AWS-resources uitsluiten met tags

Gebruik de tag TidalExclude om een AWS-resource uit te sluiten van de oordelen van ondersteunde controles. De waargenomen resultaten, het bewijs en de reden blijven zichtbaar.

Lees Resource-uitsluitingen voor hulp bij de keuze tussen een tag en een uitzondering per test.

Een resource uitsluiten met een tag

Beheer de uitsluiting op de resource in AWS.

1. Open de resource in de AWS Management Console en ga naar de tags.
2. Voeg TidalExclude toe als tagsleutel en vul de reden in als waarde, bijvoorbeeld Ontwikkelsandbox buiten auditscope.
3. Sla de tag op en voer de relevante Tidal Control-tests opnieuw uit, of wacht op de volgende geplande uitvoering.

De tagsleutel is hoofdlettergevoelig. Elke tekstwaarde sluit de resource uit, ook een lege waarde of false. Verwijder de tag om de uitsluiting te stoppen.

Ondersteunde resources en scope

Uitsluitingen via tags gelden voor ondersteunde controles van deze AWS-resources:

• EC2-resources en S3-buckets.
• RDS-databases, snapshots en event subscriptions.
• ECS-clusters, services en taakdefinities.
• IAM-gebruikers, rollen, door de klant beheerde policies, servercertificaten en IAM Access Analyzer-analyzers.
• Secrets Manager-secrets en door de klant beheerde KMS-sleutels.
• CloudWatch-alarmen, loggroepen en CloudTrail-trails.

Toegangssleutels en inline policies van gebruikers of rollen volgen de tag van de bijbehorende identiteit. Instancestatus en versies van launch templates volgen de tag van de instance of template. S3-bucketinstellingen en KMS-policies volgen hun bovenliggende resource.

Een tag sluit geen volledig account of regio uit, en ook niet alle resources binnen een VPC of ECS-cluster. Controles op account- en regioniveau blijven meetellen, zoals rootaccountbeveiliging, wachtwoordbeleid, dekking van supportrollen en CloudShell-policies, standaard EBS-encryptie en VPC Block Public Access. IAM-groepen en hun inline policies blijven meetellen.

Een uitgesloten resource kan nog steeds bewijs leveren voor een controle van een andere resource. Een tag op een CloudWatch-alarm verwijdert bijvoorbeeld niet het bewijs ervan uit een CloudTrail-monitoringcontrole.

Een uitsluiting beoordelen of verwijderen

Uitgesloten resources behouden hun waargenomen resultaat Geslaagd of Mislukt en de tagwaarde als reden in testbewijs en exports. Een tag toevoegen of verwijderen heeft effect op volgende uitvoeringen; opgeslagen resultaten behouden het bewijs en de reden die bij de uitvoering zijn vastgelegd.

Verwijder TidalExclude in AWS en voer de relevante tests opnieuw uit om de resource mee te nemen in toekomstige resultaten. Eventuele uitsluitingen per test blijven gelden.

Gebruik Meenemen in de bewijstabel om de resource in een opgeslagen resultaat mee te nemen. Dit verwijdert de AWS-tag niet, dus toekomstige uitvoeringen blijven de tag volgen. Sommige tests vereisen minstens één meegenomen resource om te slagen.