Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Resource-based Richtlinien für Aurora DSQL
Verwenden Sie ressourcenbasierte Richtlinien für Aurora DSQL, um den Zugriff auf Ihre Cluster mithilfe von JSON-Richtliniendokumenten einzuschränken oder zu gewähren, die direkt an Ihre Cluster-Ressourcen angehängt werden. Diese Richtlinien bieten eine detaillierte Kontrolle darüber, wer unter welchen Bedingungen auf Ihren Cluster zugreifen kann.
Aurora DSQL-Cluster sind standardmäßig über das öffentliche Internet zugänglich, wobei die IAM-Authentifizierung die primäre Sicherheitskontrolle ist. Resource-based Mithilfe von Richtlinien können Sie Zugriffsbeschränkungen hinzufügen, insbesondere um den Zugriff aus dem öffentlichen Internet zu blockieren.
Resource-based Richtlinien funktionieren mit identitätsbasierten IAM-Richtlinien zusammen. AWS evaluiert beide Arten von Richtlinien, um die endgültigen Berechtigungen für jede Zugriffsanforderung auf Ihren Cluster zu ermitteln. Standardmäßig ist der Zugriff auf Aurora DSQL-Cluster innerhalb eines Kontos möglich. Wenn ein IAM-Benutzer oder eine IAM-Rolle über Aurora-DSQL-Berechtigungen verfügt, kann er auf Cluster zugreifen, ohne dass eine ressourcenbasierte Richtlinie angehängt ist.
Anmerkung
Änderungen an ressourcenbasierten Richtlinien sind letztendlich konsistent und werden in der Regel innerhalb einer Minute wirksam.
Weitere Informationen zu den Unterschieden zwischen identitätsbasierten und ressourcenbasierten Richtlinien finden Sie im IAM-Benutzerhandbuch unter Richtlinien und ressourcenbasierte Identity-based Richtlinien.
Warnung
Der AWS-Konto Root-Benutzer des Kontos, dem der Cluster gehört, behält immer vollen Zugriff auf seine eigenen Ressourcen, unabhängig von den ressourcenbasierten Richtlinienbedingungen, einschließlich VPC-Quellenbeschränkungen. Resource-based Richtlinien schränken den Zugriff für den Root-Benutzer nicht ein. Um den Root-Benutzerzugriff auf Ihre Cluster einzuschränken, verwenden Sie auf IAM-Identitäten basierende Richtlinien oder vermeiden Sie die Verwendung von Root-Anmeldeinformationen für Datenbankverbindungen. Weitere Informationen finden Sie unter Bewährte Methoden für Root-Benutzer für Ihre. AWS-Konto
Wann sollten ressourcenbasierte Richtlinien verwendet werden
Resource-based Richtlinien sind in diesen Szenarien besonders nützlich:
Network-based Zugriffskontrolle — Beschränken Sie den Zugriff auf der Grundlage der VPC oder IP-Adresse, von der die Anfragen stammen, oder sperren Sie den öffentlichen Internetzugang vollständig. Verwenden Sie Bedingungstasten wie
aws:SourceVpcundaws:SourceIp, um den Netzwerkzugriff zu kontrollieren.Mehrere Teams oder Anwendungen — Gewähren Sie mehreren Teams oder Anwendungen Zugriff auf denselben Cluster. Anstatt individuelle IAM-Richtlinien für jeden Principal zu verwalten, definieren Sie die Zugriffsregeln einmal für den Cluster.
Komplexer bedingter Zugriff — Steuern Sie den Zugriff auf der Grundlage mehrerer Faktoren wie Netzwerkattributen, Anforderungskontext und Benutzerattributen. Sie können mehrere Bedingungen in einer einzigen Richtlinie kombinieren.
Zentralisierte Sicherheitssteuerung — Ermöglichen Sie Cluster-Eigentümern, den Zugriff mithilfe einer vertrauten AWS Richtliniensyntax zu kontrollieren, die in Ihre bestehenden Sicherheitspraktiken integriert ist.
Anmerkung
Cross-account Access wird für ressourcenbasierte Aurora-DSQL-Richtlinien noch nicht unterstützt, wird aber in zukünftigen Versionen verfügbar sein.
Wenn jemand versucht, eine Verbindung zu Ihrem Aurora DSQL-Cluster herzustellen, AWS bewertet Ihre ressourcenbasierte Richtlinie als Teil des Autorisierungskontextes zusammen mit allen relevanten IAM-Richtlinien, um zu ermitteln, ob die Anfrage zugelassen oder abgelehnt werden soll.
Resource-based Richtlinien können Principals innerhalb desselben Kontos wie der Cluster Zugriff gewähren. AWS Bei Clustern mit mehreren Regionen hat jeder regionale Cluster seine eigene ressourcenbasierte Richtlinie, die bei Bedarf Zugriffskontrollen Region-specific ermöglicht.
Anmerkung
Bedingungskontextschlüssel können je nach Region variieren (z. B. VPC-IDs).
Topics
