Configuración de las opciones de comunicación del grupo de seguridad para un clúster de Amazon Redshift o un grupo de trabajo de Amazon Redshift sin servidor
Este tema lo ayuda a configurar sus grupos de seguridad para enrutar y recibir el tráfico de red adecuadamente. A continuación, se exponen un par de casos de uso habituales:
-
Ha activado la accesibilidad pública para un clúster de Amazon Redshift o un grupo de trabajo de Amazon Redshift sin servidor, pero no recibe tráfico. Para ello, debe configurar una regla de entrada para permitir que le llegue tráfico desde Internet.
-
Su clúster o grupo de trabajo no es de acceso público y utiliza el grupo de seguridad de VPC predeterminado y preconfigurado de Redshift para permitir el tráfico entrante. Pero usted tiene la necesidad de utilizar un grupo de seguridad distinto del predeterminado y este grupo de seguridad personalizado no permite el tráfico entrante. Debe configurarlo para permitir la comunicación.
En las secciones siguientes encontrará ayuda para elegir la respuesta correcta para cada caso de uso y se le mostrará cómo configurar el tráfico de red según sus necesidades. Opcionalmente, puede utilizar los pasos para configurar la comunicación de otros grupos de seguridad privados.
nota
La configuración del tráfico de red en la mayoría de los casos no se hace de forma automática en Amazon Redshift. Esto se debe a que pueden variar en un nivel detallado, en función de si el origen del tráfico es Internet o un grupo de seguridad privado y debido a que los requisitos de seguridad varían.
Accesibilidad pública con configuración de grupo de seguridad predeterminada o personalizada
Si está creando o ya tiene un clúster o grupo de trabajo, realice los siguientes pasos de configuración para que sea accesible públicamente. Esto se aplica tanto cuando elige el grupo de seguridad predeterminado como un grupo de seguridad personalizado:
-
Busque la configuración de red:
-
Para un clúster de Amazon Redshift aprovisionado, elija la pestaña Propiedades y, a continuación, en Configuración de red y seguridad, seleccione la VPC de su clúster.
-
Para un grupo de trabajo de Amazon Redshift sin servidor, elija Configuración del grupo de trabajo. Elija el grupo de trabajo de la lista. A continuación, en Acceso a datos, en el panel Red y seguridad, elija Editar.
-
-
Configure la puerta de enlace de Internet y la tabla de enrutamiento para su VPC. Elija la VPC por su nombre para iniciar la configuración. Abre el panel de VPC. Para conectarse a un clúster o grupo de trabajo de acceso público desde Internet, se debe adjuntar una puerta de enlace de Internet a la tabla de enrutamiento. Puede configurarlo si elige Tablas de enrutamiento en el panel de VPC. Confirme que la puerta de enlace de Internet objetivo está establecida con la fuente 0.0.0.0/0 o un CIDR de IP público. La tabla de enrutamiento debe estar asociada a VPC en la que se encuentra el clúster. Para obtener más información sobre la configuración del acceso a Internet para una VPC, como lo que se describe aquí, consulte Habilitar el acceso a Internet en la documentación de Amazon VPC. Para obtener más información sobre la configuración de una tabla de enrutamiento, consulte Configurar tablas de enrutamiento.
-
Después de configurar la puerta de enlace de Internet y la tabla de enrutamiento, vuelva a la configuración de red de Redshift. Abra el acceso entrante; para ello, elija el grupo de seguridad y, a continuación, las reglas de entrada. Elija Editar reglas de entrada.
-
Elija el Protocolo y el Puerto para la regla o reglas de entrada, según sus necesidades, para permitir el tráfico de los clientes. Para un clúster RA3, seleccione un puerto en los intervalos 5431-5455 o 8191-8215. Cuando haya terminado, guarde cada regla.
-
Edite la configuración De acceso público para habilitarla. Puede hacerlo desde el menú Acciones de su clúster o grupo de trabajo.
Al activar la configuración de acceso público, Redshift crea una dirección IP elástica. Es una dirección IP estática que está asociada a su cuenta de AWS. Los clientes externos a la VPC pueden utilizarla para conectarse.
Para obtener más información sobre la configuración de su grupo de seguridad, consulte Grupos de seguridad de Amazon Redshift.
Puede probar sus reglas conectándose con un cliente; realice lo siguiente si se conecta a Amazon Redshift sin servidor. Una vez finalizada la configuración de red, conéctese con su herramienta cliente, como Amazon Redshift RSQL. Si utiliza su dominio de Amazon Redshift Serverless como host, ingrese lo siguiente:
rsql -hworkgroup-name.account-id.region.amazonaws.com -Uadmin-d dev -p 5439
Accesibilidad privada con configuración de grupo de seguridad predeterminada o personalizada
Cuando no se comunica a través de Internet con su clúster o grupo de trabajo, se habla de acceso privado. Si eligió el grupo de seguridad predeterminado cuando lo creó, el grupo de seguridad incluye las siguientes reglas de comunicación predeterminadas:
-
Una regla de entrada que permite el tráfico de todos los recursos asignados al grupo de seguridad.
-
Una regla de salida que permite todo el tráfico saliente. El destino de esta regla es 0.0.0.0/0. En notación de enrutamiento entre dominios sin clases (CIDR), representa todas las direcciones IP posibles.
Puede ver las reglas en la consola si selecciona el grupo de seguridad de su clúster o grupo de trabajo.
Si tanto su clúster o grupo de trabajo como su cliente utilizan el grupo de seguridad predeterminado, no es necesaria ninguna configuración adicional para permitir el tráfico de red. Pero si elimina o modifica alguna regla del grupo de seguridad predeterminado para Redshift o el cliente, esto ya no será aplicable. En este caso, debe configurar reglas para permitir la comunicación entrante y saliente. Una configuración común del grupo de seguridad es la siguiente:
-
Para una instancia de Amazon EC2 cliente:
-
Una regla de entrada que permite la dirección IP del cliente.
-
Una regla de salida que permite el intervalo de direcciones IP (bloque de CIDR) de todas las subredes proporcionadas para el uso de Redshift. O puede especificar 0.0.0.0/0, que son todos los intervalos de direcciones IP.
-
-
Para su clúster o grupo de trabajo de Redshift:
-
Una regla de entrada que permite el grupo de seguridad cliente.
-
Una regla de salida que permite el tráfico a 0.0.0.0/0. Normalmente, la regla de salida permite todo el tráfico saliente. Opcionalmente, puede agregar una regla de salida para permitir el tráfico al grupo de seguridad cliente. En este caso opcional, no siempre es necesaria una regla de salida, ya que se permite que el tráfico de respuesta de cada solicitud llegue a la instancia. Para obtener más detalles sobre el comportamiento de las solicitudes y respuestas, consulte Grupos de seguridad en la guía del usuario de Amazon VPC.
-
Si cambia la configuración de cualquier subred o grupo de seguridad especificado para el uso de Redshift, es posible que tenga que cambiar las reglas de tráfico en consecuencia para mantener abierta la comunicación. Para obtener más información sobre la creación de reglas de entrada y salida, consulte Bloques CIDR de VPC en la guía del usuario de Amazon VPC. Para obtener más información acerca de cómo conectarse a Amazon Redshift desde un cliente, consulte Configuración de conexiones en Amazon Redshift.
