Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
# Keamanan di VPC Anda di Amazon MWAA
Halaman ini menjelaskan komponen Amazon VPC yang digunakan untuk mengamankan Alur Kerja Terkelola Amazon untuk lingkungan Apache Airflow dan konfigurasi yang diperlukan untuk komponen ini.
**Contents**
+ [Ketentuan](#networking-security-defs)
+ [Ikhtisar keamanan](#vpc-security-about)
+ [Daftar kontrol akses jaringan (ACLs)](#vpc-security-acl)
+ [(Direkomendasikan) Contoh ACLs](#vpc-security-acl-example)
+ [Grup keamanan VPC](#vpc-security-sg)
+ [(Disarankan) Contoh semua grup keamanan referensi mandiri akses](#vpc-security-sg-example)
+ [(Opsional) Contoh grup keamanan yang membatasi akses masuk ke port 5432](#vpc-security-sg-example-port5432)
+ [(Opsional) Contoh grup keamanan yang membatasi akses masuk ke port 443](#vpc-security-sg-example-port443)
+ [Kebijakan titik akhir VPC (hanya perutean pribadi)](#vpc-external-vpce-policies)
+ [(Disarankan) Contoh kebijakan titik akhir VPC untuk mengizinkan semua akses](#vpc-external-vpce-policies-all)
+ [(Disarankan) Contoh kebijakan titik akhir gateway Amazon S3 untuk mengizinkan akses bucket](#vpc-external-vpce-policies-s3)
## Ketentuan
**Perutean publik**
Jaringan VPC Amazon yang memiliki akses ke internet.
**Perutean pribadi**
Jaringan VPC Amazon tanpa akses ke internet.
## Ikhtisar keamanan
Grup keamanan dan daftar kontrol akses (ACLs) menyediakan cara untuk mengontrol lalu lintas jaringan di seluruh subnet dan instance di VPC Amazon Anda menggunakan aturan yang Anda tentukan.
+ Lalu lintas jaringan ke dan dari subnet dapat dikontrol oleh Access Control Lists (ACLs). Anda hanya perlu satu ACL, dan ACL yang sama dapat digunakan di beberapa lingkungan.
+ Lalu lintas jaringan ke dan dari sebuah instans dapat dikontrol oleh grup keamanan Amazon VPC. Anda dapat menggunakan antara satu hingga lima grup keamanan per lingkungan.
+ Lalu lintas jaringan ke dan dari sebuah instance juga dapat dikontrol oleh kebijakan titik akhir VPC. [Jika akses internet dalam VPC Amazon Anda tidak diizinkan oleh organisasi Anda dan Anda menggunakan jaringan VPC Amazon dengan *perutean pribadi*, kebijakan titik akhir VPC diperlukan untuk titik akhir VPC dan titik akhir VPC Apache Airflow AWS .](vpc-vpe-create-access.md#vpc-vpe-create-view-endpoints-examples)
## Daftar kontrol akses jaringan (ACLs)
[Daftar kontrol akses jaringan (ACL)](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-network-acls.html) *dapat mengelola (dengan mengizinkan atau menolak aturan) lalu lintas masuk dan keluar di tingkat subnet.* ACL adalah stateless, yang berarti bahwa aturan masuk dan keluar harus ditentukan secara terpisah dan eksplisit. Ini digunakan untuk menentukan jenis lalu lintas jaringan yang diizinkan masuk atau keluar dari instance dalam jaringan VPC.
Setiap VPC Amazon memiliki ACL default yang memungkinkan semua lalu lintas masuk dan keluar. Anda dapat mengedit aturan ACL default, atau membuat ACL kustom dan melampirkannya ke subnet Anda. Subnet hanya dapat memiliki satu ACL yang melekat padanya kapan saja, tetapi satu ACL dapat dilampirkan ke beberapa subnet.
### (Direkomendasikan) Contoh ACLs
*Contoh berikut menampilkan aturan ACL *masuk* dan *keluar* yang dapat digunakan untuk VPC Amazon dengan perutean *publik* atau perutean pribadi.*
| Nomor aturan | Tipe | Protokol | Rentang port | Sumber | Izinkan/Tolak |
| --- | --- | --- | --- | --- | --- |
| 100 | Semua IPv4 lalu lintas | Semua | Semua | 0.0.0.0/0 | Izinkan |
| \$1 | Semua IPv4 lalu lintas | Semua | Semua | 0.0.0.0/0 | Menyangkal |
## Grup keamanan VPC
[Grup keamanan VPC](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_SecurityGroups.html) bertindak sebagai firewall virtual yang mengontrol lalu lintas jaringan pada *tingkat instans*. Grup keamanan bersifat stateful, yang berarti bahwa ketika koneksi masuk diizinkan, ia diizinkan untuk membalas. Ini digunakan untuk menentukan jenis lalu lintas jaringan yang diizinkan masuk dari instance dalam jaringan VPC.
Setiap Amazon VPC memiliki grup keamanan default. Secara default, ia tidak memiliki aturan masuk. Ini memiliki aturan keluar yang memungkinkan semua lalu lintas keluar. Anda dapat mengedit aturan grup keamanan default, atau membuat grup keamanan khusus dan melampirkannya ke VPC Amazon Anda. Di Amazon MWAA, Anda perlu mengonfigurasi aturan masuk dan keluar untuk mengarahkan lalu lintas di gateway NAT Anda.
### (Disarankan) Contoh semua grup keamanan referensi mandiri akses
*Contoh berikut menampilkan aturan grup keamanan *masuk* yang memungkinkan semua lalu lintas untuk VPC Amazon *dengan perutean publik* atau perutean pribadi.* Kelompok keamanan dalam contoh ini adalah aturan referensi diri untuk dirinya sendiri.
| Tipe | Protokol | Jenis Sumber | Sumber |
| --- | --- | --- | --- |
| Semua Lalu lintas | Semua | Semua | sg-0909e8e81919/-kelompok my-mwaa-vpc-security |
Contoh berikut menampilkan aturan grup keamanan *keluar*.
| Tipe | Protokol | Jenis Sumber | Sumber |
| --- | --- | --- | --- |
| Semua Lalu lintas | Semua | Semua | 0.0.0.0/0 |
### (Opsional) Contoh grup keamanan yang membatasi akses masuk ke port 5432
Contoh berikut menampilkan aturan grup keamanan *masuk* yang mengizinkan semua lalu lintas HTTPS di port 5432 untuk database metadata Amazon Aurora PostgreSQL (dimiliki oleh Amazon MWAA) untuk lingkungan Anda.
**catatan**
Jika Anda memilih untuk membatasi lalu lintas menggunakan aturan ini, Anda harus menambahkan aturan lain untuk mengizinkan lalu lintas TCP pada port 443.
| Tipe | Protokol | Rentang port | Jenis sumber | Sumber |
| --- | --- | --- | --- | --- |
| TCP Kustom | TCP | 5432 | Khusus | sg-0909e8e81919/-kelompok my-mwaa-vpc-security |
### (Opsional) Contoh grup keamanan yang membatasi akses masuk ke port 443
Contoh berikut menampilkan aturan grup keamanan *masuk* yang mengizinkan semua lalu lintas TCP pada port 443 untuk server web Apache Airflow.
| Tipe | Protokol | Rentang port | Jenis sumber | Sumber |
| --- | --- | --- | --- | --- |
| HTTPS | TCP | 443 | Khusus | sg-0909e8e81919/-kelompok my-mwaa-vpc-security |
## Kebijakan titik akhir VPC (hanya perutean pribadi)
Kebijakan [titik akhir (AWS PrivateLink) VPC](https://docs.aws.amazon.com/mwaa/latest/userguide/vpc-create.html#vpc-create-required) mengontrol akses ke AWS layanan dari subnet pribadi Anda. Kebijakan titik akhir VPC adalah kebijakan sumber daya IAM yang Anda lampirkan ke gateway VPC atau titik akhir antarmuka. Bagian ini menjelaskan izin yang diperlukan untuk kebijakan titik akhir VPC untuk setiap titik akhir VPC.
Sebaiknya gunakan kebijakan titik akhir antarmuka VPC untuk setiap titik akhir VPC yang Anda buat yang memungkinkan akses penuh ke semua AWS layanan, dan menggunakan peran eksekusi Anda secara eksklusif untuk izin. AWS
### (Disarankan) Contoh kebijakan titik akhir VPC untuk mengizinkan semua akses
*Contoh berikut menyajikan kebijakan titik akhir antarmuka VPC untuk VPC Amazon dengan perutean pribadi.*
```
{
"Statement": [
{
"Action": "*",
"Effect": "Allow",
"Resource": "*",
"Principal": "*"
}
]
}
```
### (Disarankan) Contoh kebijakan titik akhir gateway Amazon S3 untuk mengizinkan akses bucket
*Contoh berikut menyajikan kebijakan titik akhir gateway VPC yang menyediakan akses ke bucket Amazon S3 yang diperlukan untuk operasi ECR Amazon untuk VPC Amazon dengan perutean pribadi.* Ini diperlukan agar gambar Amazon ECR Anda dapat diambil, selain bucket tempat file Anda DAGs dan file pendukung disimpan.
```
{
"Statement": [
{
"Sid": "Access-to-specific-bucket-only",
"Principal": "*",
"Action": [
"s3:GetObject"
],
"Effect": "Allow",
"Resource": ["arn:aws:s3:::prod-us-east-1-starport-layer-bucket/*"]
}
]
}
```