Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Sécurité dans Amazon RDS Custom

Familiarisez-vous avec les considérations de sécurité relatives à RDS Custom.

Comment RDS Custom gère en toute sécurité les tâches en votre nom

RDSCustom utilise les outils et techniques suivants pour exécuter des opérations en toute sécurité en votre nom :

SSLcertificats

RDSLes instances de base de données personnalisées ne prennent pas en charge SSL les certificats gérés. Si vous souhaitez effectuer un déploiementSSL, vous pouvez gérer vous-même les SSL certificats dans votre propre portefeuille et créer un SSL écouteur pour sécuriser les connexions entre la base de données cliente ou pour la réplication de la base de données. Pour en savoir plus, consultez Configuring Transport Layer Security Authentication dans la documentation Oracle Database.

Sécurisation de votre compartiment Amazon S3 contre le problème de l'adjoint confus

Lorsque vous créez une version RDS personnalisée du moteur Amazon Custom pour Oracle (CEV) ou une instance de base de données RDS personnalisée pour le SQL serveur, RDS Custom crée un compartiment Amazon S3. Le compartiment S3 stocke des fichiers tels que CEV des artefacts, des journaux de rétablissement (transactions), des éléments de configuration pour le périmètre de support et AWS CloudTrail des journaux.

Vous pouvez rendre ces compartiments S3 plus sûrs en utilisant les clés de contexte de condition globale pour éviter le problème de l'adjoint confus. Pour de plus amples informations, veuillez consulter Prévention des problèmes d'adjoint confus entre services.

L'exemple RDS Custom for Oracle suivant montre l'utilisation des clés de contexte de condition aws:SourceAccount globale aws:SourceArn et des clés de contexte dans une politique de compartiment S3. Pour RDS Custom for Oracle, assurez-vous d'inclure les noms des ressources Amazon (ARNs) pour les instances de base de données CEVs et les instances de base de données. Pour RDS Custom for SQL Server, assurez-vous d'inclure les instances ARN de base de données.

...
{
  "Sid": "AWSRDSCustomForOracleInstancesObjectLevelAccess",
  "Effect": "Allow",
  "Principal": {
     "Service": "custom.rds.amazonaws.com"
  },
  "Action": [
     "s3:GetObject",
     "s3:GetObjectVersion",
     "s3:DeleteObject",
     "s3:DeleteObjectVersion",
     "s3:GetObjectRetention",
     "s3:BypassGovernanceRetention"
  ],
  "Resource": "arn:aws:s3:::do-not-delete-rds-custom-123456789012-us-east-2-c8a6f7/RDSCustomForOracle/Instances/*",
  "Condition": {
     "ArnLike": {
        "aws:SourceArn": [
            "arn:aws:rds:us-east-2:123456789012:db:*",
            "arn:aws:rds:us-east-2:123456789012:cev:*/*"
        ]
     },
     "StringEquals": {
        "aws:SourceAccount": "123456789012"
    }
  }
},
...

Rotation RDS des informations d'identification Custom for Oracle pour les programmes de conformité

Certains programmes de conformité exigent que les informations d'identification des utilisateurs de la base de données soient modifiées régulièrement, par exemple tous les 90 jours. RDSCustom for Oracle fait automatiquement pivoter les informations d'identification de certains utilisateurs de base de données prédéfinis.

Rotation automatique des informations d'identification pour les utilisateurs prédéfinis

Si votre instance de base de données RDS personnalisée pour Oracle est hébergée sur AmazonRDS, les informations d'identification des utilisateurs Oracle prédéfinis suivants changent automatiquement tous les 30 jours. Les informations d'identification des utilisateurs précédents se trouvent dans AWS Secrets Manager.

Une exception à la rotation automatique des informations d'identification est une instance de base de données RDS personnalisée pour Oracle que vous avez configurée manuellement en tant que base de données de secours. RDSfait uniquement pivoter les informations d'identification pour les répliques de lecture que vous avez créées à l'aide de la create-db-instance-read-replica CLI commande ou. CreateDBInstanceReadReplica API

Instructions pour la rotation des informations d'identification des utilisateurs

Pour vous assurer que vos informations d'identification changent en fonction de votre programme de conformité, tenez compte des instructions suivantes :

Rotation manuelle des informations d'identification des utilisateurs

Pour les catégories de bases de données suivantes, les informations d'identification des utilisateurs répertoriées dans la section Utilisateurs Oracle prédéfinis RDS ne sont pas automatiquement modifiées :

Si votre base de données appartient à l'une des catégories précédentes, vous devez effectuer une rotation manuelle de vos informations d'identification utilisateur.