compliance

Amazon EBS 在 Compliance mode 下的 Snapshot Lock

Jeff Barr 寫了「New – Amazon EBS Snapshot Lock」這篇，介紹 Amazon EBS 的新功能 Snapshot Lock。

從名字就知道是鎖住 snapshot 不讓人刪除，比較特別的是有兩個模式，第一個是 Governance，這個模式下就只是防止誤刪除的情況：

This mode protects snapshots from deletions by all users. However, with the proper IAM permissions, the lock duration can be extended or shortened, the lock can be deleted, and the mode can be changed from Governance mode to Compliance mode.

比較重要的是第二個模式 Compliance，在超過猶豫期 (cooling-off period) 後就不能動了，就算你有最大的權限 (我猜是連 root account 也不能動)，唯一能操作的只有延長 lock 時間：

This mode protects snapshots from actions by the root user and all IAM users. After a cooling-off period of up to 72 hours, neither the snapshot nor the lock can be deleted until the lock duration expires, and the mode cannot be changed. With the proper IAM permissions the lock duration can be extended, but it cannot be shortened.

的確是遵循法規用的功能...

AWS 要在歐洲建立一個完全獨立的 Cloud 系統

在 CNBC 上看到的新聞，AWS 打算在歐洲建立一個完全獨立的 Cloud 系統：「Amazon launches European ‘sovereign’ cloud as EU data debate rages」。

AWS European Sovereign Cloud 會是完全獨立的 cloud：

Amazon on Wednesday said it will launch an independent cloud for Europe aimed at companies in highly-regulated industries and the public sector.

這邊講的「完全獨立」，除了東西都放在歐洲以外，連員工都是歐盟員工：

Customers of the new system will be able to keep certain data in the European Union and only EU-resident AWS employees who are located in the 27-nation bloc will have control of the operations and support for the sovereign cloud.

這個作法倒是頗特別的，看起來是想要試著說服歐盟這樣是 OK 的？推出的時候可以看看還有什麼特別的東西？

Tailscale SSH 可以啟動側錄功能

Tailscale 宣布 Tailscale SSH 可以側錄：「Announcing session recording for Tailscale SSH in beta」，這主要是對於 compliance 需求會有幫助，以前有類似需求的話會透過 jump server 類的方式來側錄...

這次提供的是 asciinema 格式，很容易可以 replay：

When a member of your tailnet initiates a connection over Tailscale SSH, our client on the server records all of the terminal output in asciinema format, and streams it to a dedicated recorder node on your tailnet.

開放給所有使用者，包括免費版本：

Session recording for Tailscale SSH is available in beta on our Free and Enterprise plans.

舊的 SSH session logging 則是宣布在八月會停掉：

This feature replaces a legacy version of local SSH session logging that saves recordings directly to the SSH server’s filesystem. We are deprecating that feature, and anyone using it should migrate to the new SSH session recording feature. The legacy functionality will remain active until at least August 1, 2023.

在 Hacker News 的討論「Session recording for Tailscale SSH in beta (tailscale.com)」裡面有一些有趣的東西，像是 sudo 也有提供類似的功能：「Sudoreplay」。

之前有遇過一些商用方案，有提供類似的功能，像是 CyberArk 的「Configure recordings and audits (PSM for SSH)」。

另外 2016 年時 AWS 的人也有寫過「How to Record SSH Sessions Established Through a Bastion Host」。

算是稽核上常見的需求，先前就有不少方法了，Tailscale 提供的工具等於是簡化了一些步驟。

法國 CNIL 認為 Google Analytics 傳輸資料回美國違反 GDPR

先前提過德國認為沒有告知使用者網站使用 Google Fonts 違反 GDPR (可以參考先前寫的「德國的地方法院說使用 Google Fonts 服務沒有告知使用者違反 GDPR」這篇)，這次法國的 CNIL (英文維基百科的介紹：「Commission nationale de l'informatique et des libertés」，是法國政府的一個獨立單位) 認定 Google Analytics 將資料傳回美國違反 GDPR：「Use of Google Analytics and data transfers to the United States: the CNIL orders a website manager/operator to comply」。

文章的 summary 講的差不多：

Google Analytics provides statistics on website traffic. After receiving complaints from the NOYB association, the CNIL, in cooperation with its European counterparts, analysed the conditions under which the data collected through this service is transferred to the United States. The CNIL considers that these transfers are illegal and orders a French website manager to comply with the GDPR and, if necessary, to stop using this service under the current conditions.

這件事情在 Hacker News 上的討論很熱烈，這邊就不爆雷了：「Use of Google Analytics declared illegal by French data protection authority (cnil.fr)」，在看的時候要知道 Hacker News 是非常美國觀點的站台 (偏 Y Combinator 或是 VC 圈子觀點)。

t3 也可以上 Dedicated Single-Tenant Hardware 了

AWS 宣佈 t3 系列的機器也可以上 Dedicated Single-Tenant Hardware 了，也就是實體的機器不與其他人共用：「New – T3 Instances on Dedicated Single-Tenant Hardware」。

會需要避免共用實體機器，其中一種常見的是需求是 compliance，主要是在處理資料 (尤其是敏感資料) 時要求實體隔離，以降低 side-channel attack 或是類似攻擊的風險：

Our customers use Dedicated Instances to further their compliance goals (PCI, SOX, FISMA, and so forth), and also use them to run software that is subject to license or tenancy restrictions.

另外一種情境是 AWS 的美國政府區，直接與一般商業區的系統切開，不過這也得有經濟規模才有辦法這樣玩...

Amazon SES 過 HIPAA 了

因為 Amazon SES 算是很基本的服務，一直以為 AWS 早就把 Amazon SES 過 HIPAA 了，剛剛看到 AWS 的公告 Amazon SES 過了 HIPAA 才發現並不是這樣：「Amazon SES Achieves HIPAA Eligibility」。

Anyway，這次是所有區域的 SES 都過了：

Amazon SES is now a HIPAA Eligible Service. HIPAA eligibility applies to all AWS Regions where Amazon SES is available.

然後翻了一下市場的情況，看起來 SendGrid 與 MailChimp 也沒過，但 Mailgun 有過... 所以是本來就有方案可以用。

AWS 推出了 S3 Object Lock，保護資料被刪除的可能性

AWS 推出了 S3 Object Lock，可以設定條件鎖住 S3 上的 object，以保護資料不被刪除：「AWS Announces Amazon S3 Object Lock in all AWS Regions」。

這個功能跟會計做帳的概念很像，也就是寫進去後就不能改，也不能刪除，保留一定時間後才移除掉：

You can migrate workloads from existing write-once-read-many (WORM) systems into Amazon S3, and configure S3 Object Lock at the object- and bucket-levels to prevent object version deletions prior to pre-defined Retain Until Dates or Legal Hold Dates.

AWS 提供有兩種模式，一個是 Governance mode，這個模式下可以設定某些 IAM 權限可以移除 S3 Object Lock。另外一個是 Compliance mode，這個模式下連 root account 都不能刪除：

S3 Object Lock can be configured in one of two modes. When deployed in Governance mode, AWS accounts with specific IAM permissions are able to remove object locks from objects. If you require stronger immutability to comply with regulations, you can use Compliance Mode. In Compliance Mode, the protection cannot be removed by any user, including the root account.

AWS 多了一卡車服務符合 PCI DSS

碰到信用卡卡號時會需要的 PCI DSS，在 AWS 上面多了一卡車服務過了這個認證：「AWS Adds 16 More Services to Its PCI DSS Compliance Program」。

多了這些，有不少其實蠻常用的東西：

Amazon Inspector
Amazon Macie
Amazon QuickSight
Amazon S3 Transfer Acceleration
Amazon SageMaker
Amazon Simple Notification Service
AWS Batch
AWS CodeBuild
AWS Lambda@Edge
AWS Shield
AWS Snowball
AWS Snowball Edge
AWS Snowmobile
AWS Systems Manager
AWS X-Ray

Lambda@Edge 可以用表示信用卡處理頁面上也可以卡這個服務進來了，另外比較意外的是，SNS 之前居然沒在 PCI DSS 清單裡面喔 XDDD