View a markdown version of this page

AWS Fargate Bundesstandard für die Informationsverarbeitung (FIPS-140) - Amazon Elastic Container Service
AWS Fargate FIPS-140 ÜberlegungenFIPS auf Fargate verwendenVerwenden Sie CloudTrail für Fargate FIPS-140 Rechnungsprüfung

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AWS Fargate Bundesstandard für die Informationsverarbeitung (FIPS-140)

Bundesstandard für die Informationsverarbeitung (FIPS-140) ist ein U.S. und kanadischer Regierungsstandard, der die Sicherheitsanforderungen für kryptografische Module zum Schutz vertraulicher Informationen festlegt. FIPS-140 definiert eine Reihe validierter Kryptografiefunktionen, mit denen Daten während der Übertragung und Daten im Ruhezustand verschlüsselt werden können.

Wenn Sie einschalten FIPS-140 Compliance, Sie können Workloads auf Fargate auf eine Weise ausführen, die den folgenden Anforderungen entspricht FIPS-140. Für weitere Informationen über FIPS-140 Konformität finden Sie unter Bundesstandard für die Informationsverarbeitung (FIPS) 140-3.

AWS Fargate FIPS-140 Überlegungen

Beachten Sie bei der Verwendung von FIPS-140 Einhaltung der Vorschriften bei Fargate:

  • FIPS-140 Compliance ist nur verfügbar in AWS GovCloud (US) Regionen.

  • Fargate unterstützt FIPS-140 Version 140.3

  • FIPS-140 Die Konformität ist standardmäßig deaktiviert. Sie müssen sie einschalten.

  • Amazon CloudWatch unterstützt keinen DualStack-FIPS-Endpunkt, der zur Überwachung von Amazon ECS-Aufgaben verwendet werden kann IPv6-only Konfiguration, die verwendet FIPS-140 Konformität.

  • Ihre Aufgaben müssen die folgende Konfiguration verwenden für FIPS-140 Einhaltung der Vorschriften:

    • Der operatingSystemFamily muss LINUX sein.

    • Der cpuArchitecture muss X86_64 sein.

    • Die Fargate-Plattformversion muss 1.4.0 oder höher sein.

FIPS auf Fargate verwenden

Verwenden Sie zur Verwendung das folgende Verfahren FIPS-140 Einhaltung der Vorschriften bei Fargate.

  1. Einschalten FIPS-140 Einhaltung. Weitere Informationen finden Sie unter AWS Fargate Einhaltung des Federal Information Processing Standard (FIPS-140).

  2. Sie können optional ECS Exec verwenden, um den folgenden Befehl auszuführen, um Folgendes zu überprüfen FIPS-140 Konformitätsstatus für einen Cluster.

    Ersetzen cluster-name mit dem Namen Ihres Clusters, task-id mit der ID oder ARN Ihrer Aufgabe und container-name mit dem Namen des Containers in Ihrer Aufgabe, für die Sie den Befehl ausführen möchten.

    Ein Rückgabewert von „1“ gibt an, dass Sie FIPS verwenden.

    aws ecs execute-command \
    --cluster cluster-name \
    --task task-id \
    --container container-name \
    --interactive \
    --command "cat /proc/sys/crypto/fips_enabled"

Verwenden Sie CloudTrail für Fargate FIPS-140 Rechnungsprüfung

CloudTrail ist in Ihrem aktiviert AWS Konto, wenn Sie das Konto erstellen. Wenn API- und Konsolenaktivitäten in Amazon ECS auftreten, wird diese Aktivität in einem CloudTrail Ereignis zusammen mit anderen AWS Serviceveranstaltungen in Verlauf der Ereignisse. Sie können aktuelle Ereignisse in Ihrem anzeigen, suchen und herunterladen AWS Konto. Weitere Informationen finden Sie unter Ereignisse anzeigen mit CloudTrail Verlauf der Ereignisse.

Für eine fortlaufende Aufzeichnung der Ereignisse in Ihrem AWS Erstellen Sie für Ihr Konto, einschließlich Ereignisse für Amazon ECS, einen Trail, der CloudTrail verwendet, um Protokolldateien an einen Amazon S3-Bucket zu senden. Wenn Sie einen Trail in der Konsole anlegen, gilt dieser für alle -Regionen. Der Trail protokolliert Ereignisse aus allen Regionen in der AWS partitioniert und übermittelt die Protokolldateien an den von Ihnen angegebenen Amazon S3-Bucket. Darüber hinaus können Sie andere konfigurieren AWS Dienste zur weiteren Analyse und Bearbeitung der in CloudTrail protokolliert. Weitere Informationen finden Sie unter Protokollieren Sie Amazon ECS-API-Aufrufe mit AWS CloudTrail.

Das folgende Beispiel zeigt eine CloudTrail Protokolleintrag, der das demonstriert PutAccountSettingDefault API-Aktion:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "AIDAIV5AJI5LXF5EXAMPLE",
         "arn": "arn:aws:iam::123456789012:user/jdoe",
        "accountId": "123456789012",
        "accessKeyId": "AKIAIPWIOFC3EXAMPLE",
    },
    "eventTime": "2023-03-01T21:45:18Z",
    "eventSource": "ecs.amazonaws.com",
    "eventName": "PutAccountSettingDefault",
    "awsRegion": "us-gov-east-1",
    "sourceIPAddress": "52.94.133.131",
    "userAgent": "aws-cli/2.9.8 Python/3.9.11 Windows/10 exe/AMD64 prompt/off command/ecs.put-account-setting",
    "requestParameters": {
        "name": "fargateFIPSMode",
        "value": "enabled"
    },
    "responseElements": {
        "setting": {
            "name": "fargateFIPSMode",
            "value": "enabled",
            "principalArn": "arn:aws:iam::123456789012:user/jdoe"
        }
    },
    "requestID": "acdc731e-e506-447c-965d-f5f75EXAMPLE",
    "eventID": "6afced68-75cd-4d44-8076-0beEXAMPLE",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES128-GCM-SHA256",
        "clientProvidedHostHeader": "ecs-fips.us-gov-east-1.amazonaws.com"
    }
}