Vue d’ensemble
Vous êtes un ingénieur en sécurité chez AnyCompany. Vous êtes responsable de la sécurité de toutes les instances Amazon Elastic Compute Cloud (Amazon EC2) de votre entreprise, des données stockées sur les instances (données au repos) et des données qui circulent entre les instances (données en transit).
Les Application Developers d’AnyCompany utilisent fréquemment des instances EC2 pour les serveurs web frontend et les serveurs de base de données backend. Plutôt que d’avoir à appliquer des ajustements liés à la sécurité à chaque nouvelle instance au fur et à mesure de leur déploiement, vous souhaitez fournir une image de base préconfigurée pour toutes les instances de l’entreprise.
Dans cet atelier, vous créerez une Amazon Machine Image (AMI) personnalisée qui contient diverses modifications de configuration. Vous déploierez ensuite une nouvelle instance à partir de l’AMI personnalisée et utiliserez des scripts de données utilisateur sur l’instance pour ajouter un nouvel utilisateur spécifique à la fonction de l’instance. Vous apprendrez ensuite à utiliser AWS Systems Manager pour maintenir vos instances corrigées. Enfin, vous utilisez le chiffrement Amazon Elastic Block Store (Amazon EBS) et les règles de groupe de sécurité pour protéger les données de l’entreprise au repos et en transit.
Objectifs
À la fin de cet atelier, vous saurez :
- Créer une AMI personnalisée
- Déployer une nouvelle instance EC2 à partir d’une AMI personnalisée
- Correction d’une instance EC2 à l’aide d’AWS Systems Manager.
- Chiffrer un volume EBS.
- Compréhension du fonctionnement du chiffrement EBS et de son impact sur d’autres opérations, telles que les instantanés.
- Utilisation des groupes de sécurité pour limiter le trafic entre les instances EC2 au seul trafic chiffré.
Connaissances techniques préalables
Pour mener à bien cet atelier, vous devez être familiarisé avec la navigation de base de la Console de gestion AWS et être à l’aise avec l’exécution de commandes dans une interface de ligne de commande (CLI) Linux.
Durée
Cet atelier dure environ 45 minutes.
Signification des icônes
De nombreuses icônes sont utilisées dans cet atelier pour attirer l’attention sur différents types d’instructions et de remarques. La liste suivante explique la signification de chaque icône :
- Commande : commande que vous devez exécuter.
- Sortie attendue : exemple de sortie que vous pouvez utiliser pour vérifier la sortie d’une commande ou d’un fichier modifié.
- Remarque : indice, directive ou conseil important.
- Informations supplémentaires : indique où trouver plus d’informations.
- Attention : information présentant un intérêt spécial ou d’une importance particulière (pas assez importante pour causer des problèmes pour l’équipement ni les données si vous n’y faites pas attention, mais susceptible de vous amener à devoir répéter certaines étapes).
- À savoir : prenez le temps de réfléchir à la façon dont vous pourriez appliquer un concept dans votre propre environnement ou pour entamer une conversation sur le sujet en question.
- Actualisation : moment où vous devez actualiser une page de navigateur web ou une liste pour afficher de nouvelles informations.
Présentation de l’environnement
Le diagramme suivant illustre l’architecture de base de l’environnement de l’atelier :
La liste suivante détaille les principales ressources du diagramme :
- Un VPC avec un sous-réseau public et deux sous-réseaux privés dans une zone de disponibilité, et un sous-réseau public dans une deuxième zone de disponibilité.
- Un Network Load Balancer avec deux nœuds, un dans chaque sous-réseau public.
- Une instance EC2 faisant office de serveur web dans le premier sous-réseau privé.
- Une instance EC2 agissant en tant que serveur de base de données dans le deuxième sous-réseau.
- Deux groupes de sécurité, un pour chaque instance en fonction de son objectif.
Le trafic réseau circule d’un utilisateur externe, via une passerelle Internet vers l’un des deux nœuds Network Load Balancer, vers le serveur web. Si l’URL du site de blog WordPress exécuté sur le serveur web est demandée, le trafic est également acheminé vers le serveur de base de données.
