什么是AWS Artifact？
AWS Artifact 是亚马逊的自助服务门户，用于访问合规报告和管理协议。可以将其视为安全和合规所有事务的集中中心。SOC 报告、ISO 认证或 PCI DSS 合规文件都可以按需获取。无需提交支持工单或等待批准——您只需几次点击即可获取所需内容。
使用 AWS Artifact 为我的团队在准备 ISO 认证时节省了很多时间。我认为每一个为获得该认证而努力过的人都知道这需要多少文书工作！将所有必要文件集中在一个地方意味着我们可以专注于实际的认证过程，而不是浪费数小时寻找文书工作。
AWS Artifact 不仅仅是一个文档库。它还帮助企业管理与AWS的协议，例如用于 GDPR 合规的数据处理附录 (DPA) 或用于 HIPAA 的商业伙伴附录 (BAA)。如果您的公司需要确保遵循行业法规，AWS Artifact 提供了透明性和可及性，使该过程更容易。
那么，让我们回顾一下 AWS Artifact 的主要功能：
- 按需访问：不再等待，随时检索合规文件。
- 全面文档：包括审计报告、认证和监管合规材料。
- 用户友好界面：轻松浏览和下载报告，无需专业的AWS知识。
在接下来的部分，我将详细介绍关键组成部分，让您清楚了解可用内容以及如何使您的组织受益。
AWS Artifact的关键组成部分
AWS Artifact分为两个主要部分：AWS Artifact报告和AWS Artifact协议。
AWS Artifact报告
如果您曾经不得不为审计收集合规文件，就会知道这是多么痛苦。AWS Artifact报告通过直接访问审计报告、安全认证和合规文件来简化这一过程：
- SOC报告：服务组织控制（SOC）报告概述了AWS与安全、可用性和保密相关的内部控制。对于需要展示在云操作中建立信任和透明度的组织来说，它们非常重要。
- ISO认证: AWS保持多项国际安全认证，包括ISO 27001（信息安全）、ISO 27017（云安全）和ISO 27018（云服务的数据隐私）。如果您的业务遵循ISO标准，您可以轻松下载这些报告以满足合规要求。
- PCI DSS合规性：对于处理支付卡数据的企业，AWS Artifact提供PCI DSS（支付卡行业数据安全标准）报告，以确认AWS符合行业法规。
AWS Artifact协议
AWS Artifact还管理AWS与客户之间的重要协议。这些协议帮助企业满足监管和法律要求，并确保数据得到正确处理。关键协议包括：
- 客户协议：规范AWS服务使用的标准条款和条件。
- 数据处理补充协议（DPA）：对于在GDPR下运营的公司，该协议概述了AWS如何处理和保护个人数据。
- 业务关联补充协议（BAA）：对于受HIPAA监管的医疗机构来说，这种类型的协议至关重要，确保AWS遵守处理受保护健康信息（PHI）的规定。
现在您知道可以从AWS Artifact中期待什么，我将向您展示如何有效访问和使用它。
如何访问和使用AWS Artifact
AWS Artifact可以直接通过AWS管理控制台使用，非常简单。您不需要是云专家或IT专业人士。
1. 访问AWS Artifact
开始使用：
- 登录到您的AWS管理控制台。如果您还没有账户，您需要创建一个。
- 在顶部的搜索栏中，输入“Artifact”，并从结果中选择它。
- 或者，手动导航：
- 在AWS服务菜单中，转到“安全、身份与合规”。
- 点击“AWS Artifact”。
这将带您到AWS Artifact仪表板，您将看到两个主要部分：
- 报告（用于合规文档）
- 协议（用于法律和监管合同）
AWS Artifact首页
2. 下载合规报告
如果您需要SOC报告、ISO认证或PCI DSS文档，您可以按照以下步骤检索它们：
- 从 AWS Artifact 仪表板上，点击“报告”。
- 浏览或使用搜索栏找到您需要的特定报告。
- 点击报告标题查看详情，或选择进行快速操作。
- 点击“下载报告”以获取文档副本。
AWS Artifact 报告
AWS Artifact 特定报告页面
这些报告通常是PDF格式的，您可以将它们安全存储以便审计或合规审查。
3. 审查和接受协议
一些AWS服务需要法律协议以遵守GDPR（数据保护法）或HIPAA（商业伙伴协议）等规定。以下是管理这些协议的方法：
- 在AWS Artifact中，转到“协议”选项卡。
- 您将看到可用于您账户的协议列表。
- 如有需要，通过选择协议并点击“接受协议”来接受该协议。在此之前，您需要下载该协议并仔细阅读！
- 如果您不再需要特定协议，您可以选择终止它。
AWS Artifact 协议
一旦接受，这些协议确保您的 AWS 服务符合隐私法律和行业法规。
4. 谁可以访问 AWS Artifact？
默认情况下，您的AWS账户中并非每个人都可以访问AWS Artifact。如果您的合规或安全团队中的某人需要访问权限，则AWS管理员必须通过AWS身份和访问管理（IAM）授予他们权限。
要执行此操作：
- 在AWS控制台中打开IAM。
- 创建或修改包含AWS Artifact权限的IAM策略。
- 将策略附加到适当的IAM用户、组或角色。
您可以定义自己的策略，也可以使用AWS的托管策略，如AWSArtifactReportsReadOnlyAccess。
AWS Artifact托管策略
5. 常见问题的故障排除
如果您在访问AWS Artifact或下载报告时遇到问题，请检查以下几点：
- 无法访问：您可能没有正确的IAM权限，请向AWS管理员请求授予访问权限。
- 缺失的报告： 某些报告仅对特定地区或行业的AWS客户可用。
- 无法下载： 尝试禁用浏览器扩展程序或使用其他浏览器，因为某些安全设置可能会干扰。
AWS Artifact最佳实践
AWS Artifact是一个强大的工具，但与任何合规性相关的系统一样，您如何使用它很重要。为了最大限度地发挥其价值（并避免在审计人员来访时手忙脚乱），有一些最佳实践可以遵循。
1. 定期检查新报告和认证
AWS会不断更新合规文档，随着法规的演变和审计的完成。如果您的业务依赖SOC报告、ISO认证或PCI DSS合规性，请定期查看AWS Artifact以获取最新版本。您甚至可以设置定期任务，每季度下载并审阅更新的报告！
2. 让合规利益相关者了解情况
AWS Artifact只有在正确的人知道如何访问和使用它时才有用。确保您的合规官员、IT安全团队和审计员了解该工具并拥有必要的权限。我建议在您偏好的文档工具中记录关键报告和协议的查找位置，这样就不必在最后一刻翻阅AWS的UI。
3. 及时审查并接受协议
某些AWS服务在您以合规方式使用之前需要特定协议（如GDPR的DPA或HIPAA的BAA）。未能审查并接受这些协议可能会导致合规流程延误。指定某人定期检查新协议，并确保它们及时签署。
4. 将AWS Artifact集成到您的合规工作流程中
如果您的组织已经遵循ISO、SOC或PCI DSS框架，请将AWS Artifact作为合规流程的标准组成部分。例如：
- 在审核期间，您可以直接从AWS Artifact下载，而不是手动收集文档。
- 对于安全和合规角色的新员工，您可以在入职培训中包含AWS Artifact培训。
- 您可以使用包括检查AWS Artifact报告和协议的合规检查表。
5. 使用IAM权限来控制访问
并非您组织中的每个人都需要访问 AWS Artifact。通过使用 AWS 身份和访问管理 (IAM) 策略，仅限制那些需要访问的人。这确保合规性数据保持安全，同时仍然可以提供给正确的团队。
结论
AWS Artifact 允许您将所有报告和协议集中在一个地方，您可以减少追赶文书工作的时间，专注于更有趣的事情。
如果您是AWS的新手，并且想了解更多信息，您可以参加这门初学者AWS概念课程，您将了解AWS的主要服务以及为什么该平台处于云计算前沿。