View a markdown version of this page

Sécurité de l'infrastructure dans Amazon OpenSearch Service - Amazon OpenSearch Service

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Sécurité de l'infrastructure dans Amazon OpenSearch Service

En tant que service géré, il est protégé par la sécurité du réseau AWS mondial. Pour plus d'informations sur les services AWS de sécurité et sur la manière dont AWS l'infrastructure est protégée, consultez la section Sécurité du AWS cloud. Pour concevoir votre AWS environnement en utilisant les meilleures pratiques en matière de sécurité de l'infrastructure, consultez la section Protection de l'infrastructure dans le cadre AWS bien architecturé du pilier de sécurité.

Vous utilisez des appels d'API AWS publiés pour accéder via le réseau. Les clients doivent prendre en charge les éléments suivants :

  • Protocole TLS (Transport Layer Security). Nous exigeons TLS 1.2 et recommandons TLS 1.3.

  • Des suites de chiffrement dotées d'un secret de transmission parfait (PFS), telles que DHE (Ephemeral) ou ECDHE (Elliptic Curve Ephemeral Diffie-Hellman). Diffie-Hellman La plupart des systèmes modernes tels que Java 7 et les versions ultérieures prennent en charge ces modes.

Vous utilisez des appels d'API AWS publiés pour accéder à l'API de configuration du OpenSearch service via le réseau. Pour configurer la version TLS minimale requise à accepter, spécifiez la valeur TLSSecurityPolicy dans les options de point de terminaison de domaine : 

aws opensearch update-domain-config --domain-name my-domain --domain-endpoint-options '{"TLSSecurityPolicy": "Policy-Min-TLS-1-2-2019-07"}'

Pour plus d'informations, veuillez consulter la Référence des commandes de l'AWS CLI.

En fonction de la configuration de votre domaine, vous devrez peut-être également signer les requêtes envoyées à l'API OpenSearch . Pour de plus amples informations, veuillez consulter Formulation et signature de demandes OpenSearch de service.

OpenSearch Le service prend en charge les domaines d'accès public, qui peuvent recevoir des demandes depuis n'importe quel appareil connecté à Internet, et les domaines d'accès VPC, qui sont isolés de l'Internet public.

Si vous activez l'option de sortie VPC sur un domaine VPC, le OpenSearch service place des ENI de sortie gérés par le demandeur dans vos sous-réseaux pour acheminer le trafic sortant du domaine. Pour de plus amples informations, veuillez consulter Acheminement du trafic sortant du domaine via votre VPC.