Sichere, prüfungsfähige AWS-Grundlage für einen kanadischen iGaming-Anbieter

Über den Kunden

Der Kunde ist ein schnell wachsender iGaming-Anbieter, der Spielern in ganz Kanada Online-Sportwetten und Casino-Produkte in einem stark regulierten und wettbewerbsintensiven Markt anbietet.

Als der kanadische iGaming-Anbieter expandierte und in neu regulierte Provinzmärkte vordrang, benötigte er eine Cloud-Plattform, die eine schnelle Produktbereitstellung ermöglichte und gleichzeitig die strengen Sicherheits-, Compliance- und Betriebsanforderungen der iGaming-Branche erfüllte.

Der Kunde arbeitete mit ITGix zusammen, um zügig eine sichere, regulierte AWS-Umgebung einzurichten und seine Infrastruktur auf die bevorstehenden Compliance-Anforderungen von MGA, SOC 2, Ontario (AGCO / iGaming Ontario) und Alberta iGaming vorzubereiten.

Kundenanforderungen

Der Kunde musste eine produktionsreife Cloud-Infrastruktur aufbauen, ohne dabei Abstriche bei der Sicherheit und den Kontrollmechanismen zu machen, die von verschiedenen Glücksspielaufsichtsbehörden und Branchenstandards vorgeschrieben sind.

Zu den wichtigsten Anforderungen gehörten:

• Eine produktionsreife AWS-Umgebung zur Unterstützung der Einführung und Skalierung der iGaming-Plattform.
• Verwaltung und Sicherheit mehrerer Konten durch zentralisierte Identitätsverwaltung, Sicherheitstools und einheitliche Sicherheitsgrundkonfigurationen.
• Sichere und skalierbare Netzwerkverbindung mit Anbindung an das bestehende lokale Rechenzentrum in Malta.
• Eine moderne Anwendungsplattform, die es Entwicklungsteams ermöglicht, Anwendungen mit hoher Beobachtbarkeit und Kosteneffizienz zu entwickeln, bereitzustellen und zu betreiben.
• Schutz für öffentlich zugängliche Anwendungen vor webbasierten Angriffen und Missbrauch.
• Snowflake-Integration für Analysen und aufsichtsrechtliche Berichterstattung.
• Wiederholbare, automatisierte Lasttests zur Überprüfung der Kapazität und Stabilität vor jeder Inbetriebnahme.
• Unabhängige externe Penetrationstests zur Überprüfung der Sicherheitslage der Umgebung.

Lösung

ITGix hat für den Kunden die AWS-Grundlage und die Anwendungsplattform unter Verwendung der ITGix AWS Landing Zone sowie die ITGix Application Development Platform (ADP).

Die Landing Zone bot einer regulierten AWS-Organisation zentralisierte Identitätsmanagement- und Sicherheitswerkzeuge, grundlegende Sicherheitskontrollen sowie ein zentralisiertes Hub-and-Spoke-Netzwerk. Auf dieser Grundlage stellte ITGix die ADP bereit, um den Entwicklerteams des Kunden eine produktionsreife, Kubernetes-basierte Anwendungsplattform zur Verfügung zu stellen.

Die Umgebung wurde so konzipiert, dass sie den geltenden Glücksspiel- und Sicherheitsstandards entspricht und somit auditfähig ist. Die primäre AWS-Region ist „ca-central-1“ (Kanada), wobei „us-east-1“ ausschließlich für globale Dienste wie die WAF im CloudFront-Umfang genutzt wird.

AWS Landing Zone: Governance und Sicherheit

Im Rahmen der ITGix AWS Landing Zone wurde eine strukturierte AWS-Organisation mit mehreren Konten eingerichtet, bei der Governance, Sicherheit, gemeinsam genutzte Dienste und Workloads auf dedizierte Konten und Organisationseinheiten aufgeteilt wurden.

Die Umgebung umfasste:

• Verwaltung – Organisationsstamm, konsolidierte Abrechnung und Budgets sowie Startseite des Identity Centers.
• Sicherheit – Beauftragter Administrator für Sicherheitsdienste und das Identity Center.
• Protokollierung und Überwachung – zentralisiertes CloudTrail, AWS Config und Protokollarchiv.
• Shared Services – zentralisierte Vernetzung, CI/CD-Pipelines und gemeinsam genutzte Workloads.
• Dev – Entwicklungs-Workloads.
• Staging – Staging von Workloads.
• Produktion – Produktions-Workloads.
  Zu den wichtigsten Governance- und Sicherheitsfunktionen gehörten:
• AWS IAM Identity Center (SSO) bietet einen föderierten Zugriff mit dem Prinzip der geringsten Berechtigungen für alle Konten sowie kontobezogene CLI-Profile für Entwickler.
• Just-in-Time (JIT)-Zugriff über das TEAM-Tool, der eine zeitlich begrenzte, genehmigte Erweiterung von Berechtigungen anstelle eines dauerhaften privilegierten Zugriffs ermöglicht.
• Zentralisierte Sicherheitstools, darunter Amazon GuardDuty, AWS Security Hub, Amazon Macie, Amazon Inspector, AWS CloudTrail und AWS Config.
• Die Ergebnisse und Protokolle werden in speziellen Konten für Sicherheit sowie Protokollierung und Audit zusammengefasst.
• Service-Control-Richtlinien (SCPs), die präventive Sicherheitsmaßnahmen durchsetzen, darunter Beschränkungen auf zugelassene Regionen, die Durchsetzung von Verschlüsselungsvorschriften und den Schutz vor dem Löschen von Protokollen.
• Eine einheitliche Basis-Sicherheitskonfiguration für alle Konten, wobei die Protokollierung und die Erfassung von Nachweisen so strukturiert sind, dass sie MGA-, SOC-2- und provinzielle iGaming-Prüfungen unterstützen.

Zentralisierte Hub-and-Spoke-Vernetzung

Das Netzwerk folgt einem zentralisierten Hub-and-Spoke-Modell, wobei der Shared-Services-Account als Hub fungiert.

• AWS Transit Gateway verbindet die VPCs der Spoke-Anwendungen und die Shared Services miteinander, wobei dedizierte Routingtabellen die Trennung zwischen den Umgebungen gewährleisten.
• Die AWS Network Firewall überprüft und filtert den gesamten ausgehenden Datenverkehr aus den VPCs, wobei die Firewall-Regeln als Code in Terraform verwaltet werden.
• AWS Client VPN ermöglicht Entwicklern einen sicheren Zugriff auf intern reservierte Tools wie ArgoCD und Grafana.
• Das AWS Site-to-Site-VPN verbindet das AWS Transit Gateway über redundante IPsec-Tunnel mit dem lokalen Rechenzentrum in Malta.
• Die standardisierte, automatisierte Bereitstellung von VPCs gewährleistet ein einheitliches Subnetz-Design, einheitliche Routing-Einstellungen und einheitliche Sicherheitskontrollen über alle Konten hinweg.

Anwendungsentwicklungsplattform (ADP)

Zusätzlich zur Landing Zone hat ITGix die Application Development Platform (ADP) bereitgestellt – eine Kubernetes-basierte Plattform, die den Entwicklerteams des kanadischen iGaming-Anbieters eine standardisierte, GitOps-gesteuerte Methode zum Erstellen, Bereitstellen und Betreiben ihrer Anwendungen bietet, wobei Observability und automatische Skalierung bereits integriert sind.

Die Plattform basiert vollständig auf Open-Source-Komponenten, wodurch eine Anbieterabhängigkeit vermieden wird und Sicherheitsstandards aus dem FinTech- und Zahlungsbereich angewendet werden, sodass sie die Anforderungen auf SOC-2- und PCI-DSS-Niveau erfüllt.

Kernkomponenten der Plattform

• Amazon EKS (Kubernetes) – die Grundlage für die Container-Orchestrierung von Anwendungs-Workloads.
• ArgoCD – GitOps-basierte Continuous Delivery und deklarative Bereitstellungen.
• Prometheus – Erfassung und Überwachung von Metriken.
• Grafana – Dashboards, Visualisierung und Benachrichtigungen.
• Loki + Fluent Bit – zentralisierte Protokollaggregation und -weiterleitung, die zudem an CloudWatch im „Logging & Audit“-Konto weitergeleitet werden.
• Karpenter – Just-in-Time-Autoskalierung von Knoten für kostenoptimierte Rechenleistung.
• External Secrets Operator (ESO) – synchronisiert Geheimnisse aus dem AWS Secrets Manager in Kubernetes als native Secret-Objekte.
• Externes DNS + AWS Load Balancer Controller – automatisierte DNS-Einträge und Verwaltung von Ingress und ALB.
• Kyverno – Durchsetzung von Kubernetes-Richtlinien.
• Amazon Aurora MySQL (Serverless) – verwaltete relationale Datenbank, die die Anwendungen unterstützt.

Die Bereitstellungsplattform ist in den Umgebungen „dev2“, „dev“, „staging“ und „prod“ im Einsatz, wobei jede Umgebung über einen eigenen EKS-Cluster sowie ArgoCD-/Grafana-Endpunkte verfügt.

GitOps wird plattformübergreifend eingesetzt: Kubernetes-Komponenten und -Anwendungen werden von ArgoCD verwaltet, während die Infrastruktur in Terraform definiert wird. Amazon Inspector scannt ECR-Images und EKS-Knoten-Betriebssystempakete auf CVEs, während GuardDuty die Erkennung von Bedrohungen während der EKS-Laufzeit übernimmt und die Ergebnisse in Security Hub ausgewertet werden.

Datenschicht und Sicherungen

Die Anwendungen werden von Amazon Aurora MySQL 8.0 -Clustern unterstützt, die über eine Verschlüsselung im Ruhezustand, automatisierte kontinuierliche Backups und eine Point-in-Time-Wiederherstellung (PITR) mit einer Genauigkeit von etwa den letzten fünf Minuten verfügen.

Die Backup-Architektur umfasst:

• Tägliche automatisierte RDS-Snapshots werden pro Umgebung 5 Tage lang aufbewahrt.
• EFS-Backups werden automatisch in einem umgebungsspezifischen Speicherort mit einer Aufbewahrungsdauer von 35 Tagen gespeichert.
• Ein von der Landing Zone in jedem Konto bereitgestellter Backup-Speicher, der als zusätzliche zukünftige Backup-Ebene reserviert ist und dessen Sperrfunktion für Compliance-Zwecke zur Verfügung steht.
• Praktiken für eine unveränderliche Infrastruktur, bei denen die Infrastruktur mithilfe von Terraform neu aufgebaut und Anwendungscontainer aus Images in Amazon ECR neu bereitgestellt werden, wodurch der Bedarf an herkömmlichen Backups für diese Komponenten sinkt.

Datenerfassung und Snowflake-Integration

Zur Unterstützung von Analysen, behördlichen Meldungen und Marketingaktivitäten hat ITGix automatisierte Pipelines zur Datenerfassung implementiert, deren Kern ein spezieller S3-Bucket für den Produktions-Data-Lake bildet.

Die Architektur umfasst:

• Data Lake → Snowflake-Speicherintegration – Snowflake liest kuratierte Daten aus dem Produktions-Data-Lake-Bucket aus, indem es eine kontoübergreifende IAM-Rolle mit begrenztem Geltungsbereich übernimmt, die durch eine „external-ID“-Bedingung gesichert ist. Dabei werden die Best Practices für die Snowflake-Speicherintegration befolgt, die einen schreibgeschützten Zugriff mit dem Prinzip der geringsten Berechtigungen vorsehen.
• Automatische Erfassung über Snowpipe – GeoComply-Transaktionsprotokolldateien im Parquet-Format, die unter einem speziellen Data-Lake-Präfix gespeichert werden, lösen automatisch S3-Ereignisbenachrichtigungen an eine Snowflake-Snowpipe-Warteschlange aus.
• GeoComply-Erfassungspipeline – eine containerisierte EKS-Pipeline, die IAM-Rollen für Dienstkonten (IRSA) für einen schlüssellosen S3-Zugriff mit minimalen Berechtigungen nutzt.
• Marketing-Leads → Snowflake – Partner laden Lead-Dateien über ein verwaltetes SFTP unter Verwendung von AWS Transfer Family in S3 hoch; ein s3:ObjectCreated Das Ereignis löst eine Lambda-Funktion auf Basis eines Container-Images aus, die die Leads in Snowflake lädt.
• AWS Secrets Manager – wird verwendet, um Snowflake-Anmeldedaten abzurufen, anstatt sie in Pipelines einzubetten.
• Amazon SNS – wird verwendet, um Geschäftsbeteiligte per E-Mail zu benachrichtigen, wenn Fehler bei der Datenerfassung auftreten.
• Amazon MSK Serverless / Kafka – unterstützt Push-Messaging-Dienste, wobei sich EKS-Workloads über IAM SASL und IRSA authentifizieren.
• Sigma BI-Integration – Eine spezielle, auf das Präfix begrenzte Rolle für die Speicherintegration ermöglicht es der Sigma-Analytics-Plattform, Audit-Protokolle im Data Lake zu verwalten.

Alle Zugriffsrollen basieren auf dem Prinzip der geringsten Berechtigungen und sind als Code im Terraform der Landing Zone definiert, während die Anmeldedaten im Secrets Manager gespeichert sind.

Malta On-Prem und Datenbankreplikation

Der Kunde betreibt ein bestehendes lokales Rechenzentrum in Malta, das in AWS integriert ist und eine zusätzliche Ebene der Datenausfallsicherheit außerhalb der Cloud bietet.

Die Umgebung umfasst:

• Zwei HPE ProLiant DL360 Gen10 -Server, die als Primär- und Sekundärsystem konfiguriert sind.
• Ein Cisco Catalyst C9300 -Switch, der die Zugriffsebene bereitstellt.
• Gesicherter Verwaltungszugriff mit IP-Whitelist.
• AWS Site-to-Site-VPN- Verbindung zwischen dem Rechenzentrum in Malta und dem AWS Transit Gateway über zwei redundante IPsec-Tunnel unter Verwendung von strongSwan, IKEv2 und AES-256/SHA-512.
• Aktive/passive geroutete Verbindung zwischen dem lokalen Netzwerk und dem AWS-VPC-Adressraum.
• AWS DMS (serverlose) Replikation der Aurora-Produktionsdatenbank auf die lokalen Server in Malta.

Als Notfalllösung für die Notfallwiederherstellung kann der auf dem Backup-Server in Malta verwaltete Datenbank-Dump über die bestehende VPN-Verbindung zurück in AWS übertragen und in einen neuen Aurora-Cluster importiert werden, wodurch die Datenwiederherstellung auch im Falle eines vollständigen Datenverlusts auf der Cloud-Seite gewährleistet ist.

Edge-Schutz: Cloudflare & AWS WAF

Öffentlich zugängliche Anwendungen werden durch eine mehrschichtige Edge-Sicherheitsarchitektur geschützt.

• Cloudflare bietet DNS-, CDN- und DDoS-Schutz vor den Anwendungen.
• Cloudflare Zero Trust regelt den Zugriff auf sensible Backoffice-Anwendungen wie das CMS/Backoffice.
• AWS WAF-Web-ACLs werden den öffentlich zugänglichen Load Balancern für Anwendungs-Frontends und Wallet-/Backoffice-Dienste zugeordnet.

Der WAF-Regelsatz umfasst:

• AWS-IP-Reputation, um bekanntermaßen schädliche IP-Adressen frühzeitig zu blockieren.
• Die Ratenbegrenzung liegt bei 2.000 Anfragen pro 5 Minuten pro IP-Adresse, wobei vertrauenswürdige interne NAT-Gateway-IP-Adressen davon ausgenommen sind.
• AWS Bot Control zur Überprüfung und Kennzeichnung von Bot-Datenverkehr.
• Zulassung von verifizierten Bots auf der Grundlage von AWS Bot Control-Labels.
• Von AWS verwaltete Regeln, die die Regelsätze „Common“, „SQLi“, „Known Bad Inputs“ und „Linux“ abdecken.
• Öffentlicher Zugang zu /images/*.
• Geo zulassen bei Anfragen, bei denen cf-ipcountry = CA.
• IP-Zulassungslisten für vertrauenswürdige IP-Adressen von ITGix, Entwicklern und Zahlungsanbietern außerhalb Kanadas.
• Standardaktion: BLOCK.

Der Wallet-Backend-Dienst wird zusätzlich durch eine IP-Zulassungsliste geschützt, die mithilfe einer verwalteten Präfixliste in der Sicherheitsgruppe seines Load-Balancers implementiert wurde.

Notfallwiederherstellung

Die Umgebung ist auf eine schnelle, codegesteuerte Wiederherstellung ausgelegt.

• RPO: ~0 (kein Datenverlust) – Anwendungscontainer sind zustandslos; Quellcode und Images werden in Git und ECR gespeichert, während der Anwendungszustand in der Datenbank vorliegt und aus einem zeitpunktbezogenen Snapshot wiederhergestellt wird.
• RTO: 30–60 Minuten – Die erneute Bereitstellung eines vorhandenen Images aus dem ECR über die CI/CD-Pipeline dauert nur wenige Minuten, während der Neuaufbau aus dem Quellcode etwa 5–10 Minuten zusätzlich in Anspruch nimmt.
• Infrastructure as Code – VPCs, Transit Gateway, VPN, Netzwerk-Firewall, IAM, Identity Center, EKS und Sicherheitskontrollen werden in Terraform definiert, wobei der Status in versionierten S3-Buckets gespeichert wird.
• Datenbankwiederherstellung – Aurora PITR ermöglicht eine typische Wiederherstellung innerhalb von 15 bis 30 Minuten, wobei AWS Backup und der lokale Datenspeicher in Malta als sekundäre Optionen bzw. als letzte Ausweichmöglichkeit dienen.

Compliance und Prüfungsbereitschaft

Die Plattform wurde so konzipiert, dass sie parallel für die Prüfung nach mehreren Standards bereit ist:

• MGA – Malta Gaming Authority
• SOC 2
• Ontario – AGCO / iGaming Ontario
• iGaming in Alberta

Zu den unterstützenden Kontrollmaßnahmen gehören unternehmensweit eingesetzte CloudTrail- und Config-Lösungen, eine zentralisierte Protokollierung mit durch SCP erzwungenem Schutz vor dem Löschen von Protokollen, Verschlüsselung im Ruhezustand und während der Übertragung, Zeitsynchronisation über chrony auf EKS-Knoten, ein dokumentiertes Änderungs- und Vorfallmanagement, Patch-Management für Infrastruktur- und Anwendungs-Images sowie eine strukturierte Beweissicherung.

Sicherheitsüberprüfung: Externer Penetrationstest

GLI hat einen unabhängigen externen Penetrationstest an der Infrastruktur durchgeführt.

Die Bewertung ergab 0 kritische Befunde, während die übrigen Befunde mit geringerer Priorität innerhalb von zwei Wochen nach Erstellung des Penetrationstestberichts behoben und gelöst wurden.

Automatisierte Lasttests und Bereitschaft für die Inbetriebnahme

Um die Risiken bei jeder Inbetriebnahme zu minimieren, hat ITGix eine automatisierte Plattform für Lasttests entwickelt und mehrere Testrunden in der Staging- und der Produktionsumgebung durchgeführt.

Die Lösung umfasst:

• Ein containerisierter k6-Testrunner, der Lasttests als containerisierte Aufgaben auf einem Amazon ECS Fargate-Cluster im Shared Services-Konto ausführt.
• GitHub Actions koordiniert wiederholbare, bedarfsgesteuerte und versionskontrollierte Tests.
• AWS SSM Parameter Store zur Steuerung von Testparametern, darunter Zielumgebung, Produkt, Szenariotyp, virtuelle Benutzer sowie die Dauer der Aufbauphase, der Haltephase und der Abbauphase.
• Zahlreiche Testsuiten, die die Bereiche Anmeldung/Sitzung, Spielübersicht, Registrierung, Wallet/Zahlungen, Mitarbeiterabläufe sowie realistische End-to-End-Abläufe abdecken.
• Parallele Testausführung mit kontrollierter Handhabung der Ratenbegrenzung der Cloudflare-WAF.
• HTML-Berichte im Self-Service-Modus, die automatisch auf einer S3- und CloudFront-Website veröffentlicht werden.
• Umfassende Transparenz durch Grafana, Loki, Tempo und RDS Performance Insights.

Die Tests wurden schrittweise durchgeführt, von etwa 100 bis zu über 500 virtuellen Benutzern, in Verbindung mit einzelnen Funktionsszenarien, wodurch das Vertrauen in die Kapazität und Stabilität der Plattform im Vorfeld der Markteinführung stetig wuchs.

Optimierung der Anwendungsleistung

Über den Aufbau und den Betrieb der Plattform hinaus hat ITGix Softwareentwickler in das Projekt eingebunden, die direkt mit den Entwicklerteams des kanadischen iGaming-Betreibers zusammenarbeiten und die Anwendungsleistung vor der Inbetriebnahme optimieren sollen.

Anhand der Ergebnisse aus Lasttests und der Daten zur Plattform-Observability aus Grafana, Loki, Tempo und RDS Performance Insights haben die Teams:

• Ich habe Engpässe auf Anwendungsebene identifiziert und zu deren Behebung beigetragen, darunter lange Startzeiten von Containern und lange Aufwärmzeiten des Caches, ressourcenintensive Abfragen pro Anfrage sowie blockierende Initialisierungen auf dem kritischen Pfad.
• Beratung zu Datenbankzugriffsmustern, einschließlich der Trennung von Lese- und Schreibverkehr über die Aurora-Writer- und -Reader-Endpunkte hinweg, um eine horizontale Skalierung unter Last zu ermöglichen.
• Optimierung des Verbindungspoolings, der Bereitschafts- und Startprüfungen sowie des Cache-Aufwärmverhaltens zur Verbesserung der Startzeiten und der Stabilität bei Traffic-Spitzen.
• Die Ergebnisse wurden den Entwicklungsteams als priorisierte Empfehlungen zurückgemeldet, und die Verbesserungen wurden in nachfolgenden Testrunden validiert.

Durch diese enge Zusammenarbeit konnten Leistungsprobleme bereits vor der Markteinführung und nicht erst im Produktivbetrieb erkannt und behoben werden, wodurch das Risiko bei der Inbetriebnahme verringert wurde.

Geschäftsergebnisse

Durch die Kombination der ITGix AWS Landing Zone mit der ITGix-Anwendungsentwicklungsplattformerhielt der Kunde in kurzer Zeit eine sichere, regulierte und prüfungsfähige AWS-Grundlage.

Sichere und regulierte AWS-Umgebung

Die Organisation mit mehreren Konten, das zentralisierte SSO, der JIT-Zugriff, die Sicherheitstools und die durch SCP durchgesetzte Baseline sorgten für ein einheitliches und durchsetzbares Sicherheitsniveau in der gesamten Umgebung.

Skalierbare Anwendungsplattform

Die auf Kubernetes basierende ADP ermöglichte es den Entwicklungsteams, Anwendungen schnell bereitzustellen und zu betreiben – mit umfassender Observability durch Prometheus, Grafana, Loki und Fluent Bit sowie einer kosteneffizienten Skalierung durch Karpenter.

Ausfallsichere Datenarchitektur

Die Ausfallsicherheit der Produktionsdaten wurde durch Aurora PITR, automatisierte Snapshots, AWS Backup und die Replikation der Produktionsdatenbank auf die lokalen Server in Malta mittels AWS DMS verbessert.

Starker Kantenschutz

Cloudflare Zero Trust, der Cloudflare-DDoS-Schutz und ein mehrschichtiger AWS-WAF-Regelsatz schützten öffentlich zugängliche Anwendungen und sensible Backoffice-Dienste.

Regulierte Analytik und aufsichtsrechtliche Berichterstattung

Automatisierte Pipelines zur Datenerfassung integrierten die Umgebung über einen S3-Data-Lake, die automatische Datenerfassung per Snowpipe, GeoComply, die SFTP-basierte Erfassung von Marketing-Leads und Kafka-basiertes Streaming in Snowflake.

Geprüfte Sicherheit und Leistung

Die Infrastruktur wurde durch einen externen GLI-Penetrationstest unabhängig validiert, bei dem keine kritischen Befunde festgestellt wurden, während automatisierte k6-Lasttests und die Beobachtbarkeit der Plattform genutzt wurden, um Kapazität und Stabilität vor der Inbetriebnahme zu überprüfen.

Bereit für kontrolliertes Wachstum

Der Kunde ist nun in der Lage, die Sicherheits- und Compliance-Anforderungen der Aufsichtsbehörden für Online-Glücksspiele in MGA, SOC 2, Ontario und Alberta zu erfüllen und verfügt gleichzeitig über eine skalierbare Grundlage für weiteres Wachstum.