Mục tiêu học tập
- Ghép các mảnh audit: CloudTrail, Config, Redshift/S3 logs, Lake Formation audit
- Hiểu VPC endpoints cho data services (private connectivity)
- Tổng hợp khung governance cho data platform
- Ôn lại toàn tuần security bằng bảng "yêu cầu → dịch vụ"
1. Audit từng lớp
| Lớp | Công cụ | Ghi gì |
|---|---|---|
| API AWS | CloudTrail (management + data events) | Ai gọi API gì (kể cả GetObject nếu bật) |
| Cấu hình | AWS Config | Trạng thái + lịch sử cấu hình, compliance rules |
| Query warehouse | Redshift audit logging (connection/user/user activity log → S3/CloudWatch) | Ai chạy SQL gì |
| Query lake | Athena query history + CloudTrail; Lake Formation ghi cấp/dùng quyền qua CloudTrail | Ai query bảng nào |
| Object access | S3 server access logs (rẻ, best-effort) / CloudTrail data events (chi tiết) | Ai đọc object |
| Tổng hợp compliance | Security Hub, AWS Audit Manager (thu thập bằng chứng theo framework) | Báo cáo chuẩn |
Pattern phân tích audit: logs → S3 → Athena (bảng partitioned) hoặc CloudTrail Lake — chính là một pipeline data.
2. Private connectivity cho data services
Yêu cầu "traffic không đi qua Internet" xuất hiện thường xuyên:
| Dịch vụ | Endpoint |
|---|---|
| S3, DynamoDB | Gateway endpoint (miễn phí, route table) |
| Glue, Athena, KMS, Kinesis, Secrets Manager, Redshift Data API... | Interface endpoint (PrivateLink, ENI trong subnet, có phí) |
| Redshift | Enhanced VPC routing (COPY/UNLOAD đi trong VPC) + RA3 trong VPC |
| On-prem → AWS | VPN / Direct Connect |
- Interface endpoint + endpoint policy: giới hạn endpoint chỉ gọi được resource nhất định (vd chỉ bucket của công ty)
- Bucket policy điều kiện
aws:SourceVpce— bucket chỉ nhận traffic từ VPC endpoint chỉ định
3. Khung governance data platform (tổng hợp tuần 7)
IDENTITY IAM roles (không key cứng), Identity Center cho người
PERMISSION Lake Formation (LF-tags, filters) + IAM + key policy
ENCRYPT KMS mọi lớp at-rest, TLS in-transit, Bucket Keys
PII Macie (phát hiện) → mask/hash ETL → LF/DDM (kiểm soát)
SECRETS Secrets Manager (rotation), Parameter Store (config)
AUDIT CloudTrail (+data events chọn lọc), Config rules,
Redshift audit logs, Security Hub / Audit Manager
NETWORK VPC endpoints, SourceVpce policy, private subnets
RETENTION S3 lifecycle + Object Lock (WORM) khi compliance yêu cầu
S3 Object Lock: WORM (write-once-read-many) — governance mode (admin gỡ được) vs compliance mode (không ai gỡ được trong retention, kể cả root) — "immutable, regulatory" → compliance mode.
4. Bảng ôn tập "yêu cầu → dịch vụ" (toàn tuần)
| Yêu cầu trong đề | Đáp án |
|---|---|
| Audit ai dùng KMS key giải mã | SSE-KMS customer managed + CloudTrail |
| Giảm chi phí KMS trên bucket ghi dày | S3 Bucket Keys |
| Quyền theo tag scale hàng trăm bảng | LF-TBAC |
| Row/column theo từng team | LF data filters |
| Chia sẻ bảng cross-account không copy | LF grant + RAM + resource link |
| Tìm PII trong S3 | Macie |
| Mask PII trong ETL | Glue Detect PII |
| Mask theo role lúc query Redshift | Dynamic Data Masking |
| Credentials DB có rotation | Secrets Manager |
| Traffic S3 không ra Internet | Gateway VPC endpoint (+SourceVpce policy) |
| Log bất biến cho regulator | S3 Object Lock compliance mode |
| Cấu hình lệch chuẩn tự phát hiện/sửa | AWS Config rules + remediation |
Câu hỏi ôn tập
-
Regulator yêu cầu log giao dịch lưu 7 năm, không ai (kể cả admin) xóa/sửa được. Cấu hình?
Xem đáp án
S3 bucket bật Object Lock ở compliance mode với retention 7 năm (bật versioning kèm theo — bắt buộc): object không thể xóa/ghi đè trong retention bởi bất kỳ ai kể cả root. Governance mode cho phép principal đặc biệt gỡ — không thỏa "kể cả admin". Kết hợp lifecycle chuyển Glacier Deep Archive cho rẻ.
-
Bucket data lake chỉ được truy cập từ VPC của công ty, không qua Internet. Hai mảnh cấu hình?
Xem đáp án
(1) Tạo S3 Gateway VPC endpoint trong VPC (route table) — đường đi private, miễn phí; (2) bucket policy Deny khi
aws:SourceVpcekhác endpoint ID chỉ định (hoặc điều kiệnaws:SourceVpc) — chặn mọi đường khác kể cả console/Internet. Một chiều tạo đường, một chiều chặn đường còn lại. -
Cần chứng minh với auditor: mọi thay đổi cấu hình bucket/cluster trong 12 tháng và trạng thái compliance từng thời điểm. Dịch vụ?
Xem đáp án
AWS Config — ghi configuration history (bucket policy, encryption, cluster settings thay đổi thế nào theo thời gian) + rules đánh giá compliance liên tục; timeline xem lại được từng thời điểm. CloudTrail bổ sung "ai thực hiện thay đổi". Audit Manager đóng gói bằng chứng theo framework nếu cần báo cáo chuẩn.
-
Ai đã chạy câu SQL nào trên Redshift tháng trước — lấy từ đâu?
Xem đáp án
Bật Redshift audit logging: user activity log (từng câu SQL, user, thời gian) + connection log, xuất ra S3 (hoặc CloudWatch Logs) — phân tích bằng Athena. Lưu ý user activity log cần bật tham số
enable_user_activity_logging. System tables (STL/SVL) chỉ giữ ngắn hạn — không đủ cho "tháng trước". -
Tổng hợp: pipeline nhận file PII từ đối tác, yêu cầu (a) đối tác đẩy qua SFTP; (b) PII được mask trước khi analyst thấy; (c) analyst mỗi nước chỉ thấy dữ liệu nước mình; (d) mọi truy cập audit được. Ghép dịch vụ?
Xem đáp án
(a) Transfer Family SFTP → S3 raw (KMS); (b) Glue ETL + Detect PII hash/redact → curated; (c) Lake Formation data filters row-level
country=...cho từng team qua Athena; (d) CloudTrail (+ data events trên bucket nhạy cảm) + Athena phân tích, Lake Formation permissions ghi vào CloudTrail. Một câu hỏi xâu chuỗi đúng kiểu đề DEA domain 4.
Bài tập thực hành
- Bật AWS Config với rule
s3-bucket-server-side-encryption-enabledvà xem compliance dashboard - Thêm điều kiện SourceVpce vào bucket policy lab (cẩn thận tự khóa mình — test trên bucket thử)
- Bật Object Lock governance mode trên bucket mới và thử xóa object
- Ôn bảng "yêu cầu → dịch vụ" chuẩn bị quiz
Tài liệu tham khảo chính thức
Tiếp theo: Quiz Tuần 7