Práticas recomendadas de segurança preventiva para o Aurora DSQL - Amazon Aurora DSQL

Práticas recomendadas de segurança preventiva para o Aurora DSQL

Além das formas de usar o Aurora DSQL com segurança apresentadas a seguir, consulte Segurança em AWS Well-Architected Tool para saber como as tecnologias de nuvem melhoram a segurança.

Use perfis do IAM para autenticar o acesso ao Aurora DSQL.

Usuários, aplicações e outros Serviços da AWS que acessam o Aurora DSQL devem incluir credenciais válidas da AWS nas solicitações da API da AWS e da AWS CLI. Você não deve armazenar credenciais da AWS diretamente na aplicação ou em instâncias do EC2. Essas são credenciais de longo prazo que não são alternadas automaticamente. Haverá um impacto significativo na empresa se essas credenciais forem comprometidas. Um perfil do IAM permite obter chaves de acesso temporárias que podem acessar recursos e Serviços da AWS.

Para obter mais informações, consulte Autenticação e autorização para o Aurora DSQL.

Use políticas do IAM para autorização básica do Aurora DSQL.

Ao conceder permissões, você decide quem as recebe, a quais APIs do Auroras DSQL as permissões se referem e as ações específicas que deseja permitir nesses recursos. A implementação do privilégio mínimo é fundamental para reduzir o risco de segurança e o impacto que pode resultar de erros ou usuários mal-intencionados.

Anexe políticas de permissões a perfis do IAM e conceda permissões para executar operações em recursos do Aurora DSQL. Também estão disponíveis limites de permissões para entidades do IAM, que possibilitam definir as permissões máximas que uma política baseada em identidade pode conceder a uma entidade do IAM.

Assim como as práticas recomendadas de usuário-raiz para sua Conta da AWS, não use O perfil admin no Aurora DSQL para realizar operações diárias. Em vez disso, recomendamos que você crie perfis de banco de dados personalizados para gerenciar e se conectar ao cluster. Para ter mais informações, consulte Accessing Aurora DSQL e Understanding authentication and authorization for Aurora DSQL.

Use verify-full em ambientes de produção.

Essa configuração verifica se o certificado do servidor está assinado por uma autoridade de certificação confiável e se o nome do host do servidor corresponde ao certificado.

Atualize seu cliente PostgreSQL.

Atualize regularmente seu cliente PostgreSQL para a versão mais recente a fim de se beneficiar das melhorias de segurança. Recomendamos usar o PostgreSQL versão 17.