Sicurezza nel tuo VPC su Amazon MWAA

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Questa pagina descrive i componenti Amazon VPC utilizzati per proteggere il tuo ambiente Amazon Managed Workflows for Apache Airflow e le configurazioni necessarie per questi componenti.

Termini

Panoramica sulla sicurezza

I gruppi di sicurezza e gli elenchi di controllo degli accessi (ACLs) forniscono modi per controllare il traffico di rete attraverso le sottoreti e le istanze del tuo Amazon VPC utilizzando regole da te specificate.

Elenchi di controllo degli accessi alla rete () ACLs

Una lista di controllo degli accessi alla rete (ACL) può gestire (mediante regole di autorizzazione o negazione) il traffico in entrata e in uscita a livello di sottorete. Un ACL è stateless, il che significa che le regole in entrata e in uscita devono essere specificate separatamente ed esplicitamente. Viene utilizzato per specificare i tipi di traffico di rete consentiti in entrata o in uscita dalle istanze in una rete VPC.

Ogni Amazon VPC dispone di un ACL predefinito che consente tutto il traffico in entrata e in uscita. Puoi modificare le regole ACL predefinite o creare un ACL personalizzato e collegarlo alle tue sottoreti. A una sottorete può essere collegato un solo ACL alla volta, ma un ACL può essere collegato a più sottoreti.

(Consigliato) Esempio ACLs

L'esempio seguente mostra le regole ACL in entrata e in uscita che possono essere utilizzate per un Amazon VPC con routing pubblico o routing privato.

Gruppi di sicurezza VPC

Un gruppo di sicurezza VPC funge da firewall virtuale che controlla il traffico di rete a livello di istanza. Un gruppo di sicurezza è dotato di stato, il che significa che quando è consentita una connessione in entrata, è consentito rispondere. Viene utilizzato per specificare i tipi di traffico di rete consentiti dalle istanze in una rete VPC.

Ogni Amazon VPC ha un gruppo di sicurezza predefinito. Per impostazione predefinita, non ha regole in entrata. Ha una regola in uscita che consente tutto il traffico in uscita. Puoi modificare le regole predefinite del gruppo di sicurezza o creare un gruppo di sicurezza personalizzato e collegarlo al tuo Amazon VPC. Su Amazon MWAA, devi configurare le regole in entrata e in uscita per indirizzare il traffico verso i tuoi gateway NAT.

(Consigliato) Esempio di gruppo di sicurezza autoreferenziato per tutti gli accessi

L'esempio seguente mostra le regole del gruppo di sicurezza in entrata che consentono tutto il traffico per un Amazon VPC con routing pubblico o routing privato. Il gruppo di sicurezza in questo esempio è una regola autoreferenziale a se stessa.

L'esempio seguente mostra le regole del gruppo di sicurezza in uscita.

(Facoltativo) Esempio di gruppo di sicurezza che limita l'accesso in entrata alla porta 5432

L'esempio seguente mostra le regole del gruppo di sicurezza in entrata che consentono tutto il traffico HTTPS sulla porta 5432 per il database di metadati PostgreSQL di Amazon Aurora (di proprietà di Amazon MWAA) per il tuo ambiente.

(Facoltativo) Esempio di gruppo di sicurezza che limita l'accesso in entrata alla porta 443

L'esempio seguente mostra le regole del gruppo di sicurezza in entrata che consentono tutto il traffico TCP sulla porta 443 per il server Web Apache Airflow.

Policy degli endpoint VPC (solo routing privato)

Una policy VPC endpoint (AWS PrivateLink) controlla l'accesso ai AWS servizi dalla tua sottorete privata. Una policy per gli endpoint VPC è una policy delle risorse IAM da collegare al gateway VPC o all'endpoint di interfaccia. Questa sezione descrive le autorizzazioni necessarie per le policy degli endpoint VPC per ogni endpoint VPC.

Ti consigliamo di utilizzare una policy per gli endpoint dell'interfaccia VPC per ciascuno degli endpoint VPC che hai creato che consenta l'accesso completo a tutti i AWS servizi e di utilizzare il tuo ruolo di esecuzione esclusivamente per le autorizzazioni. AWS

(Consigliato) Esempio di policy degli endpoint VPC per consentire tutti gli accessi

L'esempio seguente mostra una policy per gli endpoint dell'interfaccia VPC per un Amazon VPC con routing privato.

{
    "Statement": [
        {
            "Action": "*",
            "Effect": "Allow",
            "Resource": "*",
            "Principal": "*"
        }
    ]
}

(Consigliato) Esempio di policy degli endpoint del gateway Amazon S3 per consentire l'accesso ai bucket

L'esempio seguente mostra una policy per gli endpoint del gateway VPC che fornisce l'accesso ai bucket Amazon S3 necessari per le operazioni di Amazon ECR per un Amazon VPC con routing privato. Questo è necessario per recuperare la tua immagine Amazon ECR, oltre al bucket in cui sono archiviati i tuoi file DAGs e quelli di supporto.

{
  "Statement": [
    {
      "Sid": "Access-to-specific-bucket-only",
      "Principal": "*",
      "Action": [
        "s3:GetObject"
      ],
      "Effect": "Allow",
      "Resource": ["arn:aws:s3:::prod-region-starport-layer-bucket/*"]
    }
  ]
}