74 lines
2.4 KiB
Markdown
74 lines
2.4 KiB
Markdown
---
|
||
title: "Blast Radius"
|
||
type: concept
|
||
tags: [Security, AWS, IAM, Risk-Management, Architecture]
|
||
sources:
|
||
- ctp-topic-16-cross-account-terraform-modules.md
|
||
- ctp-topic-13-cloud-finops-micro-focus-policies-best-practices-to-optimize-the-co.md
|
||
last_updated: 2026-05-15
|
||
---
|
||
|
||
## Overview
|
||
|
||
Blast Radius（爆炸半径）是一个安全概念，描述在云基础设施中某个组件（如一个 AWS 账号）被攻破或出现故障时，其影响范围的大小。**目标是最小化爆炸半径**，确保单个组件的问题不会波及其他系统。
|
||
|
||
## In AWS Multi-Account Architecture
|
||
|
||
在 AWS Landing Zone 多账号架构中，Blast Radius 控制是核心设计原则：
|
||
|
||
### Without Blast Radius Control（高风险）
|
||
|
||
```
|
||
Workload Account A
|
||
↓ 直接互信
|
||
Workload Account B
|
||
|
||
风险：Account A 被攻破 → Account B 同时沦陷
|
||
```
|
||
|
||
### With Blast Radius Control（推荐架构）
|
||
|
||
```
|
||
Workload Account A
|
||
↓ (受限)
|
||
[[Shared-Account]]
|
||
↓ (受限)
|
||
Workload Account B
|
||
|
||
风险：Account A 被攻破 → 仅影响与 Shared Account 的受限连接
|
||
Shared Account → Account B 的连接受独立角色控制
|
||
```
|
||
|
||
## Key Mechanisms
|
||
|
||
| 机制 | 说明 |
|
||
|------|------|
|
||
| **独立账号隔离** | 每个 Workload 独立账号，无直接互信 |
|
||
| **最小权限角色** | [[TF-State-Bucket-Accessor]] 和 [[Cross-account-ECS-Deploy-Runner-Role]] 仅授予最小必要权限 |
|
||
| **Assume Role 临时凭证** | 无长期凭证泄露风险 |
|
||
| **审计追踪** | CloudTrail 记录所有跨账号操作 |
|
||
|
||
## Blast Radius vs. Blast Width
|
||
|
||
- **Blast Radius**：组件被攻破时的**潜在影响范围**
|
||
- **Blast Width**：跨账号直接信任连接的**数量和密度**
|
||
|
||
降低 Blast Radius 的策略：
|
||
1. 减少账号间的直接信任关系
|
||
2. 使用 Shared Account 作为唯一信任中介
|
||
3. 实施最小权限原则
|
||
4. 定期轮换 IAM 角色凭证
|
||
|
||
## Relationships
|
||
|
||
- [[Shared-Account]] ← enables ← [[Blast-Radius-Control]]
|
||
- [[Cross-account-Terraform-Modules]] ← secures_via ← [[Blast-Radius]]
|
||
- [[Assume-Role]] ← minimizes ← [[Blast-Radius]]
|
||
- [[AWS-Landing-Zone]] ← designed_for ← [[Blast-Radius-Control]]
|
||
|
||
## Related Concepts
|
||
|
||
- [[IAM-Policy]]：最小权限是控制 Blast Radius 的工具
|
||
- [[Cross-account-Terraform-Modules]]：Blast Radius 控制是该方案的核心安全价值
|
||
- [[Assume-Role]]：临时凭证机制是控制 Blast Radius 的关键技术
|