Restricționează regiunile permise prin SCP

Practica de a restricționa regiunile permise prin AWS Service Control Policies (SCP) este esențială pentru controlul costurilor și conformitatea datelor. Prin limitarea accesului la anumite regiuni geografice, previi crearea accidentală sau intenționată de resurse în locații neautorizate, care ar putea duce la facturi surpriză sau încălcări ale reglementărilor locale (GDPR). Dacă ignori această măsură, echipa ta poate depăși bugetul rapid sau poate expune date sensibile în jurisdicții neprotejate.

Cum o aplici

1. Accesează consola AWS Organizations și selectează organizația ta.
2. Navighează la Policies > Service Control Policies și creează o nouă politică.
3. Editează JSON-ul pentru a permite explicit doar regiunile dorite (de exemplu, eu-central-1 și eu-west-1).
4. Atașează politica la rădăcina organizației sau la unități organizatorice specifice.

Exemplu

Varianta greșită permite toate regiunile (implicit, dacă nu e specificat contrariu în alte politici):

{
  "Version": "2012-10-17",
  "Statement": [] 
}

Varianta corectă blochează totul, exceptând regiunile permise:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:RequestedRegion": [
            "eu-central-1",
            "eu-west-1"
          ]
        }
      }
    }
  ]
}

Cum verifici

Folosește AWS Config pentru a crea o regulă custom care detectează resurse create în regiuni interzise. De asemenea, poți verifica jurnalul de audit din CloudTrail filtrând după eventName și awsRegion pentru a vedea dacă există încercări de a crea servicii în zonele blocate. Monitorizează alertele de costuri din AWS Cost Explorer pentru a identifica orice cheltuială neașteptată în regiuni excluse.

Greșeli frecvente

• Blocarea regiunii de management: Asigură-te că nu blochezi regiunea unde sunt stocate conturile de facturare sau unde rulează serviciile de gestionare a identității, deoarece acest lucru poate complica administrarea.
• Confuzia între IAM și SCP: SCP acționează la nivel de organizație și suprascrie permisiunile IAM. Dacă ai o politică IAM care permite o regiune, dar SCP o blochează, acțiunea va eșua. Verifică întotdeauna ierarhia de permisiuni.
• Uitarea de a testa în conturi sandbox: Aplică politica mai întâi într-o unitate organizatorică izolată pentru a vedea impactul asupra fluxurilor de lucru ale dezvoltatorilor înainte de a o extinde la întreaga organizație.