View a markdown version of this page

Seguridad de la infraestructura en AWS Database Migration Service - AWS Database Migration Service

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Seguridad de la infraestructura en AWS Database Migration Service

Como servicio gestionado, AWS Database Migration Service está protegido por la seguridad de red AWS global. Para obtener información sobre los servicios de AWS seguridad y cómo AWS protege la infraestructura, consulta AWS Cloud Security. Para diseñar su AWS entorno utilizando las mejores prácticas de seguridad de la infraestructura, consulte Infrastructure Protection in Security Pillar AWS Well‐Architected Framework.

Las llamadas a la API AWS publicadas se utilizan para acceder a AWS DMS través de la red. Los clientes deben admitir lo siguiente:

  • Seguridad de la capa de transporte (TLS). Exigimos TLS 1.2 y recomendamos TLS 1.3.

  • Conjuntos de cifrado con un secreto directo perfecto (PFS), como el DHE (efímero) o el ECDHE (efímero de curva elíptica Diffie-Hellman). Diffie-Hellman La mayoría de los sistemas modernos como Java 7 y posteriores son compatibles con estos modos.

Puede llamar a estas operaciones de API desde cualquier ubicación de la red. AWS DMS también admite políticas de acceso basadas en recursos, que pueden especificar restricciones de acciones y recursos, por ejemplo, en función de la dirección IP de origen. Además, puede usar AWS DMS políticas para controlar el acceso desde puntos de enlace de Amazon VPC específicos o nubes privadas virtuales (VPC) específicas. De hecho, esto aísla el acceso de red a un AWS DMS recurso determinado únicamente de la VPC específica de la red. AWS Para obtener más información sobre el uso de políticas de acceso basadas en recursos AWS DMS, incluidos ejemplos, consulte. Fine-grained control de acceso mediante nombres y etiquetas de recursos

Para limitar sus comunicaciones a una sola VPC, puede crear un punto final de interfaz de la VPC que le permita conectarse a través de él. AWS DMS AWS DMS AWS PrivateLink AWS PrivateLink ayuda a garantizar que cualquier llamada AWS DMS y sus resultados asociados se limiten a la VPC específica para la que se creó el punto final de la interfaz. A continuación, puede especificar la URL de este punto final de interfaz de forma opcional con cada AWS DMS comando que ejecute mediante el SDK AWS CLI o un SDK. Esto ayuda a garantizar que todas sus comunicaciones AWS DMS permanezcan confinadas en la VPC y, por lo demás, sean invisibles para la Internet pública.

Creación de un punto de conexión de interfaz para acceder al DMS en una sola VPC

  1. Inicie sesión en la consola de Amazon VPC Consola de administración de AWS y ábrala en. https://console.aws.amazon.com/vpc/

  2. En el panel de navegación, elija Puntos de conexión. Se abre la página Crear puntos de enlace, en la que puede crear el punto de enlace de la interfaz desde una VPC hasta. AWS DMS

  3. Elija AWS los servicios y, a continuación, busque y elija un valor para el nombre del servicio, en este caso AWS DMS en el siguiente formulario.

    com.amazonaws.region.dms

    Aquí, region especifica la AWS región en la que AWS DMS se ejecuta, por ejemplocom.amazonaws.us-west-2.dms.

  4. Para VPC, elija la VPC para la que crear el punto de conexión de la interfaz, por ejemplo vpc-12abcd34.

  5. Elija un valor para Zona de disponibilidad y para ID de subred. Estos valores deben indicar una ubicación en la que se pueda ejecutar el punto de conexión de AWS DMS elegido, por ejemplo, us-west-2a (usw2-az1) y subnet-ab123cd4.

  6. Elija Habilitar nombre de DNS para crear el punto de conexión con un nombre de DNS. Este nombre de DNS consta del ID del punto de conexión (vpce-12abcd34efg567hij) separado por guiones y una cadena aleatoria (ab12dc34). Se separan del nombre del servicio por un punto en el orden inverso de separación por puntos, con vpce agregado (dms.us-west-2.vpce.amazonaws.com).

    Un ejemplo es vpce-12abcd34efg567hij-ab12dc34.dms.us-west-2.vpce.amazonaws.com.

  7. Para Grupo de seguridad, elija un grupo de seguridad que usar para el punto de conexión.

    Cuando configure el grupo de seguridad, asegúrese de permitir las llamadas HTTPS salientes desde su interior. Para obtener más información, consulte Creación de grupos de seguridad en la Guía del usuario de Amazon VPC.

  8. Elija Acceso total o un valor personalizado para la política. Por ejemplo, puede elegir una política personalizada similar a la siguiente que restrinja el acceso del punto de conexión a determinadas acciones y recursos.

    {
  "Statement": [
    {
      "Action": "dms:*",
      "Effect": "Allow",
      "Resource": "*",
      "Principal": "*"
    },
    {
      "Action": [
        "dms:ModifyReplicationInstance",
        "dms:DeleteReplicationInstance"
      ],
      "Effect": "Deny",
      "Resource": "arn:aws:dms:us-west-2:111122223333:rep:EXAMPLE1AAAA2BBBB3CCCC4",
      "Principal": "*"
    }
  ]
}

    En este caso, la política de ejemplo permite cualquier llamada a la AWS DMS API, excepto para eliminar o modificar una instancia de replicación específica.

Ahora puede especificar una URL formada con el nombre de DNS creado en el paso 6 como opción. Esto se especifica para cada comando de la AWS DMS CLI o operación de API para acceder a la instancia de servicio mediante el punto final de la interfaz creado. Por ejemplo, es posible que ejecute el comando DescribeEndpoints de la CLI de DMS en esta VPC como se muestra a continuación.

$ aws dms describe-endpoints --endpoint-url https://vpce-12abcd34efg567hij-ab12dc34.dms.us-west-2.vpce.amazonaws.com

Si ha habilitado la opción de DNS privado, no es necesario que especifique la URL del punto de conexión en la solicitud.

Para obtener más información sobre la creación y el uso de los puntos de enlace de la interfaz de la VPC (incluida la habilitación de la opción de DNS privado), consulte los puntos de enlace de la interfaz de VPC (AWS PrivateLink) en la guía del usuario de Amazon VPC.