AWS Security Essentials — IAM, KMS, CloudTrail, Encryption, Best Practices

Der offizielle AWS-Kurs „AWS Security Essentials" vermittelt die Grundlagen der Sicherheit in der AWS-Cloud — konzeptionell und mit praktischen Beispielen. Im Unterschied zum tiefer gehenden „Security Engineering on AWS" ist dies der Einsteiger-Kurs für alle, die mit AWS-Workloads zu tun haben. Block AWS Shared Responsibility Model: AWS sichert die Cloud (Infrastruktur, Hypervisor, Netzwerk-Backbone, Physical Security der Datacenter), Kunde sichert IN der Cloud (Daten, Anwendungs-Code, IAM-Konfiguration, Betriebssystem-Patches bei IaaS, Firewall-Regeln). Differenzierung je Service-Modell (IaaS vs. PaaS vs. SaaS). Block AWS Identity and Access Management (IAM): IAM Users (langfristige Credentials), IAM Roles (temporäre Credentials, für Services und Federated Access), IAM Groups (Rollen-basierte Berechtigungen), IAM Policies (JSON-Format mit Statements: Effect, Action, Resource, Condition), Identity-Based vs. Resource-Based Policies, IAM Access Analyzer für ungewollte Public-Access-Konfigurationen, Multi-Factor-Authentication (MFA), IAM Best Practices (Root-Account nicht für tägliche Tasks, Least Privilege, Rotate Credentials, MFA überall). Block AWS Key Management Service (KMS): Customer Master Keys (CMKs — Customer Managed, AWS Managed, AWS Owned), Symmetric vs. Asymmetric Keys, Key Policies vs. IAM Policies, Encryption Operations (Encrypt, Decrypt, GenerateDataKey für Envelope Encryption), Automatic Rotation, Key Aliases, Cross-Region und Cross-Account-Access. Block Data Encryption: Encryption at Rest (S3 Server-Side Encryption mit SSE-S3, SSE-KMS, SSE-C; EBS Volume Encryption; RDS Encryption), Encryption in Transit (TLS für API-Calls, VPN, ACM für SSL/TLS-Zertifikate). Block VPC Networksicherheit: Security Groups (Stateful, Instance-Level), Network ACLs (Stateless, Subnet-Level), VPC Flow Logs für Netzwerk-Audit, VPC Endpoints (Gateway für S3/DynamoDB, Interface für andere Services) für Private Access, AWS Network Firewall, AWS WAF (Web Application Firewall), AWS Shield (DDoS-Schutz). Block AWS CloudTrail: Management Events (API Calls), Data Events (S3 Object-Level, Lambda Invocations), Insights Events (anomale Aktivität), Multi-Region Trails, CloudTrail Lake für Long-Term Storage und Queries. Block AWS Config: Resource Inventory, Configuration History, Compliance Rules (Managed und Custom), Conformance Packs (vorgefertigte Sammlungen für Standards wie CIS, PCI), Remediation Actions. Block Monitoring und Detection: Amazon GuardDuty (Threat Detection), Amazon Macie (PII-Discovery in S3), AWS Security Hub (zentrale Sicht über Findings), Amazon Inspector (Vulnerability Assessment für EC2 und Container). Block Logging und Compliance: CloudWatch Logs für Anwendungs-Logs, AWS Audit Manager für Continuous Compliance Audits.