AWS Database Migration Service 内のインフラストラクチャセキュリティ

単一の VPC 内の DMS にアクセスするためのインターフェイスエンドポイントを作成するには

1. にサインインAWS マネジメントコンソールし、https://console.aws.amazon.com/vpc/ で Amazon VPC コンソールを開きます。

2. ナビゲーションペインで、[Endpoints] (エンドポイント) を選択します。これにより、エンドポイントの作成ページが開き、VPC からインターフェイスエンドポイントを作成できますAWS DMS。

3. AWSサービスを選択し、サービス名の値を検索して選択します。この場合は、次の形式AWS DMSになります。

   com.amazonaws.region.dms

   ここで、 は がAWS DMS実行するAWSリージョンregionを指定します。たとえば、 ですcom.amazonaws.us-west-2.dms。

4. [VPC] では、例えば vpc-12abcd34 のように VPC から作成するインターフェイス エンドポイントを選択します。

5. [Availability Zone] (アベイラビリティーゾーン) と [Subnet ID] (サブネット ID) の値を選択します。これらの値は選択した AWS DMS エンドポイントが実行可能な場所 (例えば us-west-2a (usw2-az1) や subnet-ab123cd4) を示す必要があります。

6. [Enable DNS name] (DNS 名を有効化) を選択して、DNS 名でエンドポイントを作成します。この DNS 名は、ランダムな文字列 (ab12dc34) とハイフンでつながれたエンドポイント ID (vpce-12abcd34efg567hij) からなります。これらは、ドットで区切られた逆の順序でドットによって、追加された vpce (dms.us-west-2.vpce.amazonaws.com) とサービス名から区切られます。

   例: vpce-12abcd34efg567hij-ab12dc34.dms.us-west-2.vpce.amazonaws.com。

7. [Security group] (セキュリティグループ) では、エンドポイントに使用するグループを選択します。

   セキュリティグループを設定する際、そのグループ内からのアウトバウンド HTTPS コールを許可するようにしてください。詳細については、Amazon VPC ユーザーガイドの「セキュリティグループ作成」をご参照ください。

8. [Full Access] (完全アクセス) またはカスタム値を [Policy] (ポリシー) で選択します。例えば、エンドポイントの特定のアクションとリソースへのアクセスを制限する、次のようなカスタムポリシーを選択できます。

   {
     "Statement": [
       {
         "Action": "dms:*",
         "Effect": "Allow",
         "Resource": "*",
         "Principal": "*"
       },
       {
         "Action": [
           "dms:ModifyReplicationInstance",
           "dms:DeleteReplicationInstance"
         ],
         "Effect": "Deny",
         "Resource": "arn:aws:dms:us-west-2:<account-id>:rep:<replication-instance-id>",
         "Principal": "*"
       }
     ]
   }

   ここでは、サンプルポリシーにより、特定のレプリケーションインスタンスの削除または変更を除き、すべての AWS DMSAPI コールが許可されます。