View a markdown version of this page

Sicurezza dell'infrastruttura in AWS Database Migration Service - AWS Servizio di migrazione del database

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Sicurezza dell'infrastruttura in AWS Database Migration Service

Essendo un servizio gestito, AWS Database Migration Service è protetto dalla sicurezza di rete AWS globale. Per informazioni sui servizi AWS di sicurezza e su come AWS protegge l'infrastruttura, vedi AWS Cloud Security. Per progettare il tuo AWS ambiente utilizzando le migliori pratiche per la sicurezza dell'infrastruttura, vedi Infrastructure Protection in Security Pillar AWS Well‐Architected Framework.

Utilizzi le chiamate API AWS pubblicate per accedere AWS DMS tramite la rete. I client devono supportare quanto segue:

  • Transport Layer Security (TLS). È richiesto TLS 1.2 ed è consigliato TLS 1.3.

  • Suite di crittografia con Perfect Forward Secrecy (PFS) come DHE (Ephemeral) o ECDHE (Elliptic Curve Ephemeral Diffie-Hellman). Diffie-Hellman La maggior parte dei sistemi moderni, come Java 7 e versioni successive, supporta tali modalità.

Puoi chiamare queste operazioni API da qualsiasi posizione di rete. AWS DMS supporta anche politiche di accesso basate sulle risorse, che possono specificare restrizioni su azioni e risorse, ad esempio in base all'indirizzo IP di origine. Inoltre, puoi utilizzare AWS DMS le policy per controllare l'accesso da specifici endpoint Amazon VPC o specifici cloud privati virtuali (VPC). In effetti, questo isola l'accesso alla rete a una determinata AWS DMS risorsa solo dallo specifico VPC all'interno della rete. AWS Per ulteriori informazioni sull'utilizzo delle politiche di accesso basate sulle risorse con AWS DMS, inclusi esempi, vedere. Fine-grained controllo degli accessi mediante nomi e tag delle risorse

Per limitare le comunicazioni AWS DMS all'interno di un singolo VPC, puoi creare un endpoint di interfaccia VPC che ti consenta di connetterti tramite. AWS DMS AWS PrivateLink AWS PrivateLink aiuta a garantire che qualsiasi chiamata AWS DMS e i relativi risultati rimangano limitati allo specifico VPC per il quale è stato creato l'endpoint di interfaccia. È quindi possibile specificare l'URL per questo endpoint di interfaccia come opzione con ogni AWS DMS comando eseguito utilizzando o un SDK. AWS CLI Ciò aiuta a garantire che tutte le comunicazioni AWS DMS rimangano limitate al VPC e siano altrimenti invisibili alla rete Internet pubblica.

Per creare un endpoint di interfaccia per accedere a DMS in un singolo VPC

  1. Accedi Console di gestione AWS e apri la console Amazon VPC all'indirizzo. https://console.aws.amazon.com/vpc/

  2. Nel riquadro di navigazione scegli Endpoint. Si apre la pagina Crea endpoint, in cui è possibile creare l'endpoint di interfaccia da un VPC a. AWS DMS

  3. Scegli AWS i servizi, quindi cerca e scegli un valore per Service Name, in questo caso AWS DMS nel seguente modulo.

    com.amazonaws.region.dms

    Qui, ad esempiocom.amazonaws.us-west-2.dms, region specifica la AWS regione in cui AWS DMS viene eseguito.

  4. Per VPC scegli il VPC da cui creare l'endpoint di interfaccia, ad esempio vpc-12abcd34.

  5. Scegli un valore per Zona di disponibilità e ID sottorete. Questi valori devono indicare una posizione in cui l'endpoint AWS DMS scelto può essere eseguito, ad esempio us-west-2a (usw2-az1) e subnet-ab123cd4.

  6. Scegli Abilita nome DNS per creare l'endpoint con un nome DNS. Questo nome DNS è composto dall'ID dell'endpoint (vpce-12abcd34efg567hij) seguito da un trattino e da una stringa casuale (ab12dc34). Questi elementi sono separati dal nome del servizio tramite un punto in ordine inverso separato da punti, con vpce aggiunto (dms.us-west-2.vpce.amazonaws.com).

    Un esempio è vpce-12abcd34efg567hij-ab12dc34.dms.us-west-2.vpce.amazonaws.com.

  7. Per Gruppo di sicurezza scegli un gruppo da usare per l'endpoint.

    Quando configuri il gruppo di sicurezza, assicurati di consentire le chiamate HTTPS in uscita. Per ulteriori informazioni, consulta Creazione dei gruppi di sicurezza nella Guida per l'utente di Amazon VPC.

  8. Scegli Accesso completo o un valore personalizzato per Policy. Ad esempio, puoi scegliere una policy personalizzata simile alla seguente che limiti l'accesso dell'endpoint a determinate azioni e risorse.

    {
  "Statement": [
    {
      "Action": "dms:*",
      "Effect": "Allow",
      "Resource": "*",
      "Principal": "*"
    },
    {
      "Action": [
        "dms:ModifyReplicationInstance",
        "dms:DeleteReplicationInstance"
      ],
      "Effect": "Deny",
      "Resource": "arn:aws:dms:us-west-2:111122223333:rep:EXAMPLE1AAAA2BBBB3CCCC4",
      "Principal": "*"
    }
  ]
}

    Qui, la policy di esempio consente qualsiasi chiamata AWS DMS API, ad eccezione dell'eliminazione o della modifica di una specifica istanza di replica.

A questo punto puoi specificare l'opzione di un URL formato utilizzando il nome DNS creato nella fase 6. Lo si specifica per ogni comando AWS DMS CLI o operazione API per accedere all'istanza del servizio utilizzando l'endpoint di interfaccia creato. Ad esempio, potrebbe essere necessario eseguire il comando DescribeEndpoints della CLI DMS in questo VPC come mostrato di seguito.

$ aws dms describe-endpoints --endpoint-url https://vpce-12abcd34efg567hij-ab12dc34.dms.us-west-2.vpce.amazonaws.com

Se abiliti l'opzione DNS privato, non occorre specificare l'URL dell'endpoint nella richiesta.

Per ulteriori informazioni sulla creazione e l'utilizzo degli endpoint di interfaccia VPC (inclusa l'attivazione dell'opzione DNS privato), consulta Interface VPC endpoints (AWS PrivateLink) nella Amazon VPC User Guide.