Isolez les domaines réseau en déployant vos charges de travail dans des VPC distincts, par exemple pour séparer les réseaux de bureau, de test et de production, ou encore les plans de service et d’exploitation et maintenance (O&M).
Risques de sécurité
Chaque domaine réseau possède son propre niveau de sécurité et ses exigences spécifiques en matière de contrôle d’accès. En l’absence d’une isolation appropriée, les attaques peuvent se propager latéralement et des accès non autorisés peuvent survenir.
Par exemple, un réseau de bureau accède à Internet et est donc plus exposé aux virus. Un réseau de production doit exposer ses services de manière contrôlée, et les machines qui le composent ne doivent être modifiées que via des systèmes d’O&M autorisés. Sans isolation, un virus présent sur un ordinateur de bureau peut se propager aux machines de production, et les ordinateurs de bureau peuvent contourner les systèmes autorisés pour accéder directement à la production.
Les groupes de sécurité ne sont pas adaptés à l’isolation des domaines réseau. Les VPC offrent une isolation native grâce à des espaces d’adressage indépendants, ce qui élimine la nécessité d’une planification complexe des adresses. Utilisez des services tels que PrivateLink pour limiter les accès entre VPC. À l’inverse, diviser un seul VPC en plusieurs domaines réseau requiert une planification minutieuse des adresses : par défaut, les ressources au sein d’un même VPC peuvent communiquer librement, et des règles de groupe de sécurité mal configurées peuvent facilement créer des autorisations involontaires.
Bonnes pratiques
Isoler les VPC et utiliser PrivateLink pour les accès inter-VPC
PrivateLink permet l’accès aux services entre VPC via une VIP de service. La figure suivante illustre la connexion d’un service dans le VPC1 à un service dans le VPC2 grâce à PrivateLink. Consultez la rubrique Accéder à une instance CLB dans un autre VPC à l’aide de PrivateLink.
Utilisez les stratégies de point de terminaison PrivateLink pour contrôler quelles entités, telles que les utilisateurs RAM ou les rôles, peuvent accéder aux services via un point de terminaison. Pour en savoir plus, reportez-vous à la section Stratégies de point de terminaison.
Associez un groupe de sécurité à un point de terminaison PrivateLink afin de restreindre l’accès à l’adresse IP privée du point de terminaison à certaines adresses IP ou groupes de sécurité spécifiques. Consultez la documentation relative à l’ajout et à la gestion des groupes de sécurité : Ajouter et gérer des groupes de sécurité.
Cette méthode convient aux scénarios impliquant des parties non fiables ; par exemple, le VPC1 et le VPC2 peuvent appartenir à des entreprises différentes.
Isoler les VPC avec CEN et un pare-feu VPC
Cloud Enterprise Network (CEN) connecte les VPC entre régions et comptes selon une topologie en étoile (hub-and-spoke), comme illustré dans la figure suivante. Pour plus de détails, consultez la rubrique Connecter des VPC entre régions avec un réseau basé sur des scénarios.
Les stratégies de routage CEN fournissent un contrôle d’accès grossier entre les VPC. Dans la figure précédente, vous pouvez autoriser la communication entre le VPC1 et le VPC3, ainsi qu’entre le VPC1 et le VPC2, tout en bloquant la communication entre le VPC2 et le VPC3.
Pour un contrôle d’accès au niveau métier, configurez un pare-feu VPC pour un routeur de transit Edition Basic. Comme indiqué dans la figure suivante, le pare-feu VPC détourne le trafic à la frontière du VPC et applique des règles DPI, IPS, ainsi que des fonctionnalités de renseignement sur les menaces, de correctif virtuel et de politiques de contrôle d’accès pour filtrer le trafic inter-VPC et bloquer les accès non autorisés.
