• Kết nối SageMaker Thông qua VPC Interface Endpoint
• Lợi ích
• Cách Thiết lập
• VPC Endpoint Policy
• Kết luận

Amazon Web Services (AWS) giới thiệu tính năng tăng cường bảo mật cho Amazon SageMaker bằng cách cung cấp khả năng kết nối thông qua VPC.

Kết nối SageMaker Thông qua VPC Interface Endpoint

Amazon SageMaker cho phép bạn kết nối trực tiếp với API SageMaker hoặc Amazon SageMaker Runtime thông qua một interface endpoint trong Virtual Private Cloud (VPC) của bạn, thay vì kết nối qua internet.

Sơ đồ cho thấy một ứng dụng trong VPC sử dụng AWS PrivateLink để giao tiếp với SageMaker Runtime, sau đó SageMaker Runtime giao tiếp với SageMaker endpoint.

Lợi ích

1. Giao tiếp an toàn: Toàn bộ quá trình giao tiếp diễn ra trong mạng AWS.
2. Không cần Internet Gateway: Các instance trong VPC không cần kết nối internet công cộng.
3. Bảo mật nâng cao: Giảm thiểu rủi ro từ các mối đe dọa bên ngoài.

Cách Thiết lập

1. Tạo AWS PrivateLink interface endpoint sử dụng AWS Management Console hoặc AWS CLI.
2. Nếu chưa bật private DNS hostname cho VPC endpoint, chỉ định URL endpoint internet cho SageMaker API hoặc Runtime.

Ví dụ dùng CLI:

aws sagemaker list-notebook-instances --endpoint-url VPC_Endpoint_ID.api.sagemaker.Region.vpce.amazonaws.com

aws sagemaker list-training-jobs --endpoint-url VPC_Endpoint_ID.api.sagemaker.Region.vpce.amazonaws.com

aws sagemaker-runtime invoke-endpoint --endpoint-url https://VPC_Endpoint_ID.runtime.sagemaker.Region.vpce.amazonaws.com  \

    --endpoint-name Endpoint_Name \

    --body "Endpoint_Body" \

    --content-type "Content_Type" \

            Output_File

VPC Endpoint Policy

Tạo policy cho VPC endpoints để kiểm soát quyền truy cập:

{

  "Statement": [

      {

          "Action": "sagemaker:InvokeEndpoint",

          "Effect": "Allow",

          "Resource": "arn:aws:sagemaker:us-west-2:123456789012:endpoint/myEndpoint",

          "Principal": "*"

      }

  ]

}

Kết luận

Với việc hỗ trợ kết nối thông qua VPC, Amazon SageMaker đã nâng cao đáng kể khả năng bảo mật cho các dự án Machine Learning và AI.

Hy vọng những chia sẻ trong bài viết này hữu ích cho các kỹ sư ML và AI trong tương lai.

The post Tăng cường Bảo mật cho Amazon SageMaker appeared first on Sunny Cloud | AWS Billing và giải pháp AWS toàn diện.

Amazon VPC IP Address Manager (IPAM) là một dịch vụ cung cấp quy trình quản lý IP tự động dành cho các quản trị viên mạng. Từ management console dashboard, bạn có thể tự động kiểm tra tình trạng sử dụng IP address và phân bổ IP address cho VPC, giúp tự động hóa quản lý IP address, việc mà trước đây phải thực hiện thủ công.

Ngoài ra, IPAM cung cấp các tính năng giám sát và kiểm tra cho quản trị viên mạng. Khi phát hiện ra các vấn đề tiềm ẩn (như cạn kiệt address gây ra sự cố lớn trên mạng hay sự trùng lặp địa address có thể đẫn đến định tuyến không chính xác) hệ thống sẽ phát cảnh báo. Tỉ lệ sử dụng address space trong pool cũng có thể được phát hiện trước khi Ip address cạn kiệt thông qua báo động của CloudWatch.

Nội dung cập nhật

Tính năng Public IP Insight là một phần của Amazon VPC IP Address Manager (IPAM), cung cấp một cái nhìn tổng thể về tất cả các Public IPv4 address. 

Với sự bổ sung tính năng này, giúp dễ dàng giám sát, phân tích và kiểm tra các Public IPv4 address được sử dụng trên các dịch vụ AWS trong tài khoản AWS. Tính năng Public IP Insight cho phép quan sát tình trạng sử dụng của Public IPv4 address, xác định các tài nguyên AWS mà Public IPv4 address được liên kết, và cung cấp thông tin chi tiết về mục đích sử dụng IPv4 address.

Ngoài ra, bạn cũng có thể xác định và giải phóng các Public IPv4 address không được sử dụng bởi các tài nguyên AWS liên kết. 

Ví dụ, có thể xác định việc sử dụng Public IPv4 address không hiệu quả cho trường hợp như Public IPv4 address được sử dụng trong EC2 Instance có quy tắc security group chỉ cho phép traffic ingress truy cập SSH (qua cổng 22) từ cùng security group. Có thể dùng phương án thay thế cho IPv4 public chẳng hạn như EC2 Instance Connect Endpoint.

Thử nghiệm

1. Trong IPAM management console menu, [Public IP Insight] đã được thêm mới.

2. Khi nhấp vào [IPAM], nhưng vì không sử dụng Public IP address nên một thông báo xuất hiện.

3. Gắn EIP cho EC2 và mở port, hiển thị màn hình như bên dưới.

Có thể lọc theo 4 loại Public IP bên dưới:

• EIP thuộc sở hữu của Amazon
• EC2 Public IP
• BYOIP
• Service Managed IP

4. Về trạng thái sử dụng EIP, bạn có thể nhầm lẫn khi hiển thị giữa biểu đồ tròn là [0], nhưng đó là số lượng EIP không liên kết. Khi di chuyển con trỏ chuột, số lượng EIP của Amazon được liên kết sẽ hiển thị.

Có thể lọc bằng 4 loại sau:

• EIP của Amazon được liên kết
• BYOIP được liên kết
• EIP của Amazon không được liên kết
• BYOIP không được liên kết

5. Khi giải phóng EIP, màn hình quay về (2)

Đây là tính năng hữu ích cho những tài khoản thường xuyên sử dụng Public IP.

Tham khảo: 【アップデート】VPC IP Address ManagerにパブリックIPインサイト機能が追加されました | SunnyCloud

The post Public IP Insight – Tính năng mới của VPC IP Address Manager  appeared first on Sunny Cloud | AWS Billing và giải pháp AWS toàn diện.

AWS Management Console Private Access là một tính năng có khả năng bảo mật cao của AWS. Tính năng này được chính thức sử dụng vào tháng 5 năm 2023.

Khách hàng có thể chỉ định những tài khoản và Tổ chức AWS nào được phép truy cập AWS Management Console từ mạng của họ. Ứng dụng sẽ từ chối các nỗ lực truy cập AWS Management Console từ trong mạng của họ bằng bất kỳ tài khoản AWS nào khác.

Cách sử dụng AWS Management Console Private Access

Truy cập thông qua end point của VPC.

Để định tuyến lưu lượng mạng đến VPC endpoint đã thiết lập, bạn cần cài đặt bản ghi DNS trong mạng gốc mà người dùng truy cập vào Management Console.

• Các endpoint sau cần thiết cho mỗi khu vực

com.amazonaws.region.console for AWS Management Console 

com.amazonaws.region.signin for AWS sign in

• Bất kể có truy cập vào us-east-1 từ Management Console hay không, bạn cũng cần phải có VPC end point ở khu vực Đông Hoa Kì (Bắc Virginia).

• Cần thiết lập DNS

Với một Hosted Zone, sử dụng một signin.aws.amazon.com và một console.aws.amazon.com để thiết lập các bản ghi CNAME sau

– region.signin.aws.amazon.com : com.amazonaws.region.console

– region.console.aws.amazon.com : com.amazonaws.region.signin

– signin.aws.amazon.com : com.amazonaws.region.console

– console.aws.amazon.com : com.amazonaws.region.signin

• Đối với nội dung tĩnh (JavaScript, CSS, hình ảnh) và các dịch vụ AWS không được kích hoạt bởi AWS PrivateLink, khi truy cập vào tài nguyên thông qua AWS Management Console cần kết nối Internet từ mạng như bình thường. 
• Khi sử dụng Route 53 để thiết lập DNS, bạn có thể kiểm tra cài đặt DNS tại đây: https://console.aws.amazon.com/route53/v2/hostedzone

Bảy khu vực mới được thêm vào lần này

•  Châu Á – Thái Bình Dương (Sydney)
•  Châu Á – Thái Bình Dương (Seoul)
•  Châu Á – Thái Bình Dương (Hyderabad)
•  Châu Á – Thái Bình Dương (Mumbai)
•  Châu Á – Thái Bình Dương (Tokyo)
•  Châu Âu (London)
•  Canada (Trung tâm)

Tóm tắt

Bằng cách sử dụng VPC endpoint policy, bạn có thể kiểm soát các tài khoản đăng nhập từ Management Console. Bạn có thểm tham khảo hình ảnh bên dưới về sơ đồ hoạt động của AWS Management Console Private Access.

Tham khảo: 

【アップデート】AWS マネジメントコンソールプライベートアクセスが東京リージョンをサポートしました | SunnyCloud

The post AWS Management Console Private Access đã có mặt thêm tại 7 Khu vực AWS appeared first on Sunny Cloud | AWS Billing và giải pháp AWS toàn diện.

AWS Verified Access là gì?

Đây là dịch vụ cho phép các ứng dụng riêng tư trong VPC truy cập vào public endpoint bằng IDP (Identity Provider) đáng tin cậy nếu đáp ứng một số điều kiện nhất định, chẳng hạn như khi đáp ứng các chính sách đã định cấu hình.

Verified Access Instance

Với Verified Access Instance, các instance sẽ đánh giá yêu cầu của ứng dụng và cho phép chỉ truy cập vào các trường hợp đã đáp ứng điều kiện bảo mật.

Verified Access Endpoint

Mỗi endpoint đại diện cho một ứng dụng. Bạn có thể tạo load balancer endpoint (điểm cuối cân bằng tải) hoặc network interface endpoint (điểm cuối giao diện mạng)

Verified Access Group

Nhóm các access endpoint (điểm cuối truy cập) được xác thực. Bạn nên nhóm các endpoint của ứng dụng có yêu cầu bảo mật giống nhau để đơn giản hóa việc quản lý chính sách. Ví dụ, bạn có thể nhóm các endpoint của tất cả các ứng dụng bán hàng.

Access policy

Một nhóm các quy tắc do người dùng xác định để quyết định cho phép hoặc từ chối quyền truy cập vào ứng dụng. Bạn có thể chỉ định kết hợp các yếu tố như ID người dùng và trạng thái bảo mật của thiết bị. Tạo group access policy (chính sách truy cập nhóm) cho mỗi access group (nhóm truy cập). Theo tuỳ chọn, bạn có thể tạo chính sách sẵn có cho ứng dụng và gắn nó vào endpoint cụ thể.

Nhà cung cấp tin cậy

Verified Access hoạt động với AWS và nhà cung cấp tin cậy của bên thứ ba. Mỗi instance Verified Access cần phải được gắn với ít nhất một IdP tin cậy. Bạn có thể gắn một ID trust provider và nhiều device trust provider vào mỗi instance Verified Access.

Dữ liệu tin cậy

Dữ liệu liên quan đến bảo mật của người dùng hoặc thiết bị mà nhà cung cấp đã xác thực gửi cho Verified Access được gọi là trust context (truy cập tin cậy). Ví dụ như địa chỉ email của người dùng hoặc phiên bản hệ điều hành của thiết bị. Verified Access đánh giá dữ liệu này để so sánh với chính sách truy cập khi có yêu cầu truy cập vào ứng dụng.

KMS key là gì?

KMS Keys trong AWS Key Management Service (KMS) là các khóa mã hóa chủ chốt dùng để mã hóa và giải mã dữ liệu. Chúng có vai trò quan trọng trong việc bảo vệ dữ liệu trong hệ thống AWS.

AWS tạo ra AWS-managed key, còn người dùng tạo ra customer-managed key.

Sau đây là bảng so sánh sự khác biệt của AWS-managed key và customer-managed key: 

Bạn có thể thực hiện các thao tác sau với customer-managed key:

• Thiết lập và quản lý key policy, IAM policy
• Kích hoạt và vô hiệu hóa key
• Xoay vòng các tài liệu được mã hóa (Rotation cryptography materials)
• Thêm tag
• Tạo alias tham chiếu đến KMS key
• Đặt lịch xóa KMS key

Nội dung cập nhật customer-managed KMS key

Verified Access hiện đã hỗ trợ customer-managed KMS key (CMK) để mã hóa dữ liệu được lưu trữ. Điều này giúp bạn dễ dàng đáp ứng yêu cầu về tuân thủ quy định của tổ chức.

Trước đây, AWS Verified Access đã sử dụng AWS-managed KMS key để mã hóa tất cả các thông tin, bao gồm thông tin của nhà cung cấp xác thực, group policy, và endpoint policy. Với bản cập nhật này, Verified Access đã hỗ trợ thêm customer-managed KMS key.

Ứng dụng bản cập nhật customer-managed KMS key 

1. Trên màn hình “Additional encryption – optional” từ bảng điều khiển quản lý đã hiển thị mục “Customize encrytion settings (advanced)”.

2. Chọn vào “Customize encrytion settings (advanced)” và nhấp vào “Create an AWS KMS key” sẽ chuyển đến màn hình tạo “Customer-managed KMS key”.

Tham khảo: 【アップデート】AWS Verified AccessがKMSのカスタマーマネージドキーをサポートしました

The post Customer-managed KMS key hiện đã được AWS Verified Access hỗ trợ appeared first on Sunny Cloud | AWS Billing và giải pháp AWS toàn diện.