Amazon Web Services

Ces exigences s’appliquent, peu importe le modèle choisi.

Le compte se trouve dans la partition AWS standard

Seules les organisations et les comptes AWS dans la partition commerciale AWS standard sont pris en charge. Les comptes dans d’autres partitions (comme AWS GovCloud ou AWS Chine) ne sont pas pris en charge.

Déploiement dans la région AWS prise en charge

Déployez le modèle CloudFormation dans l’une des régions AWS activées par défaut par AWS (les régions GovCloud et Chine ne sont pas prises en charge) :

USA Est (Virginie du Nord) : us-east-1

USA Est Unis (Ohio) : us-east-2

USA Ouest (Californie du Nord) : us-west-1

USA Ouest (Oregon) : us-west-2

Asie-Pacifique (Mumbai) : ap-south-1

Asie-Pacifique (Osaka) : ap-northeast-3

Asie-Pacifique (Séoul) : ap-northeast-2

Asie-Pacifique (Singapour) : ap-southeast-1

Asie-Pacifique (Sydney) : ap-southeast-2

Asie-Pacifique (Tokyo) : ap-northeast-1

Canada (Centre) : ca-central-1

Europe (Francfort) : eu-central-1

Europe (Irlande) : eu-west-1

Europe (Londres) : eu-west-2

Europe (Paris) : eu-west-3

Europe (Stockholm) : eu-north-1

Amérique du Sud (São Paulo) : sa-east-1

Autorisations de compte AWS

Le compte principal AWS IAM (utilisateur ou rôle) que vous utilisez pour déployer la pile CloudFormation doit avoir des autorisations suffisantes pour créer toutes les ressources que le modèle prévoie.

Étendue des autorisations requises AdministratorAccess, ou une politique personnalisée permettant de créer :

•des rôles et des politiques gérées IAM

•des compartiments et des politiques relatives aux compartiments S3

•des pistes CloudTrail

•des fonctions Lambda (invoquées comme ressources personnalisées CloudFormation)

•des piles CloudFormation et StackSets

Si vous n’êtes pas certain que vos droits d’accès soient suffisants, veuillez vérifier auprès de votre administrateur AWS avant de continuer.

Déployez la pile une seule fois par compte/organisation

Chaque modèle crée des ressources avec des noms fixes (par exemple, CwppServiceRole). Le déploiement d’une deuxième pile dans le même compte échouera et générera une erreur indiquant que la ressource existe déjà. Si un déploiement précédent a échoué ou doit être refait, supprimez d’abord la pile CloudFormation existante.

Exception pour les rôles de service CWP dans les politiques de refus explicites

Si votre compte ou organisation AWS utilise des politiques de contrôle des services (SCP) ou des politiques basées sur les ressources qui contiennent un Deny explicite avec une condition StringNotLike sur aws:PrincipalARN, vous devez ajouter une exception pour le rôle de l’IAM créé par CWP. Sans cette exception, la politique de refus bloquera le fonctionnement de CWP.

Exceptions requises :

•Tous les comptes

Ajoutez le rôle suivant aux listes d’autorisation : arn:aws:iam::*:role/CwppServiceRole.

•Compte de gestion (déploiement à l’échelle de l’organisation seulement)

Pour les déploiements à l’échelle de l’organisation, vous devez également ajouter aux listes d’autorisation de comptes de gestion : arn:aws:iam::*:role/CwppManagementServiceRole.

Ce rôle doit seulement être ajouté aux politiques basées sur les ressources dans le compte de gestion. Les SCP ne s’appliquent pas au compte de gestion, donc aucune mise à jour de SCP n’est requise pour ce rôle.

Exemple de politique :

{

  "Effect": "Deny",

  "Resource": "*",

  "Condition": {

    "StringNotLike": {

      "aws:PrincipalARN": "arn:aws:iam::*:role/CwppServiceRole"

    }

  }

}

Assurez-vous que les rôles requis sont inclus dans la liste d’autorisation StringNotLike de toute politique de ce type avant de déployer la pile CloudFormation.

Ce CwppManagementServiceRole n’est pertinent que pour les déploiements à l’échelle de l’organisation et uniquement dans le cadre des politiques basées sur les ressources du compte de gestion.

Ces exigences supplémentaires s’appliquent lors de l’utilisation de l’un ou l’autre des modèles d’organisation.

Déploiement à partir du compte de gestion

Les modèles d’organisation doivent être déployés lorsque vous êtes connecté à votre compte de gestion des organisations AWS. Vous ne pouvez pas utiliser un compte membre pour ce déploiement.

Repérez votre identifiant d’unité organisationnelle racine

Au cours du déploiement, il vous sera demandé l’identifiant de votre unité organisationnelle racine, qui sert à déployer StackSets sur tous les comptes. Pour le trouver :

1.Ouvrez la console des organisations d’AWS.

2.Cliquez sur l’entrée Racine en haut de l’arborescence organisationnelle.

3.Copiez l’ID; il a le format r-xxxx.

Pour obtenir des instructions détaillées, consultez la documentation d’AWS sur la navigation dans la hiérarchie de votre organisation.

Autorisation d’activation de CloudFormation; accès sécurisé pour les organisations

Le modèle active automatiquement un accès sécurisé entre CloudFormation et les organisations d’AWS (au moyen d’une ressource personnalisée Lambda). Le principal de déploiement doit être autorisé à appeler cloudformation:ActivateOrganizationsAccess. Cela est inclus dans AdministratorAccess. Si vous utilisez un ensemble d’autorisations limité, assurez-vous que cette action est explicitement autorisée.

Ces exigences supplémentaires s’appliquent lors de l’utilisation de l’une ou l’autre variante du modèle DHMC.

Aucune Default Host Management Configuration (DHMC) (configuration de gestion d’hôte par défaut) conflictuelle

Si vous avez déjà utilisé la configuration rapide SSM d’AWS pour la configuration de la DHMC, même partiellement, vous ne pouvez pas utiliser l’intégration à l’échelle de l’organisation avec la configuration de la DHMC. Ces deux configurations entreront en conflit. Dans ce cas :

1.Utilisez l’intégration de l’organisation non-DHMC.

2.Dans votre configuration rapide SSM existante, assurez-vous que DHMC est actif dans tous les comptes membres et dans toutes les régions où CWP sera déployé.

Autorisations pour la configuration rapide SSM

En plus des autorisations d’organisation de base, le principal de déploiement a besoin des autorisations suivantes :

•ssm-quicksetup:UpdateServiceSettings

•organizations:EnableAWSServiceAccess

•Autorisation de créer des rôles liés au service

Tous ces éléments sont inclus dans AdministratorAccess. Le modèle crée une machine Lambda qui exécute ces étapes automatiquement, vous n’avez pas besoin d’exécuter des commandes manuellement.

L’activation de la protection des machines virtuelles (EC2 instances) dans les instances CWP pour AWS EC2 implique deux niveaux d’exigences. L’instance EC2 doit d’abord être enregistrée comme instance gérée par SSM (configuration au niveau du compte), puis chaque instance individuelle doit répondre aux exigences au niveau de la machine virtuelle avant que le produit de protection puisse y être installé. D’autres fonctionnalités CWP s’appliquent aux comptes qui ne remplissent pas ces conditions préalables.

Prérequis du compte

Ces exigences s’appliquent au niveau du compte AWS. CWP les configure automatiquement lors de l’intégration lorsque la variante du modèle DHMC est utilisée. Pour les comptes pour lesquels DHMC n’a pas été configuré lors de la mise en service (ou avant), ces étapes doivent être effectuées manuellement avant de pouvoir activer la protection des machines virtuelles.

•Régions prises en charge pour le déploiement de protection

La protection des machines virtuelles peut être déployée sur des instances EC2 dans les régions AWS suivantes sans configuration manuelle supplémentaire de la configuration de gestion d’hôte par défaut (DHMC) :

USA Est Unis (Ohio) : us-east-2

USA Est (Virginie du Nord) : us-east-1

USA Ouest (Californie du Nord) : us-west-1

USA Ouest (Oregon) : us-west-2

Asie-Pacifique (Mumbai) : ap-south-1

Asie-Pacifique (Séoul) : ap-northeast-2

Asie-Pacifique (Singapour) : ap-southeast-1

Asie-Pacifique (Sydney) : ap-southeast-2

Asie-Pacifique (Tokyo) : ap-northeast-1

Canada (Centre) : ca-central-1

Europe (Francfort) : eu-central-1

Europe (Stockholm) : eu-north-1

Europe (Irlande) : eu-west-1

Europe (Londres) : eu-west-2

Europe (Paris) : eu-west-3

Amérique du Sud (São Paulo) : sa-east-1

•L’instance EC2 doit être une instance gérée par SSM

CWP déploie le produit de protection ESET à l’aide d’AWS Systems Manager (SSM). Pour que SSM atteigne une instance EC2, cette instance doit être enregistrée comme une instance gérée par SSM. Pour garantir cela pour toutes les instances d’un compte, il est recommandé d’activer la configuration par défaut de la gestion des hôtes (DHMC), qui enregistre automatiquement chaque instance EC2 d’un compte et d’une région sans nécessiter de profil d’instance spécialisé IAM pour chacune d’entre elles.

DHMC peut être activé par région dans la console d’AWS sous Gestionnaire des systèmes > Gestionnaire de flotte > Gestion des comptes ou à l’échelle de l’organisation à l’aide de la configuration rapide SSM. Consultez la AWSdocumentation relative à la DHMC d’ pour obtenir plus de détails.

Exigences au niveau de la machine virtuelle

Ces exigences s’appliquent à chaque instance individuelle d’EC2. Une fois la configuration au niveau du compte effectuée, le produit de protection ne peut être déployé sur une instance que si celle-ci remplit toutes les conditions suivantes.

•L’instance EC2 doit avoir un accès Internet sortant

Chaque instance EC2 ciblée pour le déploiement de la protection doit avoir un accès Internet sortant. Dans les sous-réseaux privés sans passerelle NAT, l’accès Internet sortant doit être configuré avant que la protection puisse être déployée.

•SSM Agent doit être installé et en fonctionnement

Le AWS SSM communique avec les instances EC2 au moyen de l’agent SSM. La plupart des AMI fournies par AWS (Amazon Linux, Ubuntu Server, Windows Server) incluent l’agent SSM préinstallé. Pour les AMI personnalisées ou tierces, vérifiez que l’agent est installé et fonctionne.

Consultez la documentation de l’agent d’AWS SSM pour obtenir les instructions d’installation et savoir comment vérifier l’état de l’agent sur une instance en cours d’exécution.

Pour que la protection soit déployée efficacement sur les instances EC2 sous Linux dans AWS, le compte ou l’organisation protégé(e) doit avoir activé AWS System Manager, et les instances EC2 doivent disposer de l’agent SSM.

•La machine virtuelle doit exécuter un système d’exploitation pris en charge

CWP ne peut déployer le produit de protection ESET que sur des instances exécutant une distribution du système d’exploitation prise en charge. Pour obtenir la liste complète des distributions de systèmes d’exploitation prises en charge, consultez la référence ci-dessous.

•La machine virtuelle doit répondre aux exigences système du produit de protection

Chaque machine virtuelle ciblée pour le déploiement de la protection doit satisfaire aux exigences matérielles et logicielles minimales du produit de protection ESET.

Windows Server

oProcesseur : Intel ou AMD monocœur x64

oMémoire : 256 Mo de RAM libre

oDisque dur : 700 Mo d’espace disque libre

Linux

oProcesseur : Intel/AMD x64 avec 2 cœurs (vCPU)

oMémoire : 2 Go de RAM

oDisque dur : 700 Mo d’espace disque libre

oGlibc 2.28 ou plus

oNoyau Linux version 4.18 ou ultérieure

oN’importe quel paramètre local d’encodage UTF-8

oLe démarrage sécurisé doit être désactivé

ocurl ou wget doit être installé

od’autres paquets dépendent de Live Installer, qui doit avoir ses dépendances/bibliothèques installées pour fonctionner :

oglibc

olibgcc

oopenssl (libssl)

ocurl (libcurl)

otar

1.Allez à AWS CloudFormation > Stacks.

2.Trouvez votre pile CWP (le nom que vous avez utilisé lors du déploiement ; le nom par défaut est CWPP-Integration).

3.Cliquez sur le nom de la pile.

4.Cliquez sur le bouton Retirer.

5.Cliquez sur Supprimer la pile pour confirmer.

6.Attendez la fin de la suppression (consultez l'onglet Événements pour la surveiller).

1.Accédez à AWS S3 > Buckets.

2.Recherchez les noms de buckets qui commencent par eset-cwpp-ct- suivi de votre identifiant de compte.

1.Accédez à la console AWS Organizations.

2.Dans le volet de navigation, sélectionnez Services.

3.Dans la liste des services, sélectionnez AWS CloudFormation StackSets.

4.Cliquez sur Désactiver l'accès approuvé et confirmez l'action.

5.Accédez à IAM > Rôles.

6.Repérer et supprimer le rôle lié au service AWSServiceRoleForCloudFormationStackSetsOrgAdmin.

1.Accédez à la console AWS Organizations.

2.Dans le volet de navigation, sélectionnez Services.

3.Dans la liste des services, sélectionnez Systems Manager.

4.Cliquez sur le bouton Désactiver l'accès fiable.

5.Confirmez l'action lorsque vous y êtes invité.

1. Accédez à la console AWS Organizations.

2.Dans le volet de navigation, sélectionnez Services.

3.Dans la liste des services, sélectionnez QuickSetup.

4.Cliquez sur le bouton Désactiver l'accès approuvé.

5.Confirmez l'action lorsque vous y êtes invité.

1.Accédez à IAM > Rôles.

2.Recherchez AWS-QuickSetup-SSM-RoleForEnablingExplorer.

3.Lorsque vous le trouvez, cliquez sur le nom du rôle.

4.Cliquez sur le bouton Supprimer le rôle.

5.Confirmer la suppression.

Les rôles liés à un service suivants ont peut-être été créés :

AWSServiceRoleForAmazonSSM

ServiceRoleForAccountDiscoverySSM

AWSServiceRoleForSSMQuickSetup

Supprimez les rôles spécifiés de la même façon que vous avez supprimé le rôle Explorateur décrit à l'étape précédente.

1.Accédez à AWS Systems Manager > Fleet Manager.

2.Cliquez sur Gestion de compte.

3.Désactivez l'option Enable Default Host Management Configuration si la DHMC n'est pas nécessaire, ou sélectionnez un rôle IAM existant si vous souhaitez continuer à utiliser la DHMC.

4.Cliquez sur Configurer pour enregistrer les modifications.

5.Répétez ces étapes dans toutes les Régions AWS.