AWS Database Migration Service 中的基础结构安全性

创建接口端点以在单个 VPC 中访问 DMS

1. 登录AWS 管理控制台并打开 Amazon VPC 控制台，网址为https://console.aws.amazon.com/vpc/。

2. 在导航窗格中，选择端点。这将打开创建终端节点页面，您可以在其中创建从 VPC 到的接口终端节点AWS DMS。

3. 选择AWS服务，然后搜索并选择服务名称的值，在本例AWS DMS中为以下表单。

   com.amazonaws.region.dms

   例如，这里region指定了AWS DMS运行的AWS区域com.amazonaws.us-west-2.dms。

4. 对于 VPC，选择要从其中创建接口端点的 VPC，例如 vpc-12abcd34。

5. 为可用区和子网 ID 选择值。这些值应该表示所选 AWS DMS 端点可以运行的位置，例如 us-west-2a (usw2-az1) 和 subnet-ab123cd4。

6. 选择启用 DNS 名称，以创建带有 DNS 名称的端点。此 DNS 名称由端点 ID（vpce-12abcd34efg567hij）和随机字符串（ab12dc34）组成，中间用连字符连接。它们与服务名称之间用点分隔开，服务名称采用反向点分隔，并增加了 vpce（dms.us-west-2.vpce.amazonaws.com）。

   例如，vpce-12abcd34efg567hij-ab12dc34.dms.us-west-2.vpce.amazonaws.com。

7. 对于安全组，选择要用于端点的组。

   设置安全组时，请确保允许来自安全组内部的出站 HTTPS 调用。有关更多信息，请参阅《Amazon VPC 用户指南》中的创建安全组。

8. 对于策略，选择完全访问权限或自定义值。例如，您可以选择类似以下代码的自定义策略，限制端点对某些操作和资源的访问权限。

   {
     "Statement": [
       {
         "Action": "dms:*",
         "Effect": "Allow",
         "Resource": "*",
         "Principal": "*"
       },
       {
         "Action": [
           "dms:ModifyReplicationInstance",
           "dms:DeleteReplicationInstance"
         ],
         "Effect": "Deny",
         "Resource": "arn:aws:dms:us-west-2:<account-id>:rep:<replication-instance-id>",
         "Principal": "*"
       }
     ]
   }

   此处的示例策略允许任何 AWS DMS API 调用，但删除或修改特定的复制实例除外。