Securing VPC Resources with Security Groups (Portuguese)

Visão geral do laboratório

Grupos de segurança são firewalls virtuais associados a instâncias do Amazon Elastic Compute Cloud (Amazon EC2). As regras do grupo de segurança definem o tráfego permitido para dentro ou para fora de uma instância. Neste laboratório, você será um monitor de segurança encarregado de configurar regras de acesso para instâncias do Amazon EC2. Você deve garantir que somente o tráfego autorizado seja permitido em cada instância. Para realizar essa tarefa, revise o tráfego que deve ser permitido e inspecione as regras do grupo de segurança associadas a uma instância. Em seguida, teste a conectividade e corrija todas as regras configuradas incorretamente.

Neste laboratório, uma instância chamada AppServer, que atua como um servidor do aplicativo, foi iniciada em uma sub-rede privada. Isso significa que a instância não pode ser acessada diretamente pela Internet. Para testar as regras do grupo de segurança do AppServer, você vai primeiro se conectar a uma instância Amazon EC2 intermediária em uma sub-rede pública da mesma nuvem privada virtual (VPC). A instância intermediária é conhecida como host bastion (ou servidor de salto) e, portanto, é chamada de BastionHost. Na conexão BastionHost, você vai se conectar e testar as regras do grupo de segurança da instância do AppServer na sub-rede privada. Implementar um modelo de servidor de salto/host bastion é uma configuração de segurança de rede comum para administrar remotamente recursos de sub-rede privada.

Há uma segunda instância Amazon EC2 chamada PublicServer na sub-rede pública. Primeiro, você usará PublicServer para testar e garantir que o tráfego SSH só seja permitido no AppServer do BastionHost. Isso minimiza o risco de operações SSH não autorizadas no AppServer. Mais tarde, você duplicará a configuração de segurança do BastionHost para o PublicServer para criar um segundo host bastion para redundância.

Para simplificar, o agente do serviço AWS Systems Manager foi instalado no BastionHost e no PublicServer. Isso permite que você use o Gerenciador de Sessões do Systems Manager para criar instantaneamente uma sessão SSH para qualquer uma dessas instâncias usando um URL pré-configurada em seu navegador. No final do laboratório, você investigará mais sobre o Gerenciador de Sessões como uma alternativa ao uso de um host bastion tradicional.

O Session Manager é um recurso totalmente gerenciado do AWS Systems Manager que permite gerenciar instâncias do Amazon EC2, instâncias locais e máquinas virtuais (VMs) por meio de um shell interativo baseado em navegador com um clique ou por meio da AWS Command Line Interface (AWS CLI). O Session Manager fornece gerenciamento de instâncias seguro e auditável sem a necessidade de abrir portas de entrada, manter hosts bastion ou gerenciar chaves SSH. O Session Manager também facilita a conformidade com políticas corporativas que exigem acesso controlado a instâncias, práticas de segurança rigorosas e logs totalmente auditáveis com detalhes de acesso à instância, enquanto ainda fornece aos usuários finais acesso simples entre plataformas de um clique para suas instâncias gerenciadas.

Tópicos abordados

Depois de concluir este laboratório, você será capaz de:

• Examinar grupos de segurança e determinar qual tráfego é permitido.
• Alterar quais grupos de segurança são aplicados às instâncias do Amazon EC2.
• Atualizar grupos de segurança para seguir o princípio do menor privilégio.
• Entender como os grupos de segurança podem fazer referência a outros grupos de segurança.
• Entender como aproveitar o Session Manager para se conectar a instâncias.

Pré-requisitos

Este laboratório requer:

• Acesso a um computador com Wi-Fi e Microsoft Windows, macOS ou Linux (Ubuntu, SuSE ou Red Hat)

Observação O ambiente do laboratório não pode ser acessado por iPad ou tablet, mas é possível usar esses dispositivos para acessar o guia do aluno.

• Para usuários do Microsoft Windows: acesso de administrador ao computador
• Um navegador da Internet, como Chrome, Firefox ou Internet Explorer 9 (versões anteriores do Internet Explorer não são compatíveis)
• Opcional: um cliente SSH, como PuTTY

Duração

Este laboratório leva cerca de 45 minutos para ser concluído.

Serviços da AWS não usados neste laboratório

No ambiente de laboratório, os serviços da AWS que não forem usados neste laboratório serão desativados. Além disso, os recursos dos serviços usados neste laboratório são limitados ao que ele exige. Erros ocorrerão ao tentar acessar outros serviços ou executar ações além das fornecidas neste guia de laboratório.