Sicherheit in Amazon RDS Custom

Eine serviceverknüpfte Rolle wird vom Service vordefiniert und schließt alle Berechtigungen ein, die der Service zum Aufrufen anderer  AWS-Services  in Ihrem Namen benötigt. Bei RDS Custom AWSServiceRoleForRDSCustom handelt es sich um eine dienstbezogene Rolle, die nach dem Prinzip der geringsten Rechte definiert ist. RDSBenutzerdefiniert verwendet die Berechtigungen inAmazonRDSCustomServiceRolePolicy, der Richtlinie, die dieser Rolle zugewiesen ist, um die meisten Bereitstellungs- und alle Verwaltungsaufgaben außerhalb des Hosts auszuführen. Weitere Informationen finden Sie unter A. mazonRDSCustom ServiceRolePolicy

Bei der Ausführung von Aufgaben auf dem Host verwendet die RDS benutzerdefinierte Automatisierung Anmeldeinformationen aus der mit dem Dienst verknüpften Rolle, um Befehle auszuführen mit AWS Systems Manager. Sie können den Befehlsverlauf über den Systems-Manager-Befehlsverlauf und AWS CloudTrail prüfen. Systems Manager stellt über Ihr Netzwerk-Setup eine Verbindung zu Ihrer RDS benutzerdefinierten DB-Instance her. Weitere Informationen finden Sie unter Schritt 4: Konfigurieren Sie IAM für RDS Custom für Oracle.

Beim Bereitstellen oder Löschen von Ressourcen verwendet RDS Custom manchmal temporäre Anmeldeinformationen, die aus den Anmeldeinformationen des aufrufenden IAM Prinzipals abgeleitet werden. Diese IAM Anmeldeinformationen sind durch die mit diesem Prinzipal verknüpften IAM Richtlinien eingeschränkt und laufen nach Abschluss des Vorgangs ab. Informationen zu den Berechtigungen, die für IAM Prinzipale erforderlich sind, die RDS Benutzerdefiniert verwenden, finden Sie unterSchritt 5: Erteilen Sie Ihrem IAM-Benutzer oder Ihrer IAM-Rolle die erforderlichen Berechtigungen.

Ein EC2 Instance-Profil ist ein Container für eine IAM Rolle, mit dem Sie Rolleninformationen an eine EC2 Instance übergeben können. Eine EC2 Instance liegt einer RDS benutzerdefinierten DB-Instance zugrunde. Sie geben ein Instance-Profil an, wenn Sie eine RDS benutzerdefinierte DB-Instance erstellen. RDSCustom verwendet Anmeldeinformationen für das EC2 Instance-Profil, wenn es hostbasierte Verwaltungsaufgaben wie Backups ausführt. Weitere Informationen finden Sie unter Manuelles Erstellen Ihrer IAM-Rolle und Ihres Instance-Profils.

Wenn RDS Custom die EC2 Instance erstellt, die einer DB-Instance zugrunde liegt, erstellt es in Ihrem Namen ein SSH key pair. Der Schlüssel verwendet das Namenspräfixdo-not-delete-rds-custom-ssh-privatekey-db-. AWS Secrets Manager speichert diesen SSH privaten Schlüssel als Geheimnis in Ihrem AWS-Konto. Amazon speichert diese Anmeldeinformationen RDS nicht, greift nicht darauf zu und verwendet sie nicht. Weitere Informationen finden Sie unter EC2Amazon-Schlüsselpaare und Linux-Instances.