Sicherheit von globalen DynamoDB-Tabellen

Replikate von globalen Tabellen sind DynamoDB-Tabellen. Es werden also dieselben Methoden für die Zugriffssteuerung für Replikate und für Tabellen mit einer einzelnen Region verwendet, einschließlich der Identitätsrichtlinien und ressourcenbasierten Richtlinien für AWS Identity and Access Management (IAM).

So verwenden globale Tabellen AWS IAM

Mit dem Replikationsservice verknüpfte Rolle

Beim ersten Erstellen einer globalen Tabelle generiert Amazon DynamoDB automatisch eine mit dem AWS Identity and Access Management (IAM)-Service verknüpfte Rolle für Sie. Diese Rolle trägt den Namen AWSServiceRoleForDynamoDBReplication und ermöglicht DynamoDB, die regionsübergreifende Replikation für globale Tabellen in Ihrem Namen zu verwalten.

Achten Sie bei der Anwendung ressourcenbasierter Richtlinien auf Replikate darauf, dass Sie dem SLR-Prinzipal keine der in der AWSServiceRoleForDynamoDBReplication-Richtlinie definierten Berechtigungen verweigern, weil dadurch die Replikation unterbrochen wird. Wenn Sie die erforderlichen SLR-Berechtigungen verweigern, wird die Replikation zu und von den betroffenen Replikaten beendet, und der Status der Replikattabelle ändert sich in REPLICATION_NOT_AUTHORIZED.

Mit dem Auto Scaling Service verknüpfte Rolle

Wenn Sie eine globale Tabelle für den Modus „Bereitgestellte Kapazität“ konfigurieren, müssen Sie für die Tabelle auch Auto Scaling konfigurieren. DynamoDB-Auto-Scaling verwendet den Auto-Scaling-Service der AWS-Anwendung, um die bereitgestellte Durchsatzkapazität in den globalen Tabellenreplikaten dynamisch anzupassen. Der Auto-Scaling-Service der Anwendung erstellt eine serviceverknüpfte Rolle (SLR) mit dem Namen AWSServiceRoleForApplicationAutoScaling_DynamoDBTable, um die bereitgestellte Tabellenkapazität zu verwalten und CloudWatch-Alarme zu erstellen. Achten Sie bei der Anwendung ressourcenbasierter Richtlinien auf Replikate darauf, dass Sie dem SLR-Prinzipal des Auto-Scaling-Service der Anwendung keine der in der AWSServiceRoleForApplicationAutoScaling_DynamoDBTable-Richtlinie definierten Berechtigungen verweigern, weil dadurch die Auto-Scaling-Funktion unterbrochen wird.

Weitere Informationen zu serviceverknüpften Rollen finden Sie unter Verwenden serviceverknüpfter Rollen im IAM-Benutzerhandbuch.

Erforderliche Berechtigungen für globale Tabellen

Für die Erstellung eines Replikats benötigen Sie die folgenden Berechtigungen für die Tabelle oder das Replikat, zu dem Sie neue Replikate hinzufügen:

Für die Erstellung eines Replikats benötigen Sie die folgenden Berechtigungen in jeder Region, in der ein neues Replikat erstellt wird:

Für die Erstellung eines Witness benötigen Sie die folgende Berechtigung in jeder Region, in der ein neuer Witness erstellt wird:

Zum Löschen von Replikattabellen benötigen Sie die folgenden Berechtigungen für das Replikat:

Zum Löschen eines Witness benötigen Sie die folgenden Berechtigungen für den Witness:

Für die Aktualisierung der Richtlinie für die automatische Skalierung von Replikaten mit der UpdateTableReplicaAutoScaling-API benötigen Sie die folgenden Berechtigungen in allen Regionen, in denen Replikate existieren:

Für die Aktualisierung der Time-to-Live-Einstellungen in der UpdateTimeToLive-API benötigen Sie für alle Replikate die folgenden Berechtigungen:

IAM-Beispielrichtlinien

Beispiel: Verwalten einer globalen Tabelle

Die folgende IAM-Richtlinie gewährt Berechtigungen zum Erstellen und Löschen von Replikaten globaler Tabellen und Witnesses für die Tabelle „Benutzer“ in drei Regionen:

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "AllowCreatingUsersGlobalTable",
      "Effect": "Allow",
      "Action": [
        "dynamodb:CreateTable",
        "dynamodb:CreateTableReplica",
        "dynamodb:UpdateTable",
        "dynamodb:Query",
        "dynamodb:Scan",
        "dynamodb:UpdateItem",
        "dynamodb:PutItem",
        "dynamodb:GetItem",
        "dynamodb:DeleteItem",
        "dynamodb:BatchWriteItem"
      ],
      "Resource": [
        "arn:aws:dynamodb:us-east-1:123456789012:table/users",
        "arn:aws:dynamodb:us-east-2:123456789012:table/users",
        "arn:aws:dynamodb:us-west-2:123456789012:table/users"
      ]
    },
    {
      "Sid": "AllowCreatingSLR",
      "Effect": "Allow",
      "Action": [
        "iam:CreateServiceLinkedRole"
      ],
      "Resource": [
        "arn:aws:iam::123456789012:role/aws-service-role/replication.dynamodb.amazonaws.com/AWSServiceRoleForDynamoDBReplication"
      ]
    }
  ]
}

Beispiel: Ausschließen der erforderlichen SLR-Berechtigungen aus den Richtlinien zum Ablehnen von Platzhaltern

Eine IAM-Richtlinie mit der folgenden Bedingung hat keine Auswirkungen auf die erforderlichen Berechtigungen für die DynamoDB-Replikations-SLR und AWS-Auto-Scaling-SLR. Diese Bedingung kann zu ansonsten weitgehend restriktiven Richtlinien hinzugefügt werden, um zu verhindern, dass die Replikation oder das Auto Scaling unbeabsichtigt unterbrochen werden:

"Condition": {
    "StringNotEquals": {
        "aws:PrincipalArn": [
            "arn:aws:iam::YOUR_ACCOUNT_ID:role/aws-service-role/replication.dynamodb.amazonaws.com/AWSServiceRoleForDynamoDBReplication",
            "arn:aws:iam::YOUR_ACCOUNT_ID:role/aws-service-role/dynamodb.application-autoscaling.amazonaws.com/AWSServiceRoleForApplicationAutoScaling_DynamoDBTable"
        ]
    }
}

So verwenden globale Tabellen AWS KMS

Wie alle DynamoDB-Tabellen verschlüsseln Replikate von globalen Tabellen Daten im Ruhezustand immer mit Verschlüsselungsschlüsseln, die im AWS Key Management Service (AWS KMS) gespeichert sind.

Alle Replikate in einer globalen Tabelle müssen mit demselben Typ von KMS-Schlüssel (AWS-eigener Schlüssel, von AWS verwalteter Schlüssel oder kundenseitig verwalteter Schlüssel) konfiguriert werden.

Wenn Sie bei einer globalen MREC-Tabelle den Zugriff von DynamoDB auf einen kundenseitig verwalteten Schlüssel, der zur Verschlüsselung eines Replikats verwendet wird, deaktivieren oder entziehen, wird die Replikation zum und vom Replikat beendet und der Replikatstatus ändert sich in INACCESSIBLE_ENCRYPTION_CREDENTIALS. Wenn ein Replikat in einer globalen MREC-Tabelle länger als 20 Stunden im Status INACCESSIBLE_ENCRYPTION_CREDENTIALS verbleibt, wird das Replikat unwiderruflich in eine DynamoDB-Tabelle mit einer einzelnen Region konvertiert.

Wenn Sie bei einer globalen MRSC-Tabelle den Zugriff von DynamoDB auf einen kundenseitig verwalteten Schlüssel, der zur Verschlüsselung eines Replikats verwendet wird, deaktivieren oder entziehen, wird die Replikation zum und vom Replikat beendet, bei dem Versuch, strikt konsistente Lesevorgänge in das Replikat zu schreiben, tritt ein Fehler auf, und der Replikatstatus ändert sich in INACCESSIBLE_ENCRYPTION_CREDENTIALS. Wenn ein Replikat in einer globalen MRSC-Tabelle länger als sieben Tage im INACCESSIBLE_ENCRYPTION_CREDENTIALS Status verbleibt, wird das Replikat je nach den widerrufenen Berechtigungen archiviert oder es kann dauerhaft nicht mehr darauf zugegriffen werden.