Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Keamanan di VPC Anda di Amazon MWAA

Halaman ini menjelaskan komponen Amazon VPC yang digunakan untuk mengamankan Amazon Managed Workflow untuk lingkungan Apache Airflow dan konfigurasi yang diperlukan untuk komponen ini.

Istilah

Ikhtisar keamanan

Grup keamanan dan daftar kontrol akses (ACL) menyediakan cara untuk mengontrol lalu lintas jaringan di seluruh subnet dan instans di Amazon VPC Anda menggunakan aturan yang Anda tentukan.

Daftar kontrol akses jaringan (ACL)

Daftar kontrol akses jaringan (ACL) dapat mengelola (dengan aturan izinkan atau menolak) lalu lintas masuk dan keluar di tingkat subnet. ACL adalah stateless, yang berarti bahwa aturan inbound dan outbound harus ditentukan secara terpisah dan eksplisit. Ini digunakan untuk menentukan jenis lalu lintas jaringan yang diizinkan masuk atau keluar dari instance dalam jaringan VPC.

Setiap Amazon VPC memiliki ACL default yang memungkinkan semua lalu lintas masuk dan keluar. Anda dapat mengedit aturan ACL default, atau membuat ACL khusus dan melampirkannya ke subnet Anda. Sebuah subnet hanya dapat memiliki satu ACL yang terpasang padanya setiap saat, tetapi satu ACL dapat dilampirkan ke beberapa subnet.

(Direkomendasikan) Contoh ACL

Contoh berikut menampilkan aturan ACL masuk dan keluar yang dapat digunakan untuk Amazon VPC dengan perutean publik atau perutean pribadi.

Grup keamanan VPC

Grup keamanan VPC bertindak sebagai firewall virtual yang mengontrol lalu lintas jaringan di tingkat instance. Grup keamanan bersifat stateful, yang berarti bahwa ketika koneksi masuk diizinkan, itu diizinkan untuk membalas. Ini digunakan untuk menentukan jenis lalu lintas jaringan yang diizinkan masuk dari instance dalam jaringan VPC.

Setiap Amazon VPC memiliki grup keamanan default. Secara default, tidak memiliki aturan masuk. Ini memiliki aturan keluar yang memungkinkan semua lalu lintas keluar. Anda dapat mengedit aturan grup keamanan default, atau membuat grup keamanan khusus dan melampirkannya ke Amazon VPC Anda.

(Direkomendasikan) Contoh semua grup keamanan referensi mandiri akses

Contoh berikut menampilkan aturan grup keamanan masuk yang memungkinkan semua lalu lintas untuk Amazon VPC dengan perutean publik atau perutean pribadi. Grup keamanan dalam contoh ini adalah aturan referensi diri untuk dirinya sendiri.

Contoh berikut menampilkan aturan grup keamanan keluar.

(Opsional) Contoh grup keamanan yang membatasi akses masuk ke port 5432

Contoh berikut menampilkan aturan grup keamanan masuk yang mengizinkan semua lalu lintas HTTPS pada port 5432 untuk database metadata Amazon Aurora PostgreSQL (dimiliki oleh Amazon MWAA) untuk lingkungan Anda.

(Opsional) Contoh grup keamanan yang membatasi akses masuk ke port 443

Contoh berikut menampilkan aturan grup keamanan masuk yang memungkinkan semua lalu lintas TCP pada port 443 untuk server web Apache Airflow.

Kebijakan titik akhir VPC (hanya perutean pribadi)

Kebijakan titik akhir VPC (AWS PrivateLink) mengontrol akses ke AWS layanan dari subnet pribadi Anda. Kebijakan titik akhir VPC adalah kebijakan sumber daya IAM yang Anda lampirkan ke gateway VPC atau titik akhir antarmuka. Bagian ini menjelaskan izin yang diperlukan untuk kebijakan titik akhir VPC untuk setiap titik akhir VPC.

Sebaiknya gunakan kebijakan titik akhir antarmuka VPC untuk setiap titik akhir VPC yang Anda buat yang memungkinkan akses penuh ke semua AWS layanan, dan menggunakan peran eksekusi Anda secara eksklusif untuk izin. AWS

(Disarankan) Contoh kebijakan titik akhir VPC untuk mengizinkan semua akses

Contoh berikut menyajikan kebijakan titik akhir antarmuka VPC untuk Amazon VPC dengan perutean pribadi.

{
  "Statement": [
    {
      "Action": "*",
      "Effect": "Allow",
      "Resource": "*",
      "Principal": "*"
    }
  ]
}

(Disarankan) Contoh kebijakan titik akhir gateway Amazon S3 untuk mengizinkan akses bucket

Contoh berikut menyajikan kebijakan titik akhir gateway VPC yang menyediakan akses ke bucket Amazon S3 yang diperlukan untuk operasi Amazon ECR untuk Amazon VPC dengan perutean pribadi. Ini diperlukan agar gambar Amazon ECR Anda dapat diambil, selain bucket tempat DAG dan file pendukung Anda disimpan.

{
  "Statement": [
    {
      "Sid": "Access-to-specific-bucket-only",
      "Principal": "*",
      "Action": [
        "s3:GetObject"
      ],
      "Effect": "Allow",
      "Resource": ["arn:aws:s3:::prod-us-east-1-starport-layer-bucket/*"]
    }
  ]
}