτική που επιτρέπει τη δημιουργία:

•Ρόλοι IAM και διαχειριζόμενες πολιτικές

•Κάδοι S3 και πολιτικές κάδου

•Ίχνη CloudTrail

•Συναρτήσεις Lambda (επικαλούνται ως προσαρμοσμένοι πόροι CloudFormation)

•Στοίβες CloudFormation και StackSets

Εάν δεν είστε βέβαιοι ότι τα διαπιστευτήριά σας είναι επαρκή, επικοινωνήστε με τον διαχειριστή AWS πριν συνεχίσετε.

Αναπτύξτε τη στοίβα μόνο μία φορά ανά λογαριασμό/οργανισμό

Κάθε πρότυπο δημιουργεί πόρους με σταθερά ονόματα (για παράδειγμα, CwppServiceRole). Η ανάπτυξη μιας δεύτερης στοίβας στον ίδιο λογαριασμό θα αποτύχει με το σφάλμα «ο πόρος υπάρχει ήδη». Εάν μια προηγούμενη ανάπτυξη απέτυχε ή πρέπει να επαναληφθεί, καταργήστε πρώτα την υπάρχουσα στοίβα CloudFormation.

Εξαίρεση για ρόλους υπηρεσίας CWP σε πολιτικές ρητής άρνησης

Εάν ο λογαριασμός AWS ή ο οργανισμός σας χρησιμοποιεί πολιτικές ελέγχου υπηρεσίας (SCP) ή πολιτικές που βασίζονται σε πόρους που περιέχουν ρητή ένδειξη Deny με συνθήκη StringNotLike στο aws:PrincipalARN, πρέπει να προσθέσετε μια εξαίρεση για τον ρόλο IAM που δημιουργεί το CWP. Χωρίς αυτήν την εξαίρεση, η πολιτική άρνησης θα αποκλείσει τη λειτουργία CWP.

Απαιτούμενες εξαιρέσεις:

•Όλοι οι λογαριασμοί

Προσθέστε τον ακόλουθο ρόλο στις λίστες μη αποκλεισμένων διευθύνσεων. arn:aws:iam::*:role/CwppServiceRole.

•Λογαριασμός διαχείρισης (μόνο για ανάπτυξη σε ολόκληρο τον οργανισμό)

Για αναπτύξεις σε ολόκληρο τον οργανισμό, πρέπει επίσης να προστεθεί στις λίστες μη αποκλεισμένων διευθύνσεων του λογαριασμού διαχείρισης: arn:aws:iam::*:role/CwppManagementServiceRole.

Αυτός ο ρόλος πρέπει απλώς να προστεθεί στις πολιτικές που βασίζονται σε πόρους στον λογαριασμό διαχείρισης. Τα SCP δεν ισχύουν για τον λογαριασμό διαχείρισης, επομένως δεν απαιτείται ενημέρωση SCP για αυτόν τον ρόλο.

Παράδειγμα πολιτικής:

{

  "Effect": "Deny",

  "Resource": "*",

  "Condition": {

    "StringNotLike": {

      "aws:PrincipalARN": "arn:aws:iam::*:role/CwppServiceRole"

    }

  }

}

Βεβαιωθείτε ότι οι απαιτούμενοι ρόλοι περιλαμβάνονται στη λίστα μη αποκλεισμένων διευθύνσεων StringNotLike οποιασδήποτε τέτοιας πολιτικής πριν από την ανάπτυξη της στοίβας CloudFormation.

Το CwppManagementServiceRole είναι σχετικό μόνο για αναπτύξεις σε ολόκληρο τον οργανισμό και μόνο στο πλαίσιο των πολιτικών που βασίζονται σε πόρους του λογαριασμού διαχείρισης.

Αυτές οι πρόσθετες απαιτήσεις εφαρμόζονται όταν χρησιμοποιείτε οποιοδήποτε από τα δύο πρότυπα οργανισμού.

Ανάπτυξη από τον λογαριασμό διαχείρισης

Τα πρότυπα οργανισμού πρέπει να αναπτυχθούν ενώ είστε συνδεδεμένοι στον λογαριασμό διαχείρισης οργανισμών AWS. Δεν μπορείτε να χρησιμοποιήσετε λογαριασμό μέλους για αυτήν την ανάπτυξη.

Εντοπίστε το αναγνωριστικό μονάδας ριζικού οργανισμού

Κατά τη διάρκεια της ανάπτυξης, θα σας ζητηθεί το αναγνωριστικό της μονάδας ριζικού οργανισμού, το οποίο χρησιμοποιείται για την ανάπτυξη των StackSets σε όλους τους λογαριασμούς. Για να το βρείτε:

1.Ανοίξτε την κονσόλα οργανισμών AWS.

2.Κάντε κλικ στην καταχώρηση Ρίζα στο επάνω μέρος της δομής του οργανισμού.

3.Αντιγράψτε το αναγνωριστικό – έχει τη μορφή r-xxxx.

Για λεπτομερείς οδηγίες, ανατρέξτε στην τεκμηρίωση AWS σχετικά με την περιήγηση στην ιεραρχία του οργανισμού σας.

Άδεια ενεργοποίησης του CloudFormation – Αξιόπιστη πρόσβαση οργανισμών

Το πρότυπο ενεργοποιεί αυτόματα την αξιόπιστη πρόσβαση μεταξύ οργανισμών του CloudFormation και του AWS (μέσω προσαρμοσμένου πόρου Lambda). Στον κύριο ανάπτυξης πρέπει να επιτρέπεται να καλέσει την παράμετρο cloudformation:ActivateOrganizationsAccess. Αυτή περιλαμβάνεται στην παράμετρο AdministratorAccess. Εάν χρησιμοποιείτε ένα σύνολο δικαιωμάτων με πεδίο εφαρμογής, βεβαιωθείτε ότι αυτή η ενέργεια επιτρέπεται ρητά.

Αυτές οι πρόσθετες απαιτήσεις ισχύουν όταν χρησιμοποιείτε οποιαδήποτε παραλλαγή προτύπου DHMC.

Προεπιλεγμένη ρύθμιση παραμέτρων διαχείρισης κεντρικού υπολογιστή χωρίς διενέξεις (DHMC)

Εάν χρησιμοποιούσατε προηγουμένως τη Γρήγορη εγκατάσταση SSM του AWS για να ρυθμίσετε τις παραμέτρους του DHMC, έστω και εν μέρει, δεν μπορείτε να χρησιμοποιήσετε την ενσωμάτωση σε ολόκληρο τον οργανισμό με τη ρύθμιση DHMC. Οι δύο ρυθμίσεις παραμέτρων θα έρχονται σε διένεξη. Σε αυτή την περίπτωση:

1.Χρησιμοποιήστε την ενσωμάτωση του οργανισμού που δεν ανήκει στο DHMC.

2.Στην υπάρχουσα ρύθμιση παραμέτρων γρήγορης ρύθμισης SSM, βεβαιωθείτε ότι το DHMC είναι ενεργό σε όλους τους λογαριασμούς μελών και σε όλες τις περιοχές όπου θα αναπτυχθεί το CWP.

Δικαιώματα για τη Γρήγορη ρύθμιση SSM

Εκτός από τα δικαιώματα του βασικού οργανισμού, ο κύριος ανάπτυξης χρειάζεται:

•ssm-quicksetup:UpdateServiceSettings

•organizations:EnableAWSServiceAccess

•Δικαίωμα δημιουργίας ρόλων που συνδέονται με την υπηρεσία

Όλα αυτά περιλαμβάνονται στην παράμετρο AdministratorAccess. Το πρότυπο δημιουργεί ένα στοιχείο Lambda που εκτελεί αυτά τα βήματα αυτόματα. Δεν χρειάζεται να εκτελέσετε καμία εντολή μη αυτόματα.

Η ενεργοποίηση της προστασίας εικονικού υπολογιστή (παρουσία EC2) στο CWP για παρουσίες του AWS EC2 περιλαμβάνει δύο επίπεδα απαιτήσεων. Η παρουσία EC2 πρέπει πρώτα να εγγραφεί ως παρουσία διαχειριζόμενη από SSM (ρύθμιση σε επίπεδο λογαριασμού) και, στη συνέχεια, κάθε μεμονωμένη παρουσία πρέπει να πληροί τις απαιτήσεις επιπέδου εικονικού υπολογιστή για να είναι δυνατή η εγκατάσταση του προϊόντος προστασίας σε αυτόν. Άλλη λειτουργικότητα του CWP λειτουργεί σε λογαριασμούς που δεν πληρούν αυτά τα προαπαιτούμενα.

Προαπαιτούμενα του λογαριασμού

Αυτές οι απαιτήσεις εφαρμόζονται σε επίπεδο λογαριασμού του AWS. Το CWP εκτελεί ρύθμιση παραμέτρων αυτόματα κατά την ενσωμάτωση όταν χρησιμοποιείται η παραλλαγή προτύπου DHMC. Για λογαριασμούς στους οποίους το DHMC δεν είχε ρυθμιστεί κατά την ενσωμάτωση (ή πριν), αυτά τα βήματα πρέπει να ολοκληρωθούν μη αυτόματα για να μπορέσει να ενεργοποιηθεί η προστασία εικονικού υπολογιστή.

•Υποστηριζόμενες περιοχές για ανάπτυξη προστασίας

Η Προστασία εικονικού υπολογιστή μπορεί να αναπτυχθεί σε παρουσίες EC2 στις ακόλουθες περιοχές του AWS χωρίς πρόσθετη μη αυτόματη ρύθμιση παραμέτρων της προεπιλεγμένης ρύθμισης παραμέτρων διαχείρισης κεντρικού υπολογιστή (DHMC):

Ανατολικές ΗΠΑ (Οχάιο) – us-east-2

Ανατολικές ΗΠΑ (Βόρεια Βιρτζίνια) – us-east-1

Δυτικές ΗΠΑ (Βόρεια Καλιφόρνια) – us-west-1

Δυτικές ΗΠΑ (Όρεγκον) – us-west-2

Ασία-Ειρηνικός (Μουμπάι) – ap-south-1

Ασία-Ειρηνικός (Σεούλ) – ap-northeast-2

Ασία-Ειρηνικός (Σιγκαπούρη) – ap-southeast-1

Ασία-Ειρηνικός (Σίδνεϊ) – ap-southeast-2

Ασία-Ειρηνικός (Τόκιο) – ap-northeast-1

Καναδάς (Κεντρικός) – ca-central-1

Ευρώπη (Φρανκφούρτη) – eu-central-1

Ευρώπη (Στοκχόλμη) – eu-north-1

Ευρώπη (Ιρλανδία) – eu-west-1

Ευρώπη (Λονδίνο) – eu-west-2

Ευρώπη (Παρίσι) – eu-west-3

Νότια Αμερική (Σάο Πάολο) – sa-east-1

•Η παρουσία EC2 πρέπει να είναι παρουσία διαχειριζόμενη από το SSM

Το CWP αναπτύσσει το προϊόν προστασίας ESET μέσω της διαχείρισης συστημάτων (SSM) AWS. Για να φτάσει το SSM σε μια παρουσία EC2, αυτή η παρουσία πρέπει να εγγραφεί ως παρουσία διαχειριζόμενη από το SSM. Ο συνιστώμενος τρόπος για να διασφαλιστεί αυτό για όλες τις παρουσίες σε έναν λογαριασμό είναι η ενεργοποίηση της Προεπιλεγμένης ρύθμισης παραμέτρων διαχείρισης κεντρικού υπολογιστή (Default Host Management Configuration ή DHMC), η οποία εγγράφει αυτόματα κάθε παρουσία EC2 σε έναν λογαριασμό και μια περιοχή χωρίς να απαιτείται αποκλειστικό προφίλ παρουσίας IAM σε κάθε παρουσία.

Το DHMC μπορεί να ενεργοποιηθεί ανά περιοχή στην κονσόλα AWS στη διαδρομή Διαχείριση συστημάτων > Διαχείριση στόλου > Διαχείριση λογαριασμού ή σε ολόκληρο τον οργανισμό μέσω της Γρήγορης ρύθμισης SSM. Ανατρέξτε στην AWSτεκμηρίωση του DHMC του για λεπτομέρειες.

Απαιτήσεις σε επίπεδο εικονικού υπολογιστή

Αυτές οι απαιτήσεις εφαρμόζονται για κάθε μεμονωμένη παρουσία EC2. Όταν υπάρχει η ρύθμιση σε επίπεδο λογαριασμού, το προϊόν προστασίας μπορεί να αναπτυχθεί σε μια παρουσία μόνο εάν πληροί όλα τα παρακάτω.

•Η παρουσία EC2 πρέπει να έχει εξερχόμενη πρόσβαση στο διαδίκτυο

Κάθε παρουσία EC2 που αποτελεί προορισμό για ανάπτυξη προστασίας πρέπει να έχει εξερχόμενη πρόσβαση στο διαδίκτυο. Σε παρουσίες σε ιδιωτικά υποδίκτυα χωρίς πύλη NAT, η ρύθμιση παραμέτρων της εξερχόμενης πρόσβασης στο διαδίκτυο πρέπει να έχει πραγματοποιηθεί για να αναπτυχθεί η προστασία.

•Ο φορέας SSM πρέπει να είναι εγκατεστημένος και να εκτελείται

Το AWS SSM επικοινωνεί με τις παρουσίες EC2 μέσω του φορέα SSM. Τα περισσότερα AMI που παρέχονται από το AWS (Amazon Linux, Ubuntu Server, Windows Server) περιλαμβάνουν προεγκατεστημένο φορέα SSM. Για προσαρμοσμένα AMI ή AMI τρίτων, βεβαιωθείτε ότι ο φορέας είναι εγκατεστημένος και εκτελείται.

Ανατρέξτε στην τεκμηρίωση του φορέα AWS SSM για οδηγίες εγκατάστασης και τον τρόπο επαλήθευσης της κατάστασης του φορέα σε μια παρουσία που εκτελείται.

Για να έχετε μια λειτουργική ανάπτυξη προστασίας σε παρουσίες EC2 για Linux στο AWS, πρέπει να έχει ενεργοποιηθεί η Διαχείριση συστήματος AWS του προστατευμένου λογαριασμού ή οργανισμού και στις παρουσίες EC2 πρέπει να έχει εγκατασταθεί ο φορέας SSM.

•Ο εικονικός υπολογιστής πρέπει να εκτελεί ένα υποστηριζόμενο λειτουργικό σύστημα

Το CWP μπορεί να αναπτύξει το προϊόν προστασίας ESET μόνο σε παρουσίες που εκτελούν μια υποστηριζόμενη διανομή λειτουργικού συστήματος. Για την πλήρη λίστα των υποστηριζόμενων διανομών λειτουργικού συστήματος, ανατρέξτε στην παρακάτω παραπομπή.

•Ο εικονικός υπολογιστής πρέπει να πληροί τις απαιτήσεις συστήματος του προϊόντος προστασίας

Κάθε εικονικός υπολογιστής που προορίζεται για ανάπτυξη προστασίας πρέπει να πληροί τις ελάχιστες απαιτήσεις υλικού και λογισμικού για το προϊόν προστασίας ESET.

Διακομιστής Windows

oΕπεξεργαστής: Μονοπύρηνος επεξεργαστής Intel ή AMD x64

oΜνήμη: 256 MB ελεύθερης μνήμης RAM

oΣκληρός δίσκος: 700 MB ελεύθερου χώρου στο δίσκο

Linux

oΕπεξεργαστής: Intel/AMD x64 με 2 πυρήνες (vCPU)

oΜνήμη: 2 GB μνήμης RAM

oΣκληρός δίσκος: 700 MB ελεύθερου χώρου στο δίσκο

oGlibc 2.28 ή νεότερη έκδοση

oΈκδοση πυρήνα Linux 4.18 ή νεότερη έκδοση

oΟποιαδήποτε τοπική ρύθμιση κωδικοποίησης UTF-8

oΗ Ασφαλής εκκίνηση πρέπει να είναι απενεργοποιημένη

oΠρέπει να εγκατασταθεί το curl ή το wget

oάλλα πακέτα εξαρτώνται από το πρόγραμμα ζωντανής εγκατάστασης, του οποίου οι εξαρτήσεις/βιβλιοθήκες πρέπει να έχουν εγκατασταθεί για να λειτουργήσει:

oglibc

olibgcc

oopenssl (libssl)

ocurl (libcurl)

otar

1.Μεταβείτε στο AWS CloudFormation > Stacks.

2.Βρείτε τη στοίβα CWP που διαθέτετε (το όνομα που χρησιμοποιήσατε κατά την ανάπτυξη· το προεπιλεγμένο όνομα είναι CWPP-Integration).

3.Κάντε κλικ στο όνομα της στοίβας.

4.Κάντε κλικ στο στοιχείο Κατάργηση.

5.Κάντε κλικ στην επιλογή Διαγραφή στοίβας για επιβεβαίωση.

6.Περιμένετε να ολοκληρωθεί η διαγραφή (ελέγξτε την καρτέλα Συμβάντα για παρακολούθηση).

1.Μεταβείτε στο AWS S3 > Buckets.

2.Αναζητήστε ονόματα κάδων που ξεκινούν με eset-cwpp-ct- ακολουθούμενα από το αναγνωριστικό του λογαριασμού σας.

1.Μεταβείτε στην κονσόλα AWS Organizations.

2.Στο παράθυρο περιήγησης, επιλέξτε Υπηρεσίες.

3.Από τη λίστα υπηρεσιών, επιλέξτε AWS CloudFormation StackSets.

4.Κάντε κλικ στην επιλογή Απενεργοποίηση αξιόπιστης πρόσβασης και επιβεβαιώστε την ενέργεια.

5.Μεταβείτε στο IAM > Ρόλοι.

6.Εντοπίστε και διαγράψτε τον συνδεδεμένο με υπηρεσία ρόλο AWSServiceRoleForCloudFormationStackSetsOrgAdmin.

1.Μεταβείτε στην κονσόλα AWS Organizations.

2.Στο παράθυρο περιήγησης, επιλέξτε Υπηρεσίες.

3.Από τη λίστα υπηρεσιών, επιλέξτε Systems Manager.

4.Κάντε κλικ στο κουμπί Απενεργοποίηση αξιόπιστης πρόσβασης.

5.Επιβεβαιώστε την ενέργεια όταν σας ζητηθεί.

1. Μεταβείτε στην κονσόλα AWS Organizations.

2.Στο παράθυρο περιήγησης, επιλέξτε Υπηρεσίες.

3.Από τη λίστα υπηρεσιών, επιλέξτε QuickSetup.

4.Κάντε κλικ στο κουμπί Απενεργοποίηση αξιόπιστης πρόσβασης.

5.Επιβεβαιώστε την ενέργεια όταν σας ζητηθεί.

1.Μεταβείτε στο IAM > Ρόλοι.

2.Αναζητήστε το AWS-QuickSetup-SSM-RoleForEnablingExplorer.

3.Όταν το βρείτε, κάντε κλικ στο όνομα του ρόλου.

4.Κάντε κλικ στο κουμπί Διαγραφή ρόλου.

5.Επιβεβαίωση διαγραφής.

Ενδέχεται να έχουν δημιουργηθεί οι ακόλουθοι ρόλοι που συνδέονται με υπηρεσίες:

AWSServiceRoleForAmazonSSM

ServiceRoleForAccountDiscoverySSM

AWSServiceRoleForSSMQuickSetup

Διαγράψτε τους καθορισμένους ρόλους με τον ίδιο τρόπο που διαγράψατε τον ρόλο Explorer που περιγράφεται στο προηγούμενο βήμα.

1.Μεταβείτε στο AWS Systems Manager > Fleet Manager.

2.Κάντε κλικ στην επιλογή Διαχείριση λογαριασμού.

3.Απενεργοποιήστε την επιλογή Ενεργοποίηση προεπιλεγμένης διαμόρφωσης διαχείρισης κεντρικού υπολογιστή, εάν το DHMC δεν είναι απαραίτητο, ή επιλέξτε έναν υπάρχοντα ρόλο IAM εάν θέλετε να συνεχίσετε να χρησιμοποιείτε το DHMC.

4.Κάντε κλικ στην επιλογή Διαμόρφωση για να αποθηκεύσετε τις αλλαγές.

5.Επαναλάβετε αυτά τα βήματα σε όλες τις Περιοχές AWS.