Keamanan di AWS Database Migration Service

Keamanan cloud — AWS bertanggung jawab untuk melindungi infrastruktur yang menjalankan AWS layanan di AWS Cloud. AWS juga memberi Anda layanan yang dapat Anda gunakan dengan aman. Auditor pihak ketiga secara berkala menguji dan memverifikasi efektivitas keamanan kami sebagai bagian dari Program kepatuhan AWS. Untuk mempelajari tentang program kepatuhan yang berlaku AWS DMS, lihat AWS layanan dalam cakupan berdasarkan program kepatuhan.

Keamanan di cloud — Tanggung jawab Anda ditentukan oleh AWS layanan yang Anda gunakan. Anda juga bertanggung jawab atas faktor lain, termasuk sensitivitas data, persyaratan perusahaan, serta hukum dan peraturan yang berlaku.

Gunakan kebijakan AWS Identity and Access Management (IAM) untuk menetapkan izin yang menentukan siapa yang diizinkan mengelola sumber daya. AWS DMS AWS DMS mengharuskan Anda memiliki izin yang sesuai jika Anda masuk sebagai pengguna IAM. Misalnya, Anda dapat menggunakan IAM untuk menentukan siapa yang diperbolehkan untuk membuat, menjelaskan, memodifikasi, dan menghapus instans dan klaster DB, menandai sumber daya, atau memodifikasi grup keamanan. Untuk informasi lebih lanjut tentang IAM dan menggunakannya dengan AWS DMS, lihatManajemen identitas dan akses untuk AWS Database Migration Service.

AWS DMS menggunakan Secure Sockets Layer (SSL) untuk koneksi endpoint Anda dengan Transport Layer Security (TLS). Untuk informasi lebih lanjut tentang menggunakan SSL/TLS dengan, lihat. AWS DMSMenggunakan SSL dengan AWS Database Migration Service

AWS DMS menggunakan AWS Key Management Service (AWS KMS) kunci enkripsi untuk mengenkripsi penyimpanan yang digunakan oleh instance replikasi Anda dan informasi koneksi titik akhir. AWS DMS juga menggunakan kunci AWS KMS enkripsi untuk mengamankan data target Anda saat istirahat untuk titik akhir target Amazon S3 dan Amazon Redshift. Untuk informasi selengkapnya, lihat Menyetel kunci enkripsi dan menentukan izin AWS KMS.

AWS DMS selalu membuat instance replikasi Anda di virtual private cloud (VPC) berdasarkan layanan Amazon VPC untuk kontrol akses jaringan sebaik mungkin. Untuk instans DB Anda dan instans klaster, gunakan VPC yang sama dengan instans replikasi Anda, atau VPC tambahan agar sesuai dengan tingkat kontrol akses. Setiap Amazon VPC yang Anda gunakan harus dikaitkan dengan grup keamanan yang memiliki aturan yang mengizinkan semua lalu lintas di semua port untuk meninggalkan (keluar) VPC. Pendekatan ini memungkinkan komunikasi dari instans replikasi ke titik akhir basis data sumber dan target, selama ingress yang benar diaktifkan pada titik akhir tersebut.

Untuk informasi selengkapnya tentang konfigurasi jaringan yang tersedia AWS DMS, lihatMenyiapkan jaringan untuk instans replikasi. Untuk informasi lebih lanjut tentang pembuatan instans DB atau instans klaster di VPC, lihat dokumentasi manajemen keamanan dan klaster untuk basis data Amazon Anda di AWS dokumentasi. Untuk informasi lebih lanjut tentang konfigurasi jaringan yang didukung AWS DMS , lihat Menyiapkan jaringan untuk instans replikasi.

Untuk melihat log migrasi database, Anda memerlukan izin CloudWatch Log Amazon yang sesuai untuk peran IAM yang Anda gunakan. Untuk informasi lebih lanjut tentang pencatatan untuk AWS DMS, lihat Memantau tugas replikasi menggunakan Amazon CloudWatch.

Tambahkan akun pengguna IAM yang digunakan untuk migrasi sebagai administrator kunci atau pengguna kunci untuk kunci AWS KMS kustom. Melakukan hal ini memastikan bahwa izin AWS KMS yang diperlukan diberikan ke akun pengguna IAM. Tindakan ini sebagai tambahan untuk izin IAM yang Anda berikan ke akun pengguna IAM untuk menggunakan AWS DMS. Untuk informasi selengkapnya tentang pemberian izin kepada pengguna kunci, lihat Mengizinkan pengguna kunci menggunakan kunci KMS di Panduan PengembangAWS Key Management Service .

Jika Anda tidak ingin menambahkan akun pengguna IAM sebagai administrator kunci atau pengguna kunci untuk kunci KMS kustom Anda, tambahkan izin tambahan berikut ke izin IAM yang harus Anda berikan ke akun pengguna IAM untuk digunakan. AWS DMS

{
            "Effect": "Allow",
            "Action": [
                "kms:ListAliases",
                "kms:DescribeKey",
                "kms:CreateGrant",
                "kms:Encrypt",
                "kms:ReEncrypt*"
            ],
            "Resource": "*"
        },
            

Amazon Redshift – Untuk informasi selengkapnya, lihat Membuat dan menggunakan kunci AWS KMS untuk mengenkripsi data target Amazon Redshift.

Amazon S3 – Untuk informasi selengkapnya, lihat Membuat AWS KMS kunci untuk mengenkripsi objek target Amazon S3.

Instans replikasi harus memiliki akses ke titik akhir sumber dan target. Grup keamanan untuk instans replikasi harus memiliki ACL jaringan atau aturan yang mengizinkan keluar dari instans pada port basis data untuk titik akhir basis data.

Titik akhir basis data harus mencakup ACL jaringan dan aturan grup keamanan yang mengizinkan akses masuk dari instans replikasi. Anda dapat mencapai hal ini menggunakan grup keamanan instans replikasi, alamat IP privat, alamat IP publik, atau alamat publik gateway NAT, tergantung pada konfigurasi Anda.

Jika jaringan Anda menggunakan terowongan VPN, instans Amazon EC2 yang bertindak sebagai gateway NAT harus menggunakan grup keamanan yang memiliki aturan yang mengizinkan instans replikasi untuk mengirim lalu lintas melalui grup tersebut.

Konfigurasi dengan semua komponen migrasi database dalam satu VPC - Grup keamanan yang digunakan oleh titik akhir harus mengizinkan ingress pada port basis data dari instans replikasi. Pastikan bahwa grup keamanan yang digunakan oleh instans replikasi memiliki ingress ke titik akhir, atau Anda dapat membuat aturan dalam grup keamanan yang digunakan oleh titik akhir yang memungkinkan alamat IP privat akses instans replikasi.

Konfigurasi dengan beberapa VPCs – Grup keamanan yang digunakan oleh instans replikasi harus memiliki aturan untuk rentang VPC dan port DB pada basis data.

Konfigurasi untuk jaringan untuk VPC menggunakan AWS Direct Connect atau VPN – terowongan VPN memungkinkan lalu lintas ke terowongan dari VPC ke VPN on premise. Dalam konfigurasi ini, VPC mencakup aturan perutean yang mengirimkan lalu lintas yang ditujukan untuk alamat atau rentang IP tertentu ke host yang dapat menjembatani lalu lintas dari VPC ke VPN on premise. Dalam kasus ini, host NAT mencakup pengaturan Grup Keamanan sendiri yang harus mengizinkan lalu lintas dari alamat IP privat Instans Replikasi atau grup keamanan ke instans NAT.

Konfigurasi untuk jaringan untuk VPC menggunakan internet – Grup keamanan VPC harus mencakup aturan perutean yang mengirim lalu lintas yang tidak ditujukan untuk VPC ke gateway Internet. Dalam konfigurasi ini, koneksi ke titik akhir tampaknya datang dari alamat IP publik pada instans replikasi.

Konfigurasi dengan instans RDS DB tidak dalam instance VPC to DB dalam VPC penggunaan ClassicLink— Ketika sumber atau target instans Amazon RDS DB tidak ada dalam VPC dan tidak berbagi grup keamanan dengan VPC tempat instance replikasi berada, Anda dapat mengatur server proxy dan ClassicLink menggunakannya untuk menghubungkan basis data sumber dan target.

Titik akhir sumber berada di luar VPC yang digunakan oleh instans replikasi dan menggunakan gateway NAT – Anda dapat mengonfigurasi gateway penerjemahan alamat jaringan (NAT) menggunakan alamat IP Elastis tunggal yang terikat ke antarmuka jaringan Elastis tunggal. Antarmuka jaringan elastis ini kemudian menerima pengidentifikasi NAT (nat-#####). Jika VPC mencakup rute default ke gateway NAT tersebut alih-alih gateway internet, maka instans replikasi muncul untuk menghubungi titik akhir basis data menggunakan alamat IP publik gateway internet. Dalam kasus ini, ingress ke titik akhir basis data di luar VPC perlu mengizinkan ingress dari alamat NAT alih-alih alamat IP publik instans replikasi.

VPC endpoint untuk mesin non-RDBMS – AWS DMS tidak mendukung VPC endpoint untuk mesin non-RDBMS.