Inventura cloudových zdrojů
Inventura cloudových zdrojů je kompletní, průběžně aktualizovaný záznam každého zdroje, který organizace provozuje - výpočetní instance, úložné svazky, sítě a DNS záznamy - napříč všemi připojenými cloudovými účty a on-premise servery, včetně zdrojů provisionovaných mimo oficiální procesy, které ruční, bodové audity běžně přehlédnou.
Zeptejte se většiny infrastrukturních týmů na kompletní seznam toho, co provozují, a odpověď bude odhad. Wiki stránka stará osmnáct měsíců. Tabulka, kterou někdo na půl úvazku udržuje. Reálný rozsah je vždycky větší: testovací instance, kterou inženýr spustil na demo a zapomněl smazat, úložný bucket vytvořený při incidentu tři týmy zpátky, DNS záznam, o kterém si nikdo nepamatuje, kam vlastně směřuje, celý cloudový účet založený na osobní kartu během hackathonu. Nic z toho není zlý úmysl - je to prostě způsob, jak infrastruktura reálně roste, jedno ad-hoc rozhodnutí za druhým, rychleji, než to kdokoliv stíhá dokumentovat. Inventura cloudových zdrojů existuje, aby tuhle mezeru uzavřela: ne snímek, který někdo aktualizuje, když si vzpomene, ale živá, dotazovatelná odpověď na „co vlastně máme, právě teď".
Užitečná inventura pokrývá víc než jen virtuální stroje. Sleduje úložné svazky a jejich stav připojení, virtuální sítě a podsítě i trasy uvnitř nich, DNS zóny a záznamy, které míří na zdroje, jež už možná neexistují, a bezpečnostní skupiny nebo pravidla firewallu, která se v čase tiše rozšiřují. Pokrývá každého providera, kterého organizace používá, ne jen toho hlavního - většina středně velkých infrastrukturních prostředí se dotýká minimálně dvou nebo tří cloudů, plus hrstky bare-metal nebo on-premise serverů, které se v žádné cloudové konzoli vůbec neobjeví. Přesně tam, v tom rozptylu, se obvykle skrývají slepá místa jako ta výše popsaná: účet, na jehož založení si nikdo nevzpomíná, málokdy patří ke stejnému provideru jako všechno ostatní. A inventura musí zůstat průběžná, ne periodická - infrastruktura se mění po hodinách, takže seznam, který se obnovuje jen v čase auditu, je zastaralý dřív, než si ho někdo přečte.
V praxi se inventura staví dvěma způsoby, často kombinovanými. U cloudových účtů dotazuje discovery API každého providera, aby vyjmenovalo, co existuje - instance, svazky, sítě, DNS zóny - bez instalace čehokoliv na samotné zdroje. U fyzických serverů a on-premise infrastruktury, které žádné API providera k dotazování nemají, se discovery místo toho spoléhá na odlehčeného agenta běžícího na každém stroji. Ani jeden přístup nevyžaduje cokoliv migrovat: discovery je záměrně jen ke čtení, způsob, jak vidět, co tam je, než se rozhodnete, co - pokud vůbec - změnit. Většina organizací pak bere inventuru jako výchozí bod, ne jako cílový stav - každý objevený zdroj je kandidátem na aktivní správu, tagování nebo sledování nákladů, zařazovaný postupně, ne všechny najednou.
Proč na inventuře cloudových zdrojů záleží
Mezera v inventuře je slepé místo s reálnými důsledky. Server, o kterém nikdo neví, že existuje, je server, který nikdo nepatchuje - a nezáplatovaná, zapomenutá infrastruktura je neúměrně častým zdrojem úniků, právě proto, že stojí mimo běžný přehled. Úložné svazky a nečinné instance ponechané v provozu po skončení projektu stojí peníze donekonečna, neviditelně, dokud si někdo náhodou nevšimne faktury. A když se regulátor, auditor nebo bezpečnostní dotazník zákazníka zeptá, jaká infrastruktura zpracovává jejich data a kdo se k ní dostane, „nejsme si úplně jistí" není odpověď, která obstojí - prokázat kontrolu nad prostředím začíná prokázáním, že víte, co v něm je. Ze stejného důvodu je rychlejší i reakce na incident: nemůžete omezit to, co nenajdete.
Jak pomáhá Sencai
Sencai se připojuje k existujícím účtům napříč všemi jedenácti podporovanými providery - nic se nemigruje a přihlašovací údaje zůstávají šifrované at-rest a odvolatelné u providera kdykoliv. Ve chvíli, kdy se účet připojí, Sencai objeví, co už tam je: instance, sítě, úložiště a DNS, napříč každým připojeným providerem. Bare-metal a on-premise servery dostávají stejné zacházení přes odlehčeného fleet agenta místo API providera. Každý objevený zdroj je opt-in - nic se nedostane pod aktivní správu, dokud si to nezvolíte, zdroj po zdroji - a každá akce provedená potom skončí v pouze přidávaném, proti manipulaci odolném auditním logu. Bezplatný tarif pokrývá pět spravovaných zdrojů, bez nutnosti karty.
Prozkoumat inventuru a provisioning →