のセキュリティ AWS Database Migration Service

クラウドのセキュリティ — クラウドで AWS AWS サービスを実行するインフラストラクチャを保護する AWS 責任があります。 AWS また、 では、安全に使用できるサービスも提供しています。「AWS 」 コンプライアンスプログラムの一環として、サードパーティーの監査が定期的にセキュリティの有効性をテストおよび検証しています。が適用されるコンプライアンスプログラムの詳細については AWS DMS、AWS 「コンプライアンスプログラムによる対象範囲内のサービス」を参照してください。

クラウド内のセキュリティ — お客様の責任は、使用する AWS サービスによって決まります。また、お客様は、お客様のデータの機密性、組織の要件、および適用可能な法律および規制などの他の要因についても責任を担います。

AWS Identity and Access Management （IAM) ポリシーを使用して、 AWS DMS リソースの管理を許可するユーザーを決定するアクセス許可を割り当てます。 IAM ユーザーとしてサインインする場合は、適切なアクセス許可 AWS DMS が必要です。たとえば、IAM を使用して、DB インスタンスのおよびクラスターの作成、記述、変更、削除と、リソースのタグ付け、セキュリティグループの変更をどのユーザーに許可するかを決定できます。IAM および での使用の詳細については AWS DMS、「」を参照してくださいの Identity and Access Management AWS Database Migration Service。

AWS DMS は、Transport Layer Security (SSL) とのエンドポイント接続に Secure Sockets Layer () を使用しますTLS。で SSL/TLS を使用する方法の詳細については AWS DMS、「」を参照してくださいSSL で を使用する AWS Database Migration Service。

AWS DMS は AWS Key Management Service 、 (AWS KMS) 暗号化キーを使用して、レプリケーションインスタンスで使用されるストレージとそのエンドポイント接続情報を暗号化します。 AWS DMS また、 は AWS KMS 、暗号化キーを使用して、Amazon S3 および Amazon Redshift ターゲットエンドポイントの保管中のターゲットデータを保護します。詳細については、「暗号化キーの設定と AWS KMS アクセス許可の指定」を参照してください。

AWS DMS は、可能な限り最大のネットワークアクセスコントロールを実現するために、Amazon VPCサービスに基づいて常に仮想プライベートクラウド (VPC) にレプリケーションインスタンスを作成します。DB インスタンスとインスタンスクラスターの場合は、レプリケーションインスタンスVPCと同じ を使用するか、このレベルのアクセスコントロールVPCsに合わせて追加 を使用します。VPC 使用する各 Amazon は、すべてのポートのすべてのトラフィックが を離れる (送信する) ことを許可するルールを持つセキュリティグループに関連付けられている必要がありますVPC。このアプローチでは、ソースおよびターゲットデータベースエンドポイントで適切な受信が有効になっている限り、レプリケーション インスタンスからそれらのエンドポイントへの通信が許可されます。

で使用できるネットワーク設定の詳細については AWS DMS、「」を参照してくださいレプリケーション インスタンスのためのネットワークのセットアップ。で DB インスタンスまたはインスタンスクラスターを作成する方法の詳細についてはVPC、 ドキュメントの Amazon データベースのセキュリティとクラスター管理のAWS ドキュメントを参照してください。 AWS DMS でサポートされるネットワーク設定の詳細については、「レプリケーション インスタンスのためのネットワークのセットアップ」をご参照ください。

データベース移行ログを表示するには、使用しているIAMロールに対する適切な Amazon CloudWatch Logs アクセス許可が必要です。 AWS DMSのログ作成の詳細については、「Amazon を使用したレプリケーションタスクのモニタリング CloudWatch」をご参照ください。

移行に使用するIAMユーザーアカウントを AWS KMS 、カスタムキーのキー管理者またはキーユーザーとして追加します。これにより、必要な AWS KMS アクセス許可がIAMユーザーアカウントに付与されます。このアクションは、使用するIAMユーザーアカウントに付与するIAMアクセス許可に追加されます AWS DMS。キーユーザーにアクセス許可を付与する方法の詳細については、「 デベロッパーガイド」の「キーユーザーにKMSキーの使用を許可する」を参照してください。 AWS Key Management Service

IAM ユーザーアカウントをカスタムキーのキー管理者またはキーユーザーとして追加しない場合はKMS、使用するIAMユーザーアカウントに付与する必要があるアクセス許可に次のアクセスIAM許可を追加します AWS DMS。

{
            "Effect": "Allow",
            "Action": [
                "kms:ListAliases",
                "kms:DescribeKey",
                "kms:CreateGrant",
                "kms:Encrypt",
                "kms:ReEncrypt*"
            ],
            "Resource": "*"
        },
            

Amazon Redshift – 詳細については、「AWS KMS キーを作成して Amazon Redshift ターゲットデータを暗号化する」をご参照ください。

Amazon S3 – 詳細については、「Amazon S3 ターゲットオブジェクトを暗号化するための AWS KMS キーの作成」をご参照ください。

レプリケーション インスタンスは、ソースとターゲットのエンドポイントにアクセスできる必要があります。レプリケーションインスタンスのセキュリティグループには、データベースポート上のインスタンスからデータベースエンドポイントへの出力を許可するネットワークACLsまたはルールが必要です。

データベースエンドポイントには、レプリケーションインスタンスからの受信アクセスを許可するネットワークACLsおよびセキュリティグループのルールを含める必要があります。これは、設定に応じて、レプリケーションインスタンスのセキュリティグループ、プライベート IP アドレス、パブリック IP アドレス、またはNATゲートウェイのパブリックアドレスを使用して実現できます。

ネットワークがVPNトンネルを使用する場合、NATゲートウェイとして機能する Amazon EC2インスタンスは、レプリケーションインスタンスがトンネルを介してトラフィックを送信できるようにするルールを持つセキュリティグループを使用する必要があります。

すべてのデータベース移行コンポーネントが 1 つの VPC にある設定 - エンドポイントで使用されるセキュリティグループは、データベースポートでレプリケーション インスタンスからの進入を許可する必要があります。レプリケーション インスタンスによって使用されるセキュリティグループでエンドポイントに侵入可能なことを確認するかまたは、エンドポイントにより使用されるセキュリティグループに、レプリケーション インスタンスのプライベート IP アドレスにアクセスを許可するセキュリティルールを作成できます。

複数の VPC を使用する構成 – レプリケーションインスタンスで使用されるセキュリティグループには、データベース上の VPC範囲と DB ポートのルールが必要です。

AWS Direct Connect または VPN を使用した VPC へのネットワークの設定 – トラフィックが からVPCオンプレミス にトンネルできるようにするVPNトンネルVPN。この設定では、 には、特定の IP アドレスまたは範囲宛てのトラフィックを、 からオンプレミス VPCにトラフィックをブリッジできるホストに送信するルーティングルールVPCが含まれていますVPN。この場合、NATホストには、レプリケーションインスタンスのプライベート IP アドレスまたはセキュリティグループからNATインスタンスへのトラフィックを許可する必要がある独自のセキュリティグループ設定が含まれます。

インターネットを使用した VPC へのネットワークの設定 – VPC セキュリティグループには、 宛てではないトラフィックVPCをインターネットゲートウェイに送信するルーティングルールが含まれている必要があります。この設定では、エンドポイントへの接続がレプリケーション インスタンス上のパブリック IP アドレスから行われているように見えます。

VPC 内にない RDS; DB インスタンスで ClassicLink を使用する VPC 内の DB インスタンスへの設定方法 – ソースまたはターゲットの Amazon RDS DB インスタンスが になくVPC、レプリケーションインスタンスVPCが配置されている とセキュリティグループを共有していない場合は、プロキシサーバーを設定し、 ClassicLink を使用してソースデータベースとターゲットデータベースを接続できます。

ソースエンドポイントは、レプリケーション インスタンスがVPC使用する の外部にあり、NATゲートウェイを使用 – 単一の Elastic ネットワークインターフェイスにバインドされた単一の Elastic IP アドレスを使用して、ネットワークアドレス変換 (NAT) ゲートウェイを設定できます。この Elastic Network Interface は識別子 NAT (nat-#####) を受け取ります。にインターネットNATゲートウェイではなくそのゲートウェイへのデフォルトルートVPCが含まれている場合、レプリケーションインスタンスは代わりにインターネットゲートウェイのパブリック IP アドレスを使用してデータベースエンドポイントに接続しているように見えます。この場合、 外のデータベースエンドポイントへの進入では、レプリケーションインスタンスのパブリック IP NAT アドレスではなく、 アドレスからの進入を許可VPCする必要があります。

VPC 以外のRDBMSエンジンの エンドポイント – AWS DMS は、 RDBMS以外のエンジンの VPC エンドポイントをサポートしていません。