Sicurezza in AWS Database Migration Service

Sicurezza del cloud: AWS è responsabile della protezione dell'infrastruttura che gestisce AWS i servizi nel AWS cloud. AWS ti fornisce anche servizi che puoi utilizzare in modo sicuro. I revisori di terze parti testano e verificano regolarmente l'efficacia della sicurezza come parte dei programmi di conformitàAWS. Per maggiori informazioni sui programmi di conformità applicabili AWS DMS, consulta la sezione AWS Servizi rientranti nell'ambito del programma di conformità.

Sicurezza nel cloud: la tua responsabilità è determinata dal AWS servizio che utilizzi. L'utente è anche responsabile per altri fattori, tra cui la riservatezza dei dati, i requisiti dell'azienda, nonché le leggi e le normative applicabili.

Utilizza le policy AWS Identity and Access Management (IAM) per assegnare le autorizzazioni che determinano chi è autorizzato a gestire le risorse. AWS DMS AWS DMS richiede che tu disponga delle autorizzazioni appropriate se accedi come utente IAM. Ad esempio, puoi utilizzare IAM per determinare chi è autorizzato a creare, descrivere, modificare ed eliminare cluster e istanze database, applicare tag alle risorse oppure modificare i gruppi di sicurezza. Per ulteriori informazioni su IAM e sul suo utilizzo con AWS DMS, consultaGestione delle identità e degli accessi per AWS Database Migration Service.

AWS DMS utilizza Secure Sockets Layer (SSL) per le connessioni degli endpoint con Transport Layer Security (TLS). Per ulteriori informazioni sull'utilizzo di SSL/TLS con, consulta. AWS DMSUtilizzo di SSL con AWS Database Migration Service

AWS DMS utilizza le chiavi di crittografia AWS Key Management Service (AWS KMS) per crittografare lo storage utilizzato dall'istanza di replica e le relative informazioni di connessione all'endpoint. AWS DMS utilizza anche chiavi di AWS KMS crittografia per proteggere i dati di destinazione inattivi per gli endpoint di destinazione Amazon S3 e Amazon Redshift. Per ulteriori informazioni, consulta Impostazione di una chiave di crittografia e specificazione delle autorizzazioni AWS KMS.

AWS DMS crea sempre la tua istanza di replica in un cloud privato virtuale (VPC) basato sul servizio Amazon VPC per il massimo controllo possibile degli accessi alla rete. Per le istanze database e i cluster di istanza, utilizza lo stesso VPC dell'istanza di replica o VPC aggiuntivi per corrispondere a questo livello di controllo dell'accesso. Ciascun Amazon VPC utilizzato deve essere associato a un gruppo di sicurezza che dispone di regole che consentono l'uscita di tutto il traffico su tutte le porte dal VPC. Questo approccio consente la comunicazione dall'istanza di replica agli endpoint dei database di origine e di destinazione, purché su tali endpoint sia abilitato l'ingresso corretto.

Per ulteriori informazioni sulle configurazioni di rete disponibili per, consulta. AWS DMSConfigurazione di una rete per un'istanza di replica Per ulteriori informazioni sulla creazione di un'istanza database o di un cluster di istanza in un VPC, consulta la documentazione relativa alla sicurezza e alla gestione dei cluster per i database Amazon nella Documentazione AWS. Per ulteriori informazioni sulle configurazioni di rete supportate da AWS DMS , consulta Configurazione di una rete per un'istanza di replica.

Per visualizzare i log di migrazione del database, sono necessarie le autorizzazioni Amazon CloudWatch Logs appropriate per il ruolo IAM che stai utilizzando. Per ulteriori informazioni sulla registrazione per AWS DMS, consulta Monitoraggio delle attività di replica usando Amazon CloudWatch.

Aggiungi l'account utente IAM utilizzato per la migrazione come amministratore chiave o utente chiave per la AWS KMS chiave personalizzata. Ciò assicura che le necessarie autorizzazioni AWS KMS vengano concesse all'account utente IAM. Questa operazione si aggiunge alle autorizzazioni IAM che devi concedere all'account utente IAM per l'utilizzo di AWS DMS. Per ulteriori informazioni sull'assegnazione delle autorizzazioni all'utente di una chiave, consulta Consente agli utenti della chiave di utilizzare la chiave KMS nella Guida per gli sviluppatori di AWS Key Management Service .

Se non desideri aggiungere l'account utente IAM come amministratore della chiave o utente della chiave per la chiave KMS personalizzata, aggiungi le seguenti autorizzazioni aggiuntive alle autorizzazioni IAM che devi concedere all'account utente IAM per l'utilizzo di AWS DMS.

{
            "Effect": "Allow",
            "Action": [
                "kms:ListAliases",
                "kms:DescribeKey",
                "kms:CreateGrant",
                "kms:Encrypt",
                "kms:ReEncrypt*"
            ],
            "Resource": "*"
        },
            

Amazon Redshift: per ulteriori informazioni, consulta Creazione e utilizzo delle chiavi AWS KMS per la crittografia dei dati di destinazione Amazon Redshift.

Amazon S3: per ulteriori informazioni, consulta Creazione di chiavi AWS KMS per la crittografia di oggetti di destinazione Amazon S3.

L'istanza di replica deve avere accesso agli endpoint di origine e di destinazione. Il gruppo di sicurezza per l'istanza di replica deve avere liste di controllo degli accessi di rete o regole che consentono l'uscita dall'istanza sulla porta del database agli endpoint del database.

Gli endpoint del database devono includere le liste di controllo degli accessi di rete e le regole dei gruppi di sicurezza che consentono l'accesso in entrata dall'istanza di replica. Puoi ottenere tutto questo utilizzando il gruppo di sicurezza dell'istanza di replica, l'indirizzo IP privato, l'indirizzo IP pubblico o l'indirizzo pubblico del gateway NAT, a seconda della configurazione.

Se la rete utilizza un tunnel VPN, l'istanza Amazon EC2 che agisce come gateway NAT deve utilizzare un gruppo di sicurezza con regole che consentono all'istanza di replica di inviare il traffico attraverso tale tunnel.

Configurazione con tutti i componenti di migrazione del database in un VPC: il gruppo di sicurezza utilizzato dagli endpoint deve consentire l'ingresso sulla porta del database dall'istanza di replica. Assicurati che il gruppo di sicurezza utilizzato dall'istanza di replica abbia ingresso agli endpoint; in caso contrario, puoi creare una regola nel gruppo di sicurezza utilizzato dagli endpoint, che autorizzi l'indirizzo IP privato dell'accesso all'istanza di replica.

Configurazione con più VPC: il gruppo di sicurezza utilizzato dall'istanza di replica deve avere una regola per l'intervallo VPC e la porta sul database.

Configurazione per una rete verso un VPC utilizzando AWS Direct Connect o una VPN: un tunnel VPN che consente il tunneling del traffico dal VPC a una VPN on-premise. In questa configurazione, il VPC include una regola di routing che invia il traffico destinato a un determinato indirizzo IP o intervallo a un host che può eseguire il bridging del traffico dal VPC al VPN locale. In questo caso, l'host NAT include le proprie impostazioni del gruppo di sicurezza che devono consentire il traffico dall'indirizzo IP privato o dal gruppo di sicurezza dell'istanza di replica all'istanza NAT.

Configurazione di una rete per un VPC mediante Internet: il gruppo di sicurezza VPC deve includere regole di instradamento che inviano al gateway Internet il traffico non destinato al VPC. In questa configurazione, la connessione all'endpoint viene eseguita dall'indirizzo IP pubblico sull'istanza di replica.

Configurazione con un'istanza DB RDS non in un VPC su un'istanza DB in un VPC utilizzando ClassicLink— Quando l'istanza database Amazon RDS di origine o di destinazione non si trova in un VPC e non condivide un gruppo di sicurezza con il VPC in cui si trova l'istanza di replica, è possibile configurare un server proxy e ClassicLink utilizzarlo per connettere i database di origine e di destinazione.

L'endpoint di origine si trova all'esterno del VPC utilizzato dall'istanza di replica e usa un gateway NAT: puoi configurare un gateway Network Address Translation (NAT) utilizzando un singolo indirizzo IP elastico associato a un'unica interfaccia di rete elastica. Questa interfaccia di rete elastica, riceve quindi un identificatore NAT (nat-#####). Se il VPC include una route predefinita a quel gateway NAT anziché al gateway Internet, l'istanza di replica viene invece visualizzata per contattare l'endpoint del database utilizzando l'indirizzo IP pubblico del gateway Internet. In questo caso, l'ingresso all'endpoint del database all'esterno del VPC deve consentire l'ingresso dall'indirizzo NAT anziché dall'indirizzo IP pubblico dell'istanza di replica.

Endpoint VPC per motori non RDBMS: AWS DMS non supporta endpoint VPC per motori non RDBMS.