Architecture avancée sur AWS - Module 7
Joseph EKOBO KIDOU
AWS Certified Solutions Architect - Professional | AWS Community Builder
Clap de fin pour notre marathon dédié à la restitution de la formation "Architecture avancée sur AWS", le Module 7 est en effet le dernier de la série.
Un bref rappel des précédents modules que nous avons restitué :
Le Module 0 balayait les bonnes pratiques à observer sur nos infrastructures Cloud.
Le Module 1 nous plongeait dans les architectures multi-comptes AWS.
Le Module 2 traitait des architectures réseaux sur le cloud AWS.
Le Module 3 traitait du provisionning de vos infrastructures Cloud et du déploiement de vos applications sur le Cloud AWS.
Le Module 4 traitait de la Data, plus précisément de la conception de solutions pour le traitement de gros volumes de données.
Le Module 5 traitait de la conception d'applications à l'échelle du Web pour bâtir des architectures qui tiennent le choc lors des pics de charge.
Le Module 6 traitait de la construction de solutions résiliantes, notamment pour faire face à des attaques de type DDoS, et traitait aussi des options de haute disponibilité pour vos bases de données, il abordait également des patterns intéressants comme le circuit-breaker et le bulkheads.
Dans ce Module 7, il est question de chiffrement et de sécurité, on y aborde notamment les solutions KMS, Cloud HSM, et comment vous pouvez en tirer partie pour protéger vos données au repos et en transit
Module 7 : Encryption and Data Security
Chiffrement des données et gestion des clefs de chiffrement
- Chiffrement : La gestion des clés de chiffrement est essentielle pour empêcher tout accès non autorisé aux informations sensibles de votre organisation. Si les clés sont compromises, des systèmes et des données entiers peuvent être compromis et vos informations rendues accessibles à des personnes qui ne veulent pas forcément du bien à votre organisation.
- Comment fonctionne le chiffrement ? Supposons que votre organisation dispose d'une donnée sensible, ce qui est clairement le cas dans la plupart des organisations. Pour le chiffrement de cette donnée, une clé symétrique (data key) peut être générée par un logiciel ou un matériel de chiffrement. Cette clé est ensuite utilisée avec un algorithme de chiffrement comme AES pour chiffrer votre donnée (plain-text data) et c'est le résultat (ciphertext data) de cette opération qui est stocké en lieu et place de la donnée initiale. Sachez également que la bonne pratique recommande de protéger également votre clé symétrique avec une autre clé appelée key-encrypting key ou master key, et c'est finalement le résultat de ce chiffrement que vous allez stocker.
Vous allez certainement vous demander comment est protégée la Master Key ? Eh bien sachez qu'il est possible de créer toute une hiérarchie de clés en protégeant la Master Key avec d'autres clés.
- Key Management Infrastructure : Pour réaliser le chiffrement, les clés doivent bien provenir de quelque part, ce "quelque part", correspond en fait à un système appelé Key Management Infrastructure. Cette infrastructure peut être gérée par l'organisation elle même, directement dans vos datacenters ou alors dans une infrastructure cloud hébergeant une solution achetée sur la Marketplace AWS, c'est le DIY key management ou le Client-Side Encryption. Vous pouvez aussi opter pour le Server-Side Encryption et donc utiliser l'infrastructure AWS KMS ou encore l'infrastructure AWS CloudHSM.
DIY = Do It Yourself / Client-Side Encryption
- DIY : Correspond à un mode dans lequel, tout le chiffrement se fait dans vos datacenters on-premises, vous avez un contrôle total et vous ne vous adressez à AWS que stocker vos données. Ce mode vous permet en effet de réutiliser une infrastructure de gestion de clé que vous possédez déja, mais cela comporte quand même quelques inconvénients : C'est généralement une infrastructure complexe à répliquer dans plusieurs régions, la montée en compétence de nouveaux développeurs est souvent difficile et la gestion et l'audit des accès à l'infrastructure de clés se complexifie plus l'organisation grandit. Cette complexité peut par contre diminuer si vous achetez une solution prête à l'emploi sur la Marketplace AWS et vous la déployez sur des instances EC2.
AWS Key Management Service
Avec KMS, vous n'avez pas à vous soucier de la protection de la Master Key, les clés de chiffrement des données sont uniques pour chaque item chiffré, si l'une d'entre elle est compromise, elle ne permettra donc pas de déchiffrer les autres items, le risque de compromission est amoindri, le chiffrement de gros volumes de données est nécessairement plus performant car il tire partie de la puissance de calcul disponible sur le cloud et il est de fait plus simple de gérer un nombre limité de master keys que des millions de data keys.
AWS Cloud Hardware Security Module - AWS CloudHSM
- Hardware Security Module : AWS CloudHSM est le module de sécurité matériel d'AWS, c'est une appliance physique qui vous est dédiée.
Comparaison des options de gestion des clés de chiffrement
Protection des données au repos et en transit
Ainsi s'achève notre séquence de restitution dédiée à la formation "Architecture avancée sur AWS". Une formation dense, mais une formation qui vaut vraiment la peine d'être suivie, car elle aborde des questions cruciales qui de plus s'imposent dans nos organisations, car aucune d'entre elles n'a jusqu'ici réussi à échapper à l'hybridation grandissante des systèmes d'informations, la culture du cloud doit donc s'ancrer en profondeur et cela passe par une transposition précise de tous les mécanismes qui jusqu'ici était mis en place dans nos datacenters on-premises, cela passe également par l'adoption de réflexes issus du cloud afin d'en tirer le meilleur.
N'hésitez donc pas à relire tous les articles de la série et qui sait, si vous le souhaitez, vous pourrez même tenter la fameuse certification AWS Solutions Architect Professional SAP-C01.
Pour vous y préparer dans des bonnes conditions, vous avez également ce cours que j'ai publié sur Udemy SAP-C01 AWS Solutions Architect Professional Certification
🔴 Module 0, Module 1, Module 2, Module 3, Module 4, Module 5, Module 6