Seguridad en AWS Database Migration Service

Seguridad de la nube: AWS es responsable de proteger la infraestructura que ejecuta AWS los servicios en la AWS nube. AWS también le proporciona servicios que puede utilizar de forma segura. Auditores independientes prueban y verifican periódicamente la eficacia de nuestra seguridad en el marco de los programas de conformidad de AWS. Para obtener más información sobre los programas de cumplimiento aplicables AWS DMS, consulte AWS los servicios clasificados por programa de cumplimiento.

Seguridad en la nube: su responsabilidad viene determinada por el AWS servicio que utilice. Usted también es responsable de otros factores incluida la confidencialidad de los datos, los requisitos de la empresa y la legislación y los reglamentos aplicables.

Utilice políticas AWS Identity and Access Management (IAM) para asignar permisos que determinen quién puede administrar AWS DMS los recursos. AWS DMS requiere que tenga los permisos adecuados si inicia sesión como usuario de IAM. Por ejemplo, puede utilizar IAM para determinar quién tiene permiso para crear, describir, modificar y eliminar instancias y clústeres de bases de datos, etiquetar recursos o modificar grupos de seguridad. Para obtener más información sobre IAM y su uso con AWS DMS, consulte. Gestión de identidad y acceso para AWS Database Migration Service

AWS DMS utiliza Secure Sockets Layer (SSL) para las conexiones de sus puntos finales con Transport Layer Security (TLS). Para obtener más información sobre el uso de SSL/TLS con, consulte. AWS DMSUso de SSL con AWS Database Migration Service

AWS DMS utiliza claves de cifrado AWS Key Management Service (AWS KMS) para cifrar el almacenamiento utilizado por la instancia de replicación y la información de conexión de su punto final. AWS DMS también utiliza claves de AWS KMS cifrado para proteger los datos de destino en reposo para los puntos de enlace de destino de Amazon S3 y Amazon Redshift. Para obtener más información, consulte Establecer una clave de cifrado y especificar los permisos AWS KMS.

AWS DMS siempre crea la instancia de replicación en una nube privada virtual (VPC) basada en el servicio Amazon VPC para lograr el máximo control de acceso a la red posible. Para las instancias de base de datos y los clústeres de instancias, utilice la misma VPC que la instancia de replicación o una adicional VPCs para que coincida con este nivel de control de acceso. Cada Amazon VPC que utilice debe estar asociada a un grupo de seguridad que tenga reglas que permitan que todo el tráfico de todos los puertos salga de la VPC. Este enfoque permite la comunicación entre la instancia de replicación y los puntos de enlace de su base de datos de origen y de destino, siempre que en dichos puntos de enlace se haya activado la entrada correcta.

Para obtener más información sobre las configuraciones de red disponibles AWS DMS, consulteConfiguración de una red para una instancia de replicación. Para obtener más información sobre la creación de una instancia de base de datos o un clúster de instancias en una VPC, consulte la documentación de seguridad y administración de clústeres para las bases de datos de Amazon en Documentación de AWS. Para obtener más información acerca de las configuraciones de red AWS DMS compatibles, consulte Configuración de una red para una instancia de replicación.

Para ver los registros de migración de bases de datos, necesita los permisos de Amazon CloudWatch Logs adecuados para la función de IAM que esté utilizando. Para obtener más información acerca del registro para AWS DMS, consulte Supervisión de las tareas de replicación mediante Amazon CloudWatch.

Añada la cuenta de usuario de IAM utilizada para la migración como administrador de claves o usuario clave para la clave AWS KMS personalizada. Esto le permitirá que se concedan los permisos de AWS KMS necesarios a la cuenta de usuario de IAM. Esta acción se suma a los permisos de IAM que otorga a la cuenta de usuario de IAM para utilizar AWS DMS. Para obtener más información sobre la concesión de permisos a un usuario de claves, consulte Permite a los usuarios de claves utilizar la clave de KMS en la Guía para desarrolladores de AWS Key Management Service .

Si no desea añadir la cuenta de usuario de IAM como administrador de claves o usuario de claves a su clave KMS personalizada, añada los siguientes permisos adicionales a los permisos de IAM que debe conceder a la cuenta de usuario de IAM para utilizar AWS DMS.

{
            "Effect": "Allow",
            "Action": [
                "kms:ListAliases",
                "kms:DescribeKey",
                "kms:CreateGrant",
                "kms:Encrypt",
                "kms:ReEncrypt*"
            ],
            "Resource": "*"
        },
            

Amazon Redshift: para obtener más información, consulte Creación y uso de AWS KMS claves para cifrar los datos de destino de Amazon Redshift.

Amazon S3: para obtener más información, consulte Creación de AWS KMS claves para cifrar los objetos de destino de Amazon S3.

La instancia de replicación debe tener acceso a los puntos de enlace de origen y de destino. El grupo de seguridad de la instancia de replicación debe tener una red ACLs o reglas que permitan salir de la instancia por el puerto de la base de datos a los puntos finales de la base de datos.

Los puntos finales de la base de datos deben incluir reglas de red ACLs y grupos de seguridad que permitan el acceso entrante desde la instancia de replicación. Puede hacerlo utilizando el grupo de seguridad de la instancia de replicación, la dirección IP privada, la dirección IP pública o la dirección pública de la gateway NAT, en función de su configuración.

Si su red usa un túnel VPN, la EC2 instancia de Amazon que actúa como puerta de enlace NAT debe usar un grupo de seguridad que tenga reglas que permitan a la instancia de replicación enviar tráfico a través de ella.

Configuración con todos los componentes de migración de bases de datos en una VPC: el grupo de seguridad utilizado por los puntos de conexión debe permitir el ingreso al puerto de la base de datos desde la instancia de replicación. Asegúrese de que el grupo de seguridad utilizado por la instancia de replicación entra a los puntos de enlace. Otra opción es crear una regla en el grupo de seguridad que utilizan los puntos de enlace que otorgue acceso a la dirección IP privada de la instancia de replicación.

Configuración con múltiples VPCs: el grupo de seguridad utilizado por la instancia de replicación debe tener una regla para el rango de VPC y el puerto de la base de datos en la base de datos.

Configuración de una red a una VPC mediante una AWS Direct Connect VPN: es un túnel de VPN que permite el tráfico a través del túnel desde la VPC a una VPN en las instalaciones. En esta configuración, la VPC incluye una regla de direccionamiento que envía el tráfico destinado a una dirección IP o a un rango específico a un host que puede conectar el tráfico de la VPC con la VPN local. En este caso, el host de NAT incluye su propia configuración del grupo de seguridad que debe permitir el tráfico desde la dirección IP privada o el grupo de seguridad de la instancia de replicación a la instancia NAT.

Configuración de una red a una VPC mediante Internet: el grupo de seguridad de la VPC debe incluir reglas de enrutamiento que envíen el tráfico no destinado a la VPC a la puerta de enlace de Internet. En esta configuración, la conexión con el punto de enlace parece provenir de la dirección IP pública de la instancia de replicación.

Configuración con una instancia de base de datos de RDS que no está en una VPC a una instancia de base de datos en una VPC mediante ClassicLink— Cuando la instancia de base de datos Amazon RDS de origen o de destino no está en una VPC y no comparte un grupo de seguridad con la VPC en la que se encuentra la instancia de replicación, puede configurar un servidor proxy y ClassicLink utilizarlo para conectar las bases de datos de origen y destino.

El punto de conexión de origen está fuera de la VPC que utiliza la instancia de replicación y usa una puerta de enlace NAT: puede configurar una puerta de enlace de traducción de las direcciones de red (NAT) mediante una única dirección IP elástica asociada a una única interfaz de red elástica. Esta interfaz de red elástica después recibe un identificador NAT (nat- #####). Si la VPC incluye una ruta predeterminada a dicho NAT en lugar de la gateway de Internet, la instancia de replicación aparece para ponerse en contacto con el punto de enlace de la base de datos mediante la dirección IP pública de la gateway de Internet. En este caso, la entrada al punto de enlace de la base de datos fuera de la VPC debe permitir la entrada de la dirección NAT en lugar de la dirección IP pública de la instancia de replicación.

Puntos de conexión de VPC para motores que no sean de RDBMS: AWS DMS no es compatible con puntos de conexión de VPC para motores que no sean de RDBMS.