보안 내부 AWS Database Migration Service

클라우드 보안 - AWS 클라우드에서 AWS 서비스를 실행하는 인프라를 보호하는 역할을 합니다. AWS AWS 또한 안전하게 사용할 수 있는 서비스를 제공합니다. 서드 파티 감사원은 정기적으로 AWS 규정 준수 프로그램의 일환으로 보안 효과를 테스트하고 검증합니다. 적용되는 규정 준수 프로그램에 대해 알아보려면 규정 준수 프로그램별 범위 내AWS 서비스를 참조하십시오. AWS DMS

클라우드에서의 보안 - 귀하의 책임은 사용하는 AWS 서비스에 따라 결정됩니다. 또한 데이터의 민감도, 조직의 요구 사항, 관련 법률 및 규정을 비롯한 기타 요소에 대해서도 책임이 있습니다.

AWS Identity and Access Management (IAM) 정책을 사용하여 AWS DMS 리소스를 관리할 수 있는 사용자를 결정하는 권한을 할당할 수 있습니다. AWS DMS IAM 사용자로 로그인하려면 적절한 권한이 있어야 합니다. 예를 들면, IAM을 사용하여 DB 인스턴스 및 클러스터를 생성, 설명, 수정, 삭제하거나 리소스에 태그를 지정하거나 보안 그룹을 수정할 수 있는 사용자를 결정할 수 있습니다. IAM과 함께 AWS DMS사용하는 방법에 대한 자세한 내용은 을 참조하십시오. 에 대한 ID 및 액세스 관리 AWS Database Migration Service

AWS DMS TLS (전송 계층 보안) 를 통한 엔드포인트 연결에 SSL (보안 소켓 계층) 을 사용합니다. 에서 SSL/TLS를 사용하는 방법에 대한 자세한 내용은 을 참조하십시오. AWS DMSSSL 사용: AWS Database Migration Service

AWS DMS 는 AWS Key Management Service (AWS KMS) 암호화 키를 사용하여 복제 인스턴스에서 사용하는 스토리지와 해당 엔드포인트 연결 정보를 암호화합니다. AWS DMS 또한 AWS KMS 암호화 키를 사용하여 Amazon S3 및 Amazon Redshift 대상 엔드포인트에 저장되어 있는 대상 데이터를 보호합니다. 자세한 정보는 암호화 키 설정 및 권한 지정 AWS KMS을 참조하세요.

AWS DMS 최상의 네트워크 액세스 제어를 위해 항상 Amazon VPC 서비스를 기반으로 하는 가상 사설 클라우드 (VPC) 에 복제 인스턴스를 생성합니다. DB 인스턴스 및 인스턴스 클러스터의 경우 복제 인스턴스와 동일한 VPC를 사용하거나 이 액세스 제어 수준에 맞게 추가 VPC를 사용합니다. 사용하는 각 Amazon VPC는 모든 포트의 모든 트래픽이 VPC 외부로 나가도록(송신) 허용하는 규칙이 있는 보안 그룹과 연결되어야 합니다. 해당 엔드포인트에서 올바른 수신이 활성화되어 있는 한 이 접근 방식을 통해 통신을 복제 인스턴스에서 원본과 대상 데이터베이스 엔드포인트로 전달할 수 있습니다.

사용 가능한 네트워크 구성에 대한 자세한 내용은 AWS DMS을 참조하십시오. 복제 인스턴스용으로 네트워크 설정 VPC에서 DB 인스턴스 또는 인스턴스 클러스터를 생성하는 방법에 대한 자세한 내용은 AWS 설명서에서 Amazon 데이터베이스의 보안 및 클러스터 관리 설명서를 참조하세요. AWS DMS 를 지원하는 네트워크 구성에 대한 자세한 내용은 복제 인스턴스용으로 네트워크 설정 섹션을 참조하세요.

데이터베이스 마이그레이션 로그를 보려면 사용 중인 IAM 역할에 대한 적절한 Amazon CloudWatch Logs 권한이 필요합니다. AWS DMS로깅에 대한 자세한 내용은 Amazon CloudWatch를 사용한 복제 태스크 모니터링 섹션을 참조하세요.

마이그레이션에 사용된 IAM 사용자 계정을 사용자 지정 키의 키 관리자 또는 키 사용자로 추가합니다. AWS KMS 이렇게 하면 필요한 AWS KMS 권한이 IAM 사용자 계정에 부여됩니다. 이 작업은 AWS DMS를 사용하기 위해 사용자가 IAM 사용자 계정에 부여하는 IAM 권한 외의 것입니다. 키 사용자에게 권한을 부여하는 방법에 대한 자세한 내용은 AWS Key Management Service 개발자 안내서의 키 사용자가 KMS 키를 사용하도록 허용을 참조하세요.

사용자 지정 KMS 키에서 IAM 사용자 계정을 키 관리자/키 사용자로서 추가하지 않을 경우, AWS DMS를 사용할 수 있도록 IAM 사용자 계정에 부여해야 하는 IAM 권한에 다음 추가 권한을 부여해야 합니다.

{
            "Effect": "Allow",
            "Action": [
                "kms:ListAliases",
                "kms:DescribeKey",
                "kms:CreateGrant",
                "kms:Encrypt",
                "kms:ReEncrypt*"
            ],
            "Resource": "*"
        },
            

Amazon Redshift – 자세한 내용은 Amazon Redshift 대상 데이터 암호화를 위한 AWS KMS 키 생성 및 사용 섹션을 참조하세요.

Amazon S3 – 자세한 내용은 AWS KMS 키를 생성하여 Amazon S3 대상 객체 암호화 섹션을 참조하세요.

복제 인스턴스에는 리소스 및 대상 엔드포인트에 대한 액세스 권한이 있어야 합니다. 복제 인스턴스용 보안 그룹에는 데이터베이스 포트에서 밖으로 데이터베이스 엔드포인트까지 인스턴스를 내보내도록 허용하는 네트워크 ACL 또는 규칙이 있어야 합니다.

데이터베이스 엔드포인트에는 복제 인스턴스에서 수신되는 액세스를 허용하는 네트워크 ACL과 보안 그룹 규칙이 포함되어야 합니다. 이 작업을 완료하기 위해 사용자의 구성에 따라 복제 인스턴스의 보안 그룹, 프라이빗 IP 주소, 퍼블릭 IP 주소 또는 NAT 게이트웨이의 퍼블릭 주소를 사용합니다.

네트워크에서 VPN 터널을 사용하는 경우, NAT 게이트웨이 역할을 하는 Amazon EC2 인스턴스는 복제 인스턴스가 트래픽을 전송하도록 허용하는 규칙을 가진 보안 그룹을 사용해야 합니다.

하나의 VPC에 모든 데이터베이스 마이그레이션 구성 요소가 있는 구성 - 엔드포인트에서 사용되는 보안 그룹은 복제 인스턴스의 데이터베이스 포트에서 수신을 허용해야 합니다. 복제 인스턴스에서 사용하는 보안 그룹이 엔드포인트에 대한 수신이 있는지 확인하고, 그렇지 않으면 복제 인스턴스 액세스의 프라이빗 IP 주소를 허용하고 엔드포인트가 사용하는 보안 그룹에 규칙을 생성할 수 있습니다.

여러 VPC를 사용한 구성 - 복제 인스턴스에서 사용하는 보안 그룹에는 데이터베이스의 VPC 범위와 DB 포트에 대한 규칙이 있어야 합니다.

AWS Direct Connect 또는 VPN을 사용하여 VPC에 대한 네트워크 구성 - VPC에서 온프레미스 VPN으로 트래픽 전송을 허용하는 VPN 터널입니다. 이 구성에서 VPC에는 특정 IP 주소나 범위로 지정된 트래픽을 호스트로 전송하는 라우팅 규칙이 포함되어 있어 트래픽을 VPC에서 온프레미스 VPN으로 연결할 수 있습니다. 이 경우에 트래픽을 복제 인스턴스의 프라이빗 IP 주소나 보안 그룹에서 NAT 인스턴스로 전송하도록 허용해야 하는 자체 보안 그룹 설정이 NAT 호스트에 적용되어 있습니다.

인터넷을 사용한 네트워크와 VPC 연결 구성 - VPC 보안 그룹에는 트래픽을 VPC로 전달하지 않고 인터넷 게이트웨이로 전송하는 라우팅 규칙이 적용되어 있어야 합니다. 이 구성에서 엔드포인트와의 연결이 복제 인스턴스의 퍼블릭 IP 주소에서 오는 것으로 나타납니다.

를 사용하여 VPC에 있지 않은 RDS DB 인스턴스를 VPC의 DB 인스턴스로 구성 ClassicLink— 원본 또는 대상 Amazon RDS DB 인스턴스가 VPC에 있지 않고 복제 인스턴스가 위치한 VPC와 보안 그룹을 공유하지 않는 경우, 프록시 서버를 설정하고 이를 ClassicLink 사용하여 원본 및 대상 데이터베이스를 연결할 수 있습니다.

소스 엔드포인트가 복제 인스턴스에서 사용하는 VPC 외부에 있고 NAT 게이트웨이를 사용 - 단일 탄력적 네트워크 인터페이스에 연결된 단일 탄력적 IP 주소를 사용하여 Network Address Translation(NAT) 게이트웨이를 구성할 수 있습니다. 그런 다음 이 탄력적 네트워크 인터페이스는 NAT 식별자(nat-#####)를 수신합니다. VPC에 인터넷 게이트웨이가 아닌 해당 NAT 게이트웨이로의 기본 경로가 포함된 경우, 대신 복제 인스턴스가 인터넷 게이트웨이의 퍼블릭 IP 주소를 사용하여 데이터베이스 엔드포인트에 접촉하는 것으로 나타납니다. 이 경우에 VPC 외부에 있는 데이터베이스 엔드포인트로의 수신은 복제 인스턴스의 퍼블릭 IP 주소가 아닌 NAT 주소의 수신을 허용해야 합니다.

비 RDBMS 엔진용 VPC 엔드포인트 - AWS DMS 는 비 RDBMS 엔진용 VPC 엔드포인트를 지원하지 않습니다.