Sicherheit in AWS Database Migration Service

Sicherheit der Cloud – AWS ist dafür verantwortlich, die Infrastruktur zu schützen, mit der AWS-Services in der AWS-Cloud ausgeführt werden. AWS stellt Ihnen außerdem Services bereit, die Sie sicher nutzen können. Auditoren von Drittanbietern testen und überprüfen die Effektivität unserer Sicherheitsmaßnahmen im Rahmen der AWS-Compliance-Programme regelmäßig. Informationen zu den Compliance-Programmen, die für AWS DMS gelten, finden Sie unter Vom Compliance-Programm abgedeckte AWS-Services.

Sicherheit in der Cloud – Ihr Verantwortungsumfang wird durch den AWS-Service bestimmt, den Sie verwenden. In Ihre Verantwortung fallen außerdem weitere Faktoren, wie z. B. die Vertraulichkeit der Daten, die Anforderungen Ihrer Organisation sowie geltende Gesetze und Vorschriften.

Verwenden Sie AWS Identity and Access Management (IAM)-Richtlinien, um Berechtigungen zuzuweisen, die bestimmen, wer AWS DMS-Ressourcen verwalten darf. AWS DMS erfordert, dass Sie über die entsprechenden Berechtigungen verfügen, wenn Sie sich als IAM-Benutzer anmelden. Beispielsweise können Sie IAM verwenden, um zu bestimmen, wer DB-Instances und -Cluster erstellen, beschreiben, ändern und löschen, Ressourcen markieren oder Sicherheitsgruppen ändern darf. Weitere Informationen zu IAM und seiner Verwendung mit AWS DMS finden Sie unter Identity and Access Management für AWS Database Migration Service.

AWS DMS verwendet Secure Sockets Layer (SSL) für Ihre Endpunktverbindungen mit Transport Layer Security (TLS). Weitere Informationen zur Verwendung von SSL/TLS mit AWS DMS finden Sie unter Verwenden von SSL mit AWS Database Migration Service.

AWS DMS verwendet AWS Key Management Service (AWS KMS)-Verschlüsselungsschlüssel, um den von Ihrer Replikations-Instance verwendeten Speicher und deren Endpunktverbindungsinformationen zu verschlüsseln. AWS DMS verwendet auch AWS KMS-Verschlüsselungsschlüssel, um Ihre Zieldaten im Ruhezustand für Amazon-S3- und Amazon-Redshift-Zielendpunkte zu sichern. Weitere Informationen finden Sie unter Einrichten eines Verschlüsselungsschlüssels und Angeben von AWS KMS-Berechtigungen.

AWS DMS erstellt Ihre Replikations-Instance immer in einer Virtual Private Cloud (VPC) basierend auf dem Amazon-VPC-Service für die größtmögliche Netzwerkzugriffskontrolle. Verwenden Sie für Ihre DB-Instances und Instance-Cluster dieselbe VPC wie Ihre Replikations-Instance oder zusätzliche VPCs, um diese Zugriffskontrolle zu erreichen. Jede von Ihnen verwendete Amazon VPC muss einer Sicherheitsgruppe zugeordnet sein, die Regeln enthält, mit denen der gesamte Datenverkehr auf allen Ports die VPC verlassen kann. Dieser Ansatz ermöglicht die Kommunikation von der Replikations-Instance zu Ihren Quell- und Zieldatenbankendpunkten, sofern auf diesen Endpunkten korrekte Eingangsregeln aktiviert sind.

Weitere Hinweise zu verfügbaren Netzwerkkonfigurationen für AWS DMS finden Sie unter Einrichten eines Netzwerks für eine Replikations-Instance. Weitere Informationen zum Erstellen einer DB-Instance oder eines Instance-Clusters in einer VPC finden Sie in der Dokumentation zur Sicherheits- und Cluster-Verwaltung für Ihre Amazon-Datenbanken in der AWS-Dokumentation. Weitere Hinweise zu von AWS DMS unterstützten Netzwerkkonfigurationen finden Sie unter Einrichten eines Netzwerks für eine Replikations-Instance.

Wenn Sie Datenbankmigrationsprotokolle anzeigen möchten, müssen Sie über die entsprechenden Amazon-CloudWatch-Logs-Berechtigungen für die IAM-Rolle, die Sie verwenden, verfügen. Weitere Informationen zur Protokollierung für AWS DMS finden Sie unter Überwachen von Replikationsaufgaben mit Amazon CloudWatch.

Fügen Sie das IAM-Benutzerkonto, das für die Migration verwendet wird, als Schlüsseladministrator oder Schlüsselbenutzer für den benutzerdefinierten AWS KMS-Schlüssel hinzu. Auf diese Weise wird sichergestellt, dass dem IAM-Benutzerkonto die erforderlichen AWS KMS-Berechtigungen erteilt werden. Diese Aktion besteht zusätzlich zu den IAM-Berechtigungen, die Sie dem IAM-Benutzerkonto für die Nutzung von AWS DMS erteilen müssen. Weitere Informationen zum Erteilen von Berechtigungen für einen Schlüsselbenutzer finden Sie unter Gestattet Schlüsselbenutzern die Verwendung des KMS-Schlüssels im AWS Key Management Service-Entwicklerhandbuch.

Wenn Sie das IAM-Benutzerkonto nicht als Schlüsseladministrator oder Schlüsselbenutzer für Ihren benutzerdefinierten KMS-Schlüssel hinzufügen möchten, dann fügen Sie folgende zusätzliche Berechtigungen zu den IAM-Berechtigungen hinzu, die Sie dem IAM-Benutzerkonto für die Nutzung von AWS DMS erteilen müssen.

{
            "Effect": "Allow",
            "Action": [
                "kms:ListAliases",
                "kms:DescribeKey",
                "kms:CreateGrant",
                "kms:Encrypt",
                "kms:ReEncrypt*"
            ],
            "Resource": "*"
        },
            

Amazon Redshift – Weitere Informationen finden Sie unter Erstellen und Verwenden von AWS KMS-Schlüsseln für die Verschlüsselung von Amazon-Redshift-Zieldaten.

Amazon S3 – Weitere Informationen finden Sie unter Erstellen von AWS KMS-Schlüsseln zum Verschlüsseln von Amazon-S3-Zielobjekten.

Die Replikations-Instance muss Zugriff auf die Quell- und Zielendpunkte haben. Die Sicherheitsgruppe für die Replikations-Instance muss Netzwerk-ACLs oder Regeln haben, die den Ausgang von der Instance über den Datenbankport zu den Datenbankendpunkten erlauben.

Datenbankendpunkte müssen Netzwerk-ACLs und Sicherheitsgruppenregeln beinhalten, die eingehenden Zugriff von der Replikations-Instance erlauben. Sie können dies mithilfe der Sicherheitsgruppe der Replikations-Instance, der privaten IP-Adresse, der öffentlichen IP-Adresse oder der öffentlichen Adresse des NAT-Gateways erreichen, je nach Konfiguration.

Wenn Ihr Netzwerk einen VPN-Tunnel verwendet, muss die Amazon-EC2-Instance, die als NAT-Gateway fungiert, eine Sicherheitsgruppe mit Regeln verwenden, die der Replikations-Instance erlauben, Datenverkehr durch sie zu senden.

Konfiguration mit allen Datenbankmigrationskomponenten in einer VPC – Die Sicherheitsgruppe, die von den Endpunkten verwendet wird, muss den Eingang über den Datenbankport von der Replikations-Instance erlauben. Stellen Sie sicher, dass die von der Replikations-Instance verwendete Sicherheitsgruppe Eingang zu den Endpunkten hat, oder Sie können eine Regel in der von den Endpunkten verwendeten Sicherheitsgruppe erstellen, die der privaten IP-Adresse der Replikations-Instance den Zugriff erlaubt.

Konfiguration mit mehreren VPCs – Die Sicherheitsgruppe, die von der Replikations-Instance verwendet wird, muss eine Regel für den VPC-Bereich und den DB-Port auf der Datenbank haben.

Konfiguration für ein Netzwerk zu einer VPC unter Verwendung AWS Direct Connect eines VPN – ein VPN-Tunnel, der Datenverkehr durch einen Tunnel aus der VPC in ein On-Premises-VPN erlaubt. Bei dieser Konfiguration enthält das VPC eine Routing-Regel, die Datenverkehr, der für eine IP-Adresse oder einen IP-Bereich bestimmt ist, zu einem Host sendet, der den Datenverkehr aus der VPC in das lokale VPN leiten kann. In diesem Fall verfügt der NAT-Host über eigene Sicherheitsgruppeneinstellungen, die den Datenverkehr von der privaten IP-Adresse oder Sicherheitsgruppe der Replikations-Instance zur NAT-Instance zulassen müssen.

Konfiguration für ein Netzwerk zu einer VPC über das Internet – Die VPC-Sicherheitsgruppe muss Routing-Regeln enthalten, die den nicht für die VPC bestimmten Datenverkehr an das Internet-Gateway sendet. In dieser Konfiguration scheint es, dass die Verbindung zum Endpunkt von der öffentlichen IP-Adresse auf der Replikations-Instance kommt.

Konfiguration mit einer RDS-DB-Instance, die sich nicht in einer VPC befindet, zu einer DB-Instance in einer VPC mit ClassicLink – Wenn die Amazon-RDS-Quell- oder Ziel-DB-Instance sich nicht in einer VPC befindet und keine Sicherheitsgruppe mit der VPC teilt, in der sich die Replikations-Instance befindet, können Sie einen Proxy-Server einrichten und ClassicLink verwenden, um die Quell- und Zieldatenbanken zu verbinden.

Der Quellendpunkt befindet sich außerhalb der von der Replikations-Instance verwendeten VPC (über NAT-Gateway) – Sie können ein Network Address Translation (NAT)-Gateway mit einer einzelnen Elastic-IP-Adresse konfigurieren, die an eine einzelne Elastic-Network-Schnittstelle gebunden ist. Diese Elastic Network-Schnittstelle empfängt dann eine NAT-Kennung (nat- # # # # #). Wenn die VPC eine Standardroute zu diesem NAT-Gateway anstatt zum Internet-Gateway enthält, scheint die Replikations-Instance den Datenbankendpunkt mit der öffentlichen IP-Adresse des Internet-Gateways zu kontaktieren. In diesem Fall muss der Eingang zum Datenbankendpunkt außerhalb der VPC den Eingang von der NAT-Adresse anstatt von der öffentlichen IP-Adresse der Replikations-Instance erlauben.

VPC-Endpunkte für Nicht-RDBMS-Engines – AWS DMS unterstützt keine VPC-Endpunkte für Nicht-RDBMS-Engines.