Asegurar los recursos de VPC con grupos de seguridad (Español de España) | Securing VPC Resources with Security Groups (Spanish from Spain)

Información general sobre el laboratorio

Los grupos de seguridad son firewalls virtuales asociados a instancias de Amazon Elastic Compute Cloud (EC2). Las reglas del grupo de seguridad definen el tráfico que puede entrar o salir de una instancia. En este laboratorio, eres un supervisor de seguridad encargado de configurar las reglas de acceso de las instancias de Amazon EC2. Debes asegurarte de que solo se permita la entrada a cada instancia al tráfico autorizado. Para conseguirlo, revisa qué tráfico se debería permitir e inspecciona las reglas del grupo de seguridad asociadas a una instancia. A continuación, pon a prueba la conectividad y corrige las reglas mal configuradas.

En este laboratorio, una instancia denominada AppServer, que actúa como servidor de una aplicación, se ha lanzado a una subred privada. Esto quiere decir que no se puede acceder a la instancia directamente desde internet. Para probar las reglas del grupo de seguridad de AppServer, primero conecta con una instancia de Amazon EC2 intermediaria en una subred pública de la misma nube virtual privada (VPC). La instancia intermediaria se conoce como host bastión (o servidor de salto) y, por lo tanto, se llama BastionHost. Desde la conexión de BastionHost, te conectarás y probarás las reglas del grupo de seguridad de la instancia AppServer en la subred privada. Implementar un modelo host bastión/servidor de salto es una configuración de seguridad de red habitual para administrar en remoto recursos de una subred privada.

Hay una segunda instancia de Amazon EC2 llamada PublicServer en la subred pública. Primero, usarás PublicServer para probar y asegurarte de que solo se permite la entrada de tráfico SSH en AppServer desde BastionHost. Esto minimiza el riesgo de operaciones no autorizadas SSH en AppServer. A continuación, duplicarás la configuración de seguridad de BastionHost a PublicServer para crear un segundo host bastión y tener redundancia.

Para simplificar, el agente del servicio AWS Systems Manager se ha instalado en BastionHost y PublicServer. Esto te permite usar el Systems Manager Session Manager para crear instantáneamente una sesión para cualquiera de las instancias que usan una URL preconfigurada en tu navegador. Hacia el final del laboratorio, investigarás más sobre Session Manager como alternativa al uso de un host bastión tradicional.

Session Manager es una capacidad de AWS Systems Manager totalmente administrada que te permite administrar las instancias de Amazon EC2, las instancias en las instalaciones y las máquinas virtuales (VM) a través de un shell interactivo, de un clic y basado en el navegador o a través de AWS Command Line Interface (AWS CLI). Session Manager permite administrar instancias de forma segura y auditable sin necesidad de abrir puertos de entrada, mantener hosts bastiones o administrar claves SSH. Session Manager también facilita el cumplimiento de las políticas corporativas que exigen un acceso controlado a las instancias, prácticas de seguridad estrictas y registros completamente auditables con detalles de acceso a la instancia, mientras que, al mismo tiempo, ofrece al usuario final un acceso sencillo en un clic en toda la plataforma a tus instancias administradas.

Temas tratados

Después de completar este laboratorio, podrás:

• Examinar grupos de seguridad y determinar qué tráfico se permite.
• Cambiar los grupos de seguridad que se aplican a las instancias de Amazon EC2.
• Actualizar los grupos de seguridad para seguir el principio de mínimo privilegio.
• Entender cómo los grupos de seguridad pueden referenciar a otros grupos de seguridad.
• Entender cómo aprovechar Session Manager para conectarse a las instancias.

Requisitos previos

Este laboratorio requiere:

• Acceso a un equipo portátil con wifi y Microsoft Windows, MacOS o Linux (Ubuntu, SuSE o Red Hat).

Nota El entorno del laboratorio no es accesible a través de un iPad o una tableta, pero puedes usar dichos dispositivos para acceder a la guía del estudiante.

• Para los usuarios de Microsoft Windows: acceso de administrador al equipo.
• Un navegador web como Chrome, Firefox o Internet Explorer 9 (las versiones anteriores de Internet Explorer no son compatibles).
• Opcional: un cliente SSH como PuTTY.

Duración

Se tarda aproximadamente 45 minutos en completar este laboratorio.

En este laboratorio no se usan servicios AWS.

Los servicios AWS que no se usan en este laboratorio se inhabilitan en el entorno del mismo. Además, las capacidades de los servicios usados en este laboratorio están limitadas a lo indispensable para realizarlo. Se producirán errores cuando intentes acceder a otros servicios o intentes llevar a cabo acciones diferentes a las que se incluyen en esta guía.