建站
咨詢
售后
建站咨詢
新聞中心
AWS將安全性視為共同的責任，所以管理員必須采取所有必要的步驟來確保RDS內數(shù)據(jù)的安全。
創(chuàng)新互聯(lián)主要從事網(wǎng)站制作、成都網(wǎng)站設計、網(wǎng)頁設計、企業(yè)做網(wǎng)站、公司建網(wǎng)站等業(yè)務。立足成都服務豐臺,10年網(wǎng)站建設經(jīng)驗,價格優(yōu)惠、服務專業(yè),歡迎來電咨詢建站服務:18982081108
AWS提供了數(shù)種功能來保護它的關系數(shù)據(jù)庫服務。但就有如許多其他的Amazon Web服務產品一樣，RDS也歸類于“共同責任”的安全模型之下。在這個實例中，AWS管理著底層的基礎架構，包括RDS、客戶操作系統(tǒng)、AWS基礎架構和AWS基礎服務等等，但IT團隊仍然需要對自己的數(shù)據(jù)庫安全負責。
管理員必須考慮以下四個方面，才能保持AWS RDS內的安全性，隱私性及數(shù)據(jù)完整性。
1.訪問控制
管理員都想要確保只有授權用戶能夠訪問公司數(shù)據(jù)庫以及特定的數(shù)據(jù)塊。AWS的彈性計算云(EC2)安全組允許云管理員將連接限制在某個授權的特定IP地址范圍內。經(jīng)由你的AWS帳戶，你可以定義安全組和額外的特定IP地址，只允許它們訪問數(shù)據(jù)庫。這樣能夠在網(wǎng)絡層就保護好數(shù)據(jù)。但如果有未授權的用戶獲得在你允許IP范圍內的某臺電腦的訪問權限怎么辦?
此外，授權用戶可能在無意間刪除了數(shù)據(jù)。在這些情形中，AWS身份及訪問管理(IAM)可以替用戶及用戶組定義定制的訪問政策。這對你的關系數(shù)據(jù)庫服務操作及資源提供了更細化的控制。IAM的多因素認證支持則更進一步，確保了認證的安全性。
在將網(wǎng)絡限制在一個有限的IP地址段內進行安全保護，以及確保只有授權用戶能夠訪問你的RDS之后，你可以微調用戶能夠訪問的數(shù)據(jù)表和對象組以及他們能夠執(zhí)行的操作。一個RDS帳戶一開始創(chuàng)建時有一組主用戶和密鑰。通常來說，數(shù)據(jù)庫管理員就是主用戶，但你也可以創(chuàng)建更多的主用戶并定義他們在數(shù)據(jù)庫里的訪問權限。你也可以從數(shù)據(jù)庫內部來加強連接的安全性，通過使用SSL連接的方式。
2.防火墻
你需要一個防火墻來將數(shù)據(jù)庫隔離于未授權的連接之外，并且監(jiān)控和審計內部的活動。但是，你并沒有數(shù)據(jù)庫或是它所在的硬件的直接訪問權限。
這就是云服務的本質。Amazon關系數(shù)據(jù)庫服務允許你在一個獨立的虛擬機里安裝第三方防火墻，來監(jiān)控和阻擋對你RDS實例的攻擊。在使用安全組及限制 IP范圍來阻擋不需要的訪問之外，AWS也提供虛擬私有云(VPC)，一種存在于組織層，能夠隔離存放數(shù)據(jù)庫的基礎架構的防火墻。VPC能夠限制云不能夠被互聯(lián)網(wǎng)直接訪問，最終給予企業(yè)更多的控制。
為了能監(jiān)控你的數(shù)據(jù)庫操作和性能，Amazon CloudWatch提供了各式各樣的指標，包括CPU的使用，連接的數(shù)量，硬盤的空間使用，內存的使用等等。這些性能指標可以幫助我們探測類似于分布式拒絕服務之類的惡意攻擊，管理員也可以設立各種不同的警報來通知他們使用的高峰期或者性能的衰竭。
3.加密
不同的訪問控制和防火墻機制對于預防未授權遠程訪問你的數(shù)據(jù)庫是很有幫助的，但你必須謹記你的數(shù)據(jù)是存在真實的硬件上的。因此，你必須保證它的私密性和安全性，即便有未授權的人員獲得了物理上的對那臺機器的訪問并讀取了上面的數(shù)據(jù)。這就是數(shù)據(jù)加密派上用場的時候，不論是在數(shù)據(jù)從數(shù)據(jù)庫傳出還是傳入的時候，或者是當它處于靜態(tài)的時候。
要達成傳輸間的加密，你必須確定所有對AWS RDS的訪問都是經(jīng)由安全的HTTP(HTTPS)。有幾種數(shù)據(jù)庫還支持從數(shù)據(jù)庫內部禁用非安全的連接的功能。要注意的是，加密和解密數(shù)據(jù)可能會產生一些數(shù)據(jù)庫操作的延遲。
要完成對靜態(tài)數(shù)據(jù)的加密，Amazon RDS為Oracle和SQL Server提供了一個透明數(shù)據(jù)加密(TDE)設施。TDE允許管理員使用一個256位的AES主密鑰加密數(shù)據(jù)以及加密密鑰。除了這個方式，你唯一能達到靜態(tài)加密的選擇就只有使用標準加密庫，例如OpenSSL或Bouncy Castle來選擇性的替數(shù)據(jù)庫字段加密。
4. 審計和報告
要真的了解數(shù)據(jù)庫內部發(fā)生的狀況，以及要遵循有關存儲數(shù)據(jù)的不同規(guī)則，管理員必須檢視所有數(shù)據(jù)庫內部的活動，并生成有意義的報告。Amazon CloudTrail就是個能夠提供API調用及相關事件完整歷史的數(shù)據(jù)庫審計服務。
CloudTrail提供多種關于日志文件相關的功能，允許公司遵循大部分的法律法規(guī)，包括使用IAM服務對日志文件進行訪問控制，創(chuàng)建或配置錯誤日志文件的警告，關于系統(tǒng)改動事件的日志，日志文件存儲等等。CloudTrail可以為超過25個不同字段創(chuàng)建日志，能夠分析并產生有意義的報告來告知IT團隊任何關于數(shù)據(jù)庫的行為。
當前標題：確保AWS關系數(shù)據(jù)庫服務安全性關鍵4步
URL標題：http://www.5511xx.com/article/cdoehje.html
