本指引向您介紹了如何針對國家安全、國防和國家執法部門的敏感工作負載，來建置全面的雲端架構。在 AWS 上使用多帳戶架構，您可交付任務，同時確保敏感資料和工作負載安全。本指引旨在協助您滿足嚴格且獨特的安全與合規要求，並實現中央身分與存取管理、管控、資料安全、綜合日誌記錄，以及與美國各種安全架構一致的網路設計和區隔。

請注意：[免責聲明]

架構圖

下載架構圖 PDF 
  • 概觀

  • 此架構圖提供了如何設定具有獨特的安全與合規要求的綜合多帳戶工作負載的概觀。如需有關如何部署本指引的詳細資訊，請開啟其他索引標籤。

  • 組織管理帳戶

  • 此架構圖顯示了組織如何將多個由單一客戶實體控制的帳戶進行分組。 請遵循此架構圖中的步驟，來部署本指引中的「組織管理帳戶」部分。

  • 安全帳戶

  • 此架構圖顯示了如何集中設定跨 AWS 服務和帳戶的綜合日誌集合。 請遵循此架構圖中的步驟，來部署本指引中的「安全帳戶」部分。

  • 基礎設施帳戶

  • 此架構圖顯示了如何使用 Virtual Private Clouds (VPC)，來建立集中式、隔離的聯網環境。 請遵循此架構圖中的步驟，來部署本指引中的「基礎設施帳戶」部分。

  • 應用程式、社群、團隊或群組帳戶 (敏感)

  • 此架構圖顯示了如何設定屬於軟體開發生命週期不同階段的工作負載，或不同 IT 管理角色之間的分割和區隔。請遵循此架構圖中的步驟，來部署本指引中的「應用程式」、「社群」、「團隊」或「群組帳戶」部分。 

Well-Architected 支柱

AWS Well-Architected Framework 可協助您了解在雲端建立系統時所做決策的利弊。該架構的六根支柱讓您能夠學習設計和操作可靠、安全、高效、經濟高效且永續的系統的架構最佳實務。使用 AWS Well-Architected Tool (在 AWS 管理主控台中免費提供)，您可以透過回答每根支柱的一組問題來針對這些最佳實務審查您的工作負載。

上方的架構圖是一個考量到 Well-Architected 最佳實務而建立的的解決方案的範例。若要完全實現 Well-Architected，您應該盡可能地多遵循 Well-Architected 的最佳實務。

  • 本指引使用 Organizations 搭配 AWS CloudFormation 堆疊和組態，為您的 AWS 環境建立安全的基礎。這可提供基礎設施即代碼 (IaC) 解決方案，加速您實作技術安全控制。組態規則可修復任何已確定對規範性架構產生負面影響的組態增量。您可以使用 AWS 全球商業基礎設施，來處理敏感的分類工作負載，並將安全系統自動化，以加速交付任務，同時持續改善流程和程序。

    閱讀卓越營運白皮書 

  • 本指引使用 Organizations 來協助部署組織防護機制，例如，使用 CloudTrail 進行 API 日誌記錄。本指引還提供預防性控制，使用規範性 AWS SCP 做為防護機制，主要用於拒絕環境中的特定或整個類別的 API (以確保工作負載僅部署在指定區域)，或拒絕存取特定 AWS 服務。CloudTrail 和 CloudWatch 日誌支援在 AWS 服務和帳戶間規範綜合日誌收集和集中化。AWS 安全功能和多種與安全相關服務均以定義的模式設定，可協助您滿足全球各種最嚴格的安全要求。

    閱讀安全白皮書 

  • 本指引使用多個可用區域 (AZ)，因此，中斷一個可用區域不會影響應用程式可用性。您可使用 CloudFormation，以安全和受控的方式自動佈建和更新基礎架構。本指引還提供預先建置的規則，用於評估您環境中的 AWS 資源組態和組態變更，或者您可在 AWS Lambda 中建立自訂規則，以定義最佳實務和指導方針。您可自動擴展環境，以滿足需求，並減少設定錯誤或暫時性網路問題等中斷。

    閱讀可靠性白皮書 

  • 本指引使用 Transit Gateway，可簡化雲端基礎設施管理，這可做為中央樞紐，透過單一閘道來連線多個 VPC，從而更輕鬆地擴展和維護網路架構。這可簡化您的網路架構，並促進組織內不同 AWS 帳戶之間的高效流量路由。

    閱讀效能達成效率白皮書 

  • 本指引能夠促使避免或消除不必要的成本或使用次佳資源。Organizations 提供集中化和合併帳單，促進資源使用和成本優化的強大分割。本指引規範了從 AWS 公有 API 端點到您的私有 VPC 位址空間的遷移，並使用集中式端點來提高成本效率。此外，您還可以使用 AWS Cost and Usage Reports (AWS CUR) 來追蹤 AWS 使用量和估算費用。

    閱讀成本最佳化白皮書 

  • 本指引可協助您減少與管理您自己的資料中心內工作負載關聯的碳足跡。相較於傳統的資料中心，AWS 全球基礎設施提供支援基礎設施 (例如，電源、冷卻和聯網)、更高的使用率，以及更快的技術更新。此外，工作負載的分割與區隔可協助您減少不必要的資料移動，Amazon S3 提供儲存層以及自動將資料移至高效率儲存層的功能。

    閱讀永續發展白皮書 

實作資源

範本程式碼是一個起點。它經過了產業驗證、具有規範性但並非明確性，並且可以幫助您開始。

GitHub 上的開放範例程式碼

相關內容

範例程式碼

TSE-SE 範例組態 (具有 LZA 自動化引擎)

此範例程式碼示範了如何將這些 TSE-SE 範例組態檔案與 LZA 搭配使用，將會自動部署規範且穩妥的 Trusted Secure Enclaves Sensitive Edition 參考架構。
認證合作夥伴

Trusted Secure Enclaves – Sensitive Edition

這些 AWS 合作夥伴已獲得認證，以支援客戶實作 TSE-SE，這是一項解決方案，可實現各種安全架構的中央身分與存取管理、管控、資料安全、綜合日誌記錄，以及網路設計和區隔。

免責聲明

範例程式碼、軟體庫、命令列工具、概念驗證、範本或其他相關技術 (包括我們的人員提供的任何上述技術) 依據 AWS 客戶協議或您與 AWS 之間的相關書面協議 (以適用者為準) 作為 AWS 內容提供給您。您不得在您的生產帳戶、生產或其他關鍵資料中使用此 AWS 內容。您有責任根據您的特定品質控制實務和標準，依生產級用途來測試、保護和最佳化 AWS 內容 (如範例程式碼)。部署 AWS 內容可能會因建立或使用 AWS 收費資源 (如執行 Amazon EC2 執行個體或使用 Amazon S3 儲存) 而產生 AWS 費用。

本指引中對第三方服務或組織的參考並不意味著 Amazon 或 AWS 與第三方之間的認可、贊助或聯繫。AWS 的指引是技術起點，您可以在部署架構時自訂與第三方服務的整合。

本頁對您是否有幫助？

 意見回饋