Sicherheit in AWS Database Migration Service

Sicherheit der Cloud — AWS ist verantwortlich für den Schutz der Infrastruktur, die AWS Dienste in der AWS Cloud ausführt. AWS bietet Ihnen auch Dienste, die Sie sicher nutzen können. Auditoren von Drittanbietern testen und überprüfen die Effektivität unserer Sicherheitsmaßnahmen im Rahmen der AWS -Compliance-Programme regelmäßig. Weitere Informationen zu den Compliance-Programmen, die für gelten AWS DMS, finden Sie unter AWS Services nach Compliance-Programmen.

Sicherheit in der Cloud — Ihre Verantwortung richtet sich nach dem AWS Dienst, den Sie nutzen. In Ihre Verantwortung fallen außerdem weitere Faktoren, wie z. B. die Vertraulichkeit der Daten, die Anforderungen Ihrer Organisation sowie geltende Gesetze und Vorschriften.

Verwenden Sie AWS Identity and Access Management (IAM-) Richtlinien, um Berechtigungen zuzuweisen, die festlegen, wer AWS DMS Ressourcen verwalten darf. AWS DMS setzt voraus, dass Sie über die entsprechenden Berechtigungen verfügen, wenn Sie sich als IAM-Benutzer anmelden. Beispielsweise können Sie IAM verwenden, um zu bestimmen, wer DB-Instances und -Cluster erstellen, beschreiben, ändern und löschen, Ressourcen markieren oder Sicherheitsgruppen ändern darf. Weitere Informationen zu IAM und seiner Verwendung mit AWS DMS finden Sie unter. Identitäts- und Zugriffsmanagement für AWS Database Migration Service

AWS DMS verwendet Secure Sockets Layer (SSL) für Ihre Endpunktverbindungen mit Transport Layer Security (TLS). Weitere Informationen zur Verwendung von SSL/TLS mit finden Sie AWS DMS unter. Verwenden von SSL mit AWS Database Migration Service

AWS DMS verwendet AWS Key Management Service (AWS KMS) Verschlüsselungsschlüssel, um den von Ihrer Replikationsinstanz verwendeten Speicher und die zugehörigen Endpunktverbindungsinformationen zu verschlüsseln. AWS DMS verwendet auch AWS KMS Verschlüsselungsschlüssel, um Ihre Zieldaten im Ruhezustand für Amazon S3- und Amazon Redshift Redshift-Zielendpunkte zu sichern. Weitere Informationen finden Sie unter Einen Verschlüsselungsschlüssel festlegen und Berechtigungen angeben AWS KMS.

AWS DMS erstellt Ihre Replikationsinstanz immer in einer Virtual Private Cloud (VPC), die auf dem Amazon VPC-Service basiert, um die größtmögliche Netzwerkzugriffskontrolle zu gewährleisten. Verwenden Sie für Ihre DB-Instances und Instance-Cluster dieselbe VPC wie Ihre Replikations-Instance oder zusätzliche VPCs, um diese Zugriffskontrolle zu erreichen. Jede von Ihnen verwendete Amazon VPC muss einer Sicherheitsgruppe zugeordnet sein, die Regeln enthält, mit denen der gesamte Datenverkehr auf allen Ports die VPC verlassen kann. Dieser Ansatz ermöglicht die Kommunikation von der Replikations-Instance zu Ihren Quell- und Zieldatenbankendpunkten, sofern auf diesen Endpunkten korrekte Eingangsregeln aktiviert sind.

Weitere Informationen zu verfügbaren Netzwerkkonfigurationen für finden Sie AWS DMS unter. Einrichten eines Netzwerks für eine Replikations-Instance Weitere Informationen zum Erstellen einer DB-Instance oder eines Instance-Clusters in einer VPC finden Sie in der Dokumentation zur Sicherheits- und Cluster-Verwaltung für Ihre Amazon-Datenbanken in der AWS -Dokumentation. Weitere Hinweise zu von AWS DMS unterstützten Netzwerkkonfigurationen finden Sie unter Einrichten eines Netzwerks für eine Replikations-Instance.

Um Datenbankmigrationsprotokolle anzuzeigen, benötigen Sie die entsprechenden Amazon CloudWatch Logs-Berechtigungen für die IAM-Rolle, die Sie verwenden. Weitere Informationen zur Protokollierung für AWS DMS finden Sie unter Überwachung von Replikationsaufgaben mit Amazon CloudWatch.

Fügen Sie das für die Migration verwendete IAM-Benutzerkonto als Schlüsseladministrator oder Schlüsselbenutzer für den AWS KMS benutzerdefinierten Schlüssel hinzu. Auf diese Weise wird sichergestellt, dass dem IAM-Benutzerkonto die erforderlichen AWS KMS -Berechtigungen erteilt werden. Diese Aktion besteht zusätzlich zu den IAM-Berechtigungen, die Sie dem IAM-Benutzerkonto für die Nutzung von AWS DMS erteilen müssen. Weitere Informationen zum Erteilen von Berechtigungen für einen Schlüsselbenutzer finden Sie unter Gestattet Schlüsselbenutzern die Verwendung des KMS-Schlüssels im AWS Key Management Service -Entwicklerhandbuch.

Wenn Sie das IAM-Benutzerkonto nicht als Schlüsseladministrator oder Schlüsselbenutzer für Ihren benutzerdefinierten KMS-Schlüssel hinzufügen möchten, dann fügen Sie folgende zusätzliche Berechtigungen zu den IAM-Berechtigungen hinzu, die Sie dem IAM-Benutzerkonto für die Nutzung von AWS DMS erteilen müssen.

{
            "Effect": "Allow",
            "Action": [
                "kms:ListAliases",
                "kms:DescribeKey",
                "kms:CreateGrant",
                "kms:Encrypt",
                "kms:ReEncrypt*"
            ],
            "Resource": "*"
        },
            

Amazon Redshift – Weitere Informationen finden Sie unter Erstellen und Verwenden von AWS KMS-Schlüsseln für die Verschlüsselung von Amazon-Redshift-Zieldaten.

Amazon S3 – Weitere Informationen finden Sie unter AWS KMS Schlüssel zur Verschlüsselung von Amazon S3 S3-Zielobjekten erstellen.

Die Replikations-Instance muss Zugriff auf die Quell- und Zielendpunkte haben. Die Sicherheitsgruppe für die Replikations-Instance muss Netzwerk-ACLs oder Regeln haben, die den Ausgang von der Instance über den Datenbankport zu den Datenbankendpunkten erlauben.

Datenbankendpunkte müssen Netzwerk-ACLs und Sicherheitsgruppenregeln beinhalten, die eingehenden Zugriff von der Replikations-Instance erlauben. Sie können dies mithilfe der Sicherheitsgruppe der Replikations-Instance, der privaten IP-Adresse, der öffentlichen IP-Adresse oder der öffentlichen Adresse des NAT-Gateways erreichen, je nach Konfiguration.

Wenn Ihr Netzwerk einen VPN-Tunnel verwendet, muss die Amazon-EC2-Instance, die als NAT-Gateway fungiert, eine Sicherheitsgruppe mit Regeln verwenden, die der Replikations-Instance erlauben, Datenverkehr durch sie zu senden.

Konfiguration mit allen Komponenten für die Datenbankmigration in einer VPC – Die Sicherheitsgruppe, die von den Endpunkten verwendet wird, muss den Eingang über den Datenbankport von der Replikations-Instance erlauben. Stellen Sie sicher, dass die von der Replikations-Instance verwendete Sicherheitsgruppe Eingang zu den Endpunkten hat, oder Sie können eine Regel in der von den Endpunkten verwendeten Sicherheitsgruppe erstellen, die der privaten IP-Adresse der Replikations-Instance den Zugriff erlaubt.

Konfiguration mit mehreren VPCs – Die Sicherheitsgruppe, die von der Replikations-Instance verwendet wird, muss eine Regel für den VPC-Bereich und den DB-Port auf der Datenbank haben.

Konfiguration für ein Netzwerk zur VPC Verwendung AWS Direct Connect oder ein VPN – ein VPN-Tunnel, der Datenverkehr durch einen Tunnel aus der VPC in ein On-Premises-VPN erlaubt. Bei dieser Konfiguration enthält das VPC eine Routing-Regel, die Datenverkehr, der für eine IP-Adresse oder einen IP-Bereich bestimmt ist, zu einem Host sendet, der den Datenverkehr aus der VPC in das lokale VPN leiten kann. In diesem Fall verfügt der NAT-Host über eigene Sicherheitsgruppeneinstellungen, die den Datenverkehr von der privaten IP-Adresse oder Sicherheitsgruppe der Replikations-Instance zur NAT-Instance zulassen müssen.

Konfiguration für ein Netzwerk, das das Internet VPC nutzt – Die VPC-Sicherheitsgruppe muss Routing-Regeln enthalten, die den nicht für die VPC bestimmten Datenverkehr an das Internet-Gateway sendet. In dieser Konfiguration scheint es, dass die Verbindung zum Endpunkt von der öffentlichen IP-Adresse auf der Replikations-Instance kommt.

Konfiguration mit einer RDS DB-Instance, die sich nicht in einer VPC zu einer DB-Instance in einer VPC Verwendung befindet ClassicLink— Wenn sich die Amazon RDS-DB-Quell- oder Zielinstanz nicht in einer VPC befindet und auch keine Sicherheitsgruppe mit der VPC teilt, in der sich die Replikationsinstanz befindet, können Sie einen Proxy-Server einrichten und ihn verwenden, ClassicLink um die Quell- und Zieldatenbank zu verbinden.

Der Quellendpunkt befindet sich außerhalb der von der Replikations-Instance verwendeten VPC (über NAT-Gateway) – Sie können ein Network Address Translation (NAT)-Gateway mit einer einzelnen Elastic-IP-Adresse konfigurieren, die an eine einzelne Elastic-Network-Schnittstelle gebunden ist. Diese Elastic Network-Schnittstelle empfängt dann eine NAT-Kennung (nat- # # # # #). Wenn die VPC eine Standardroute zu diesem NAT-Gateway anstatt zum Internet-Gateway enthält, scheint die Replikations-Instance den Datenbankendpunkt mit der öffentlichen IP-Adresse des Internet-Gateways zu kontaktieren. In diesem Fall muss der Eingang zum Datenbankendpunkt außerhalb der VPC den Eingang von der NAT-Adresse anstatt von der öffentlichen IP-Adresse der Replikations-Instance erlauben.

VPC-Endpunkte für Nicht-RDBMS-Engines – AWS DMS unterstützt keine VPC-Endpunkte für Nicht-RDBMS-Engines.