Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Keamanan di Anda VPC di Amazon MWAA

Halaman ini menjelaskan VPC komponen Amazon yang digunakan untuk mengamankan Alur Kerja Terkelola Amazon untuk lingkungan Apache Airflow dan konfigurasi yang diperlukan untuk komponen ini.

Ketentuan

Ikhtisar keamanan

Grup keamanan dan daftar kontrol akses (ACLs) menyediakan cara untuk mengontrol lalu lintas jaringan di seluruh subnet dan instance di Amazon VPC menggunakan aturan yang Anda tentukan.

Daftar kontrol akses jaringan (ACLs)

Daftar kontrol akses jaringan (ACL) dapat mengelola (dengan mengizinkan atau menolak aturan) lalu lintas masuk dan keluar di tingkat subnet. An ACL adalah stateless, yang berarti bahwa aturan masuk dan keluar harus ditentukan secara terpisah dan eksplisit. Ini digunakan untuk menentukan jenis lalu lintas jaringan yang diizinkan masuk atau keluar dari instance dalam VPC jaringan.

Setiap Amazon VPC memiliki default ACL yang memungkinkan semua lalu lintas masuk dan keluar. Anda dapat mengedit ACL aturan default, atau membuat kustom ACL dan melampirkannya ke subnet Anda. Subnet hanya dapat memiliki satu yang ACL melekat padanya kapan saja, tetapi satu ACL dapat dilampirkan ke beberapa subnet.

(Direkomendasikan) Contoh ACLs

Contoh berikut menunjukkan ACL aturan masuk dan keluar yang dapat digunakan untuk Amazon VPC dengan perutean publik atau perutean pribadi.

VPCkelompok keamanan

Grup VPC keamanan bertindak sebagai firewall virtual yang mengontrol lalu lintas jaringan pada tingkat instans. Grup keamanan bersifat stateful, yang berarti bahwa ketika koneksi masuk diizinkan, ia diizinkan untuk membalas. Ini digunakan untuk menentukan jenis lalu lintas jaringan yang diizinkan masuk dari instance dalam VPC jaringan.

Setiap Amazon VPC memiliki grup keamanan default. Secara default, ia tidak memiliki aturan masuk. Ini memiliki aturan keluar yang memungkinkan semua lalu lintas keluar. Anda dapat mengedit aturan grup keamanan default, atau membuat grup keamanan khusus dan melampirkannya ke Amazon AndaVPC. Di AmazonMWAA, Anda perlu mengonfigurasi aturan masuk dan keluar untuk mengarahkan lalu lintas di gateway AndaNAT.

(Disarankan) Contoh semua grup keamanan referensi mandiri akses

Contoh berikut menunjukkan aturan grup keamanan masuk yang memungkinkan semua lalu lintas untuk Amazon VPC dengan perutean publik atau perutean pribadi. Kelompok keamanan dalam contoh ini adalah aturan referensi diri untuk dirinya sendiri.

Contoh berikut menunjukkan aturan grup keamanan keluar.

(Opsional) Contoh grup keamanan yang membatasi akses masuk ke port 5432

Contoh berikut menunjukkan aturan grup keamanan masuk yang mengizinkan semua HTTPS lalu lintas di port 5432 untuk database metadata Amazon Aurora SQL Postgre (dimiliki oleh Amazon) untuk lingkungan Anda. MWAA

(Opsional) Contoh grup keamanan yang membatasi akses masuk ke port 443

Contoh berikut menunjukkan aturan grup keamanan masuk yang memungkinkan semua TCP lalu lintas pada port 443 untuk server Apache Airflow Web.

VPCkebijakan titik akhir (hanya perutean pribadi)

Kebijakan VPCendpoint (AWS PrivateLink) mengontrol akses ke AWS layanan dari subnet pribadi Anda. Kebijakan VPC endpoint adalah kebijakan IAM sumber daya yang Anda lampirkan ke VPC gateway atau titik akhir antarmuka Anda. Bagian ini menjelaskan izin yang diperlukan untuk kebijakan VPC titik akhir untuk setiap VPC titik akhir.

Sebaiknya gunakan kebijakan titik akhir VPC antarmuka untuk setiap VPC titik akhir yang Anda buat yang memungkinkan akses penuh ke semua AWS layanan, dan menggunakan peran eksekusi Anda secara eksklusif untuk AWS izin.

(Disarankan) Contoh kebijakan VPC titik akhir untuk mengizinkan semua akses

Contoh berikut menunjukkan kebijakan titik akhir VPC antarmuka untuk Amazon VPC dengan perutean pribadi.

{
    "Statement": [
        {
            "Action": "*",
            "Effect": "Allow",
            "Resource": "*",
            "Principal": "*"
        }
    ]
}

(Disarankan) Contoh kebijakan titik akhir gateway Amazon S3 untuk mengizinkan akses bucket

Contoh berikut menunjukkan kebijakan titik akhir VPC gateway yang menyediakan akses ke bucket Amazon S3 yang diperlukan untuk operasi Amazon untuk ECR Amazon dengan perutean pribadiVPC. Ini diperlukan agar ECR gambar Amazon Anda dapat diambil, selain ember tempat file Anda DAGs dan file pendukung disimpan.

{
  "Statement": [
    {
      "Sid": "Access-to-specific-bucket-only",
      "Principal": "*",
      "Action": [
        "s3:GetObject"
      ],
      "Effect": "Allow",
      "Resource": ["arn:aws:s3:::prod-region-starport-layer-bucket/*"]
    }
  ]
}