要获得与亚马逊 Timestream 类似的功能 LiveAnalytics，可以考虑适用于 InfluxDB 的亚马逊 Timestream。适用于 InfluxDB 的 Amazon Timestream 提供简化的数据摄取和个位数毫秒级的查询响应时间，以实现实时分析。点击[此处](https://docs.aws.amazon.com//timestream/latest/developerguide/timestream-for-influxdb.html)了解更多信息。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# InfluxDB Timestream 安全最佳实践
<a name="security-best-practices"></a>

适用于 InfluxDB 的 Amazon Timestream 提供了许多安全功能，供您在制定和实施自己的安全策略时考虑。以下最佳实践是一般指导原则，并不代表完整安全解决方案。由于这些最佳实践可能不适合您的环境或不满足您的环境要求，因此将其视为有用的考虑因素而不是惯例。

## 实施最低权限访问
<a name="security-best-practices-privileges"></a>

在授予权限时，你可以决定谁将获得哪个 Timestream for InfluxDB 资源的权限。您可以对这些资源启用希望允许的特定操作。因此，您应仅授予执行任务所需的权限。实施最低权限访问对于减小安全风险以及可能由错误或恶意意图造成的影响至关重要。

## 使用 IAM 角色
<a name="security-best-practices-roles"></a>

生产者和客户端应用程序必须具有有效的凭据才能访问 InfluxDB 数据库实例的 Timestream。您不应将 AWS 证书直接存储在客户端应用程序或 Amazon S3 存储桶中。这些是不会自动轮换的长期凭证，如果它们受到损害，可能会对业务产生重大影响。

相反，您应该使用 IAM 角色来管理您的创建器和客户端应用程序的临时证书，以便访问 InfluxDB 数据库实例的 Timestream。在使用角色时，您不必使用长期凭证（如用户名和密码或访问密钥）来访问其他资源。

有关更多信息，请参阅 *IAM 用户指南*中的以下主题：
+ [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)
+ [针对角色的常见情形：用户、应用程序和服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios.html)

使用 AWS Identity and Access Management (IAM) 账户控制 InfluxDB API 操作对亚马逊 Timestream 的访问权限，尤其是创建、修改或删除 InfluxDB 资源的亚马逊 Timestream 资源的操作。此类资源包括数据库实例、安全组和参数组。
+ 为每个管理 Amazon Timestream for InfluxDB 资源的人员创建一个单独的用户，包括你自己。不要使用 AWS 根凭证来管理 InfluxDB 资源的 Amazon Timestream。
+ 授予每位用户执行其职责所需的最低权限集。
+ 使用 IAM 组有效地管理适用于多个用户的权限。
+ 定期轮换您的 IAM 凭证。
+ 将 S AWS ecrets Manager 配置为自动轮换 InfluxDB 的 Amazon Timestream 的密钥。有关更多信息，请参阅 S [AWS ecrets Manager 用户指南中的轮换](https://docs.aws.amazon.com/secretsmanager/latest/userguide/rotating-secrets.html) *S AWS ecrets Manager 密钥*。您也可以通过编程方式从 S AWS ecrets Manager 中检索凭证。有关更多信息，请参阅 S [ecrets *Manager 用户指南中的检索AWS 密钥*值](https://docs.aws.amazon.com/secretsmanager/latest/userguide/manage_retrieve-secret.html)。
+ 使用保护你的 InfluxDB Influx API 令牌的时间流。[API 代币](timestream-for-influx-security-db-authentication.md#timestream-for-influx-security-db-authentication-api-token)

## 实施从属资源中的服务器端加密
<a name="security-best-practices-sse"></a>

可以在 InfluxDB 的 Timestream 中对静态数据和传输中的数据进行加密。有关更多信息，请参阅 [传输中加密](EncryptionInTransit-for-influx-db.md)。

## CloudTrail 用于监控 API 调用
<a name="security-best-practices-cloudtrail"></a>

InfluxDB 的 Timestream 与一项服务集成，该服务提供用户 AWS CloudTrail、角色或 AWS 服务在 InfluxDB 的 Timestream 中采取的操作的记录。

使用收集的信息 CloudTrail，您可以确定向 Timestream for InfluxDB 发出的请求、发出请求的 IP 地址、谁发出了请求、何时发出请求以及其他详细信息。

有关更多信息，请参阅 [使用记录 LiveAnalytics API 调用的时间流 AWS CloudTrail](logging-using-cloudtrail.md)。

适用于 InfluxDB 的 Amazon Timestream 支持控制平面 CloudTrail 事件，但不支持数据平面。有关更多信息，请参阅[控制平面和数据平面](https://docs.aws.amazon.com/whitepapers/latest/aws-fault-isolation-boundaries/control-planes-and-data-planes.html)。

## 公开可用性
<a name="timestream-for-influx-security-public-accessibility"></a>

在基于 Amazon VPC 服务的虚拟私有云（VPC）内启动数据库实例时，可以打开或关闭该数据库实例的公共可访问性。要指定您创建的数据库实例是否具有解析为公共 IP 地址的 DNS 名称，请使用公共可用性 参数。通过使用此参数，您可以指定数据库实例是否有公共访问权限

如果您的数据库实例位于 VPC 中但无法公开访问，则您也可以使用 AWS Site-to-Site VPN 连接或 Di AWS rect Connect 连接从私有网络访问该实例。

如果您的数据库实例可公开访问，请务必采取措施防止或帮助缓解与拒绝服务相关的威胁。有关更多信息，请参阅[拒绝服务攻击简介](https://docs.aws.amazon.com/whitepapers/latest/aws-best-practices-ddos-resiliency/introduction-denial-of-service-attacks.html)[和保护网络](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/protecting-networks.html)。