AWS云安全周刊第57和58期
内容提要
AWS云安全每周重点介绍了CloudFront访问日志中签名URL记录方式的变化。有效签名将被编辑并替换为“Signature=REDACTED-VERIFIED”，而无效签名将被替换为“Signature=REDACTED-INVALID-”，并包含验证失败的详细信息。AWS Config现在支持29个AWS区域的124种资源类型。Amazon Verified Permissions允许与第三方身份提供商进行细粒度授权。Amazon Cognito的高级安全功能升级以防止密码重用并检测“不可行旅行”等风险。
延伸解读
CloudFront签名URL日志变更：隐私与排障的平衡
自2024年10月1日起，CloudFront访问日志中签名URL的签名部分将被脱敏。有效签名替换为“Signature=REDACTED-VERIFIED”，无效签名替换为“Signature=REDACTED-INVALID-”并附带失败详情。此举旨在避免敏感签名信息泄露，同时保留验证状态供排障使用。需注意，该变更仅影响标准访问日志的记录方式，不影响签名URL本身的功能。
AWS Config扩展：覆盖更多资源与区域
AWS Config新增对29个AWS区域中124种资源类型的支持。这意味着用户可以在更广泛的地理位置和资源类别上启用配置记录与合规性检查，从而提升云环境的可见性和治理能力。对于跨区域部署的企业，此扩展有助于统一配置管理，但需留意不同区域的支持进度可能略有差异。
Amazon Verified Permissions：简化第三方身份提供商的细
Amazon Verified Permissions现在支持与Okta、CyberArk、Transmit Security等第三方OIDC身份提供商集成，开发者可基于用户属性和组成员资格实施细粒度授权。这降低了在外部身份源上构建权限管理的复杂度，使企业能更灵活地利用现有身份基础设施，同时保持集中式的授权策略管理。
Amazon Cognito高级安全功能升级：应对企业合规与风险检测
Cognito的高级安全功能（ASF）新增防止密码重用功能，有助于满足合规要求。安全事件可流式传输至S3、Kinesis Firehose或CloudWatch Insights，便于与其它安全数据整合分析。此外，ASF还能检测“不可行旅行”等风险，并改进了对自定义认证流程的风险识别能力，从而增强应用安全性。
Q&A
CloudFront访问日志中签名URL记录方式的变化是什么？
从2024年10月1日起，合法签名将被替换为'Signature=REDACTED-VERIFIED'，无效签名将被替换为'Signature=REDACTED-INVALID-'，并包含验证失败的详细信息。
AWS Config支持哪些资源类型？
AWS Config现在支持124种资源类型，覆盖29个AWS区域。
Amazon Verified Permissions的主要功能是什么？
Amazon Verified Permissions简化了与第三方身份提供商的细粒度授权实施，允许基于属性和组成员资格管理用户权限。
Amazon Cognito的高级安全功能有哪些新升级？
Amazon Cognito升级了高级安全功能，支持防止密码重用，并能够检测'不可行旅行'等风险。
如何将Amazon Cognito的安全事件与其他工具集成？
可以将安全事件流式传输到Amazon S3、Kinesis Firehose或CloudWatch Insights，以便与其他AWS和第三方工具的安全数据集成。
什么是'不可行旅行'风险？
'不可行旅行'风险是指用户在不合理的时间内从两个地点登录，这在物理上是不可能的。
