Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Infrastruktursicherheit in Amazon Aurora DSQL Als verwalteter Service ist Amazon Aurora DSQL durch die AWS globalen Netzwerksicherheitsverfahren geschützt, die in [Best Practices for Security, Identity and Compliance](https://aws.amazon.com/architecture/security-identity-compliance) beschrieben sind. Sie verwenden AWS veröffentlichte API-Aufrufe, um über das Netzwerk auf Aurora DSQL zuzugreifen. Clients müssen Transport Layer Security (TLS) 1.2 oder höher unterstützen. Clients müssen außerdem Verschlüsselungs-Suiten mit Perfect Forward Secrecy (PFS) wie DHE (Ephemeral Diffie-Hellman) oder ECDHE (Elliptic Curve Ephemeral Diffie-Hellman) unterstützen. Die meisten modernen Systemen wie Java 7 und höher unterstützen diese Modi. Außerdem müssen Anforderungen mit einer Zugriffsschlüssel-ID und einem geheimen Zugriffsschlüssel signiert sein, der einem IAM-Prinzipal zugeordnet ist. Alternativ können Sie mit [AWS -Security-Token-Service](https://docs.aws.amazon.com/STS/latest/APIReference/Welcome.html) (AWS STS) temporäre Sicherheitsanmeldeinformationen erstellen, um die Anforderungen zu signieren. # Verwaltung und Verbindung zu Amazon Aurora DSQL-Clustern mithilfe AWS PrivateLink Mit AWS PrivateLink for Amazon Aurora DSQL können Sie Amazon VPC-Schnittstellenendpunkte (Schnittstellenendpunkte) in Ihrer Amazon Virtual Private Cloud bereitstellen. Auf diese Endpunkte kann direkt von Anwendungen aus zugegriffen werden, die sich vor Ort befinden Direct Connect, über Amazon VPC und/oder auf andere Weise AWS-Region über Amazon VPC Peering. Mithilfe von Endpunkten AWS PrivateLink und Schnittstellen können Sie die private Netzwerkkonnektivität zwischen Ihren Anwendungen und Aurora DSQL vereinfachen. Anwendungen in Ihrer Amazon VPC können über Amazon VPC-Schnittstellenendpunkte auf Aurora DSQL zugreifen, ohne dass öffentliche IP-Adressen erforderlich sind. Schnittstellenendpunkte werden durch eine oder mehrere elastische Netzwerkschnittstellen (ENIs) repräsentiert, denen private IP-Adressen aus Subnetzen in Ihrer Amazon VPC zugewiesen wurden. Anfragen an Aurora DSQL über Schnittstellenendpunkte bleiben im AWS Netzwerk. Weitere Informationen darüber, wie Sie Ihre Amazon VPC mit Ihrem On-Premises-Netzwerk verbinden, finden Sie im [Direct Connect -Benutzerhandbuch](https://docs.aws.amazon.com/directconnect/latest/UserGuide/) und im [AWS Site-to-Site VPN -VPN](https://docs.aws.amazon.com/vpn/latest/s2svpn/VPC_VPN.html)-Benutzerhandbuch. Allgemeine Informationen zu Schnittstellenendpunkten finden Sie unter [Zugreifen auf einen AWS Service mithilfe eines Amazon VPC-Schnittstellenendpunkts](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html) im [AWS PrivateLink](https://docs.aws.amazon.com/vpc/latest/privatelink/what-is-privatelink)Benutzerhandbuch. ## Arten von Amazon VPC-Endpunkten für Aurora DSQL Aurora DSQL erfordert zwei verschiedene Arten von AWS PrivateLink Endpunkten. 1. *Verwaltungsendpunkt* – Dieser Endpunkt wird für Verwaltungsvorgänge wie, `get`, `create`, `update`, `delete` und `list` auf Aurora SQL-Clustern verwendet. Siehe [Verwaltung von Aurora DSQL-Clustern mit AWS PrivateLink](#managing-dsql-clusters-using-privatelink). 1. *Verbindungsendpunkt* – Dieser Endpunkt wird für die Verbindung zu Aurora DSQL-Clustern über PostgreSQL-Clients verwendet. Siehe [Verbindung zu Aurora DSQL-Clustern herstellen mit AWS PrivateLink](#privatelink-connecting-clusters). ## Überlegungen bei der Verwendung von AWS PrivateLink Aurora DSQL Überlegungen zu Amazon VPC gelten AWS PrivateLink für Aurora DSQL. Weitere Informationen finden Sie im AWS PrivateLink Handbuch unter [Zugreifen auf einen AWS Dienst über eine Schnittstelle, VPC-Endpunkt](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#vpce-interface-limitations) und [AWS PrivateLink Kontingente](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-limits-endpoints.html). ## Verwaltung von Aurora DSQL-Clustern mit AWS PrivateLink Sie können die AWS Command Line Interface oder AWS Software Development Kits (SDKs) verwenden, um Aurora DSQL-Cluster über Aurora DSQL-Schnittstellenendpunkte zu verwalten. ### Erstellen eines Amazon VPC-Endpunkts Informationen zum Erstellen eines Amazon VPC-Schnittstellenendpunkts finden Sie unter [Erstellen eines Amazon VPC-Endpunkts](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#create-interface-endpoint-aws) im AWS PrivateLink Handbuch. ``` aws ec2 create-vpc-endpoint \ --region region \ --service-name com.amazonaws.region.dsql \ --vpc-id your-vpc-id \ --subnet-ids your-subnet-id \ --vpc-endpoint-type Interface \ --security-group-ids client-sg-id \ ``` Um den standardmäßigen regionalen DNS-Namen für Aurora DSQL-API-Anfragen zu verwenden, deaktivieren Sie beim Erstellen des Aurora DSQL-Schnittstellenendpunkts nicht die private DNS-Option. Wenn private DNS aktiviert ist, werden Anfragen an den Aurora DSQL-Dienst, die aus Ihrer Amazon VPC gestellt werden, automatisch zur privaten IP-Adresse des Amazon VPC-Endpunkts aufgelöst – und nicht zum öffentlichen DNS-Namen. Wenn private DNS aktiviert ist, werden Aurora DSQL-Anfragen, die innerhalb Ihrer Amazon VPC gestellt werden, automatisch zum Amazon VPC-Endpunkt aufgelöst. Wenn privates DNS nicht aktiviert ist, verwenden Sie die `--endpoint-url` Parameter `--region` und mit AWS CLI Befehlen, um Aurora DSQL-Cluster über Aurora DSQL-Schnittstellenendpunkte zu verwalten. ### Auflisten von Clustern mithilfe einer Endpunkt-URL Ersetzen Sie im folgenden Beispiel den AWS-Region `us-east-1` und den DNS-Namen der Amazon VPC-Endpunkt-ID `vpce-1a2b3c4d-5e6f.dsql.us-east-1.vpce.amazonaws.com` durch Ihre eigenen Informationen. ``` aws dsql --region us-east-1 --endpoint-url https://vpce-1a2b3c4d-5e6f.dsql.us-east-1.vpce.amazonaws.com list-clusters ``` ### API-Operationen In der [Aurora DSQL-API-Referenz](CHAP_api_reference.md) finden Sie Informationen zur Ressourcenverwaltung in Aurora DSQL. ### Verwalten von Endpunktrichtlinien Durch gründliches Testen und Konfigurieren der Amazon VPC-Endpunktrichtlinien können Sie sicherstellen, dass Ihr Aurora DSQL-Cluster sicher, konform und auf die spezifischen Anforderungen Ihrer Organisation in Bezug auf Zugriffskontrolle und Governance abgestimmt ist. **Beispiel: Vollständige Aurora DSQL-Zugriffsrichtlinie** Die folgende Richtlinie gewährt Vollzugriff auf alle Aurora DSQL-Aktionen und -Ressourcen über den angegebenen Amazon VPC-Endpunkt. ``` aws ec2 modify-vpc-endpoint \ --vpc-endpoint-id vpce-xxxxxxxxxxxxxxxxx \ --region region \ --policy-document '{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": "*", "Action": "dsql:*", "Resource": "*" } ] }' ``` **Beispiel: Eingeschränkte Aurora DSQL-Zugriffsrichtlinie** Die folgende Richtlinie erlaubt nur diese Aurora DSQL-Aktionen. + `CreateCluster` + `GetCluster` + `ListClusters` Alle anderen Aurora DSQL-Aktionen werden verweigert. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": "*", "Action": [ "dsql:CreateCluster", "dsql:GetCluster", "dsql:ListClusters" ], "Resource": "*" } ] } ``` ------ ## Verbindung zu Aurora DSQL-Clustern herstellen mit AWS PrivateLink Sobald Ihr AWS PrivateLink Endpunkt eingerichtet und aktiv ist, können Sie mit einem PostgreSQL-Client eine Verbindung zu Ihrem Aurora DSQL-Cluster herstellen. In den folgenden Verbindungsanweisungen werden die Schritte zur Erstellung des richtigen Hostnamens für die Verbindung über den Endpunkt beschrieben. AWS PrivateLink ### Einen AWS PrivateLink Verbindungsendpunkt einrichten ******Schritt 1: Rufen Sie den Dienstnamen für Ihren Cluster ab** Wenn Sie einen AWS PrivateLink Endpunkt für die Verbindung zu Ihrem Cluster erstellen, müssen Sie zuerst den clusterspezifischen Dienstnamen abrufen. ------ #### [ AWS CLI ] ``` aws dsql get-vpc-endpoint-service-name \ --region us-east-1 \ --identifier your-cluster-id ``` Beispielantwort ``` { "serviceName": "com.amazonaws.us-east-1.dsql-fnh4" } ``` Der Servicename enthält eine ID wie `dsql-fnh4` im Beispiel. Diese ID wird auch benötigt, wenn der Hostname für die Verbindung zu Ihrem Cluster erstellt wird. ------ #### [ AWS SDK for Python (Boto3) ] ``` import boto3 dsql_client = boto3.client('dsql', region_name='us-east-1') response = dsql_client.get_vpc_endpoint_service_name( identifier='your-cluster-id' ) service_name = response['serviceName'] print(f"Service Name: {service_name}") ``` ------ #### [ AWS SDK for Java 2.x ] ``` import software.amazon.awssdk.auth.credentials.DefaultCredentialsProvider; import software.amazon.awssdk.regions.Region; import software.amazon.awssdk.services.dsql.DsqlClient; import software.amazon.awssdk.services.dsql.model.GetVpcEndpointServiceNameRequest; import software.amazon.awssdk.services.dsql.model.GetVpcEndpointServiceNameResponse; String region = "us-east-1"; String clusterId = "your-cluster-id"; DsqlClient dsqlClient = DsqlClient.builder() .region(Region.of(region)) .credentialsProvider(DefaultCredentialsProvider.create()) .build(); GetVpcEndpointServiceNameResponse response = dsqlClient.getVpcEndpointServiceName( GetVpcEndpointServiceNameRequest.builder() .identifier(clusterId) .build() ); String serviceName = response.serviceName(); System.out.println("Service Name: " + serviceName); ``` ------ **Schritt 2: Erstellen des Amazon VPC-Endpunkts** Erstellen Sie mit dem im vorherigen Schritt abgerufenen Servicenamen einen Amazon VPC-Endpunkt. **Wichtig** Die folgenden Verbindungsanweisungen funktionieren nur für Clusterverbindungen, wenn Private DNS aktiviert ist. Verwenden Sie das `--no-private-dns-enabled`-Flag nicht, wenn Sie den Endpunkt erstellen, da sonst die unten aufgeführten Verbindungsanleitungen nicht ordnungsgemäß funktionieren. Wenn Sie Private DNS deaktivieren, müssen Sie Ihren eigenen privaten DNS-Wildcard-Eintrag erstellen, der auf den erstellten Endpunkt verweist. ------ #### [ AWS CLI ] ``` aws ec2 create-vpc-endpoint \ --region us-east-1 \ --service-name service-name-for-your-cluster \ --vpc-id your-vpc-id \ --subnet-ids subnet-id-1 subnet-id-2 \ --vpc-endpoint-type Interface \ --security-group-ids security-group-id ``` **Beispielantwort** ``` { "VpcEndpoint": { "VpcEndpointId": "vpce-0123456789abcdef0", "VpcEndpointType": "Interface", "VpcId": "vpc-0123456789abcdef0", "ServiceName": "com.amazonaws.us-east-1.dsql-fnh4", "State": "pending", "RouteTableIds": [], "SubnetIds": [ "subnet-0123456789abcdef0", "subnet-0123456789abcdef1" ], "Groups": [ { "GroupId": "sg-0123456789abcdef0", "GroupName": "default" } ], "PrivateDnsEnabled": true, "RequesterManaged": false, "NetworkInterfaceIds": [ "eni-0123456789abcdef0", "eni-0123456789abcdef1" ], "DnsEntries": [ { "DnsName": "*.dsql-fnh4.us-east-1.vpce.amazonaws.com", "HostedZoneId": "Z7HUB22UULQXV" } ], "CreationTimestamp": "2025-01-01T00:00:00.000Z" } } ``` ------ #### [ SDK for Python ] ``` import boto3 ec2_client = boto3.client('ec2', region_name='us-east-1') response = ec2_client.create_vpc_endpoint( VpcEndpointType='Interface', VpcId='your-vpc-id', ServiceName='com.amazonaws.us-east-1.dsql-fnh4', # Use the service name from previous step SubnetIds=[ 'subnet-id-1', 'subnet-id-2' ], SecurityGroupIds=[ 'security-group-id' ] ) vpc_endpoint_id = response['VpcEndpoint']['VpcEndpointId'] print(f"VPC Endpoint created with ID: {vpc_endpoint_id}") ``` ------ #### [ SDK for Java 2.x ] Verwenden Sie eine Endpunkt-URL für Aurora DSQL APIs ``` import software.amazon.awssdk.auth.credentials.DefaultCredentialsProvider; import software.amazon.awssdk.regions.Region; import software.amazon.awssdk.services.ec2.Ec2Client; import software.amazon.awssdk.services.ec2.model.CreateVpcEndpointRequest; import software.amazon.awssdk.services.ec2.model.CreateVpcEndpointResponse; import software.amazon.awssdk.services.ec2.model.VpcEndpointType; String region = "us-east-1"; String serviceName = "com.amazonaws.us-east-1.dsql-fnh4"; // Use the service name from previous step String vpcId = "your-vpc-id"; Ec2Client ec2Client = Ec2Client.builder() .region(Region.of(region)) .credentialsProvider(DefaultCredentialsProvider.create()) .build(); CreateVpcEndpointRequest request = CreateVpcEndpointRequest.builder() .vpcId(vpcId) .serviceName(serviceName) .vpcEndpointType(VpcEndpointType.INTERFACE) .subnetIds("subnet-id-1", "subnet-id-2") .securityGroupIds("security-group-id") .build(); CreateVpcEndpointResponse response = ec2Client.createVpcEndpoint(request); String vpcEndpointId = response.vpcEndpoint().vpcEndpointId(); System.out.println("VPC Endpoint created with ID: " + vpcEndpointId); ``` ------ **Zusätzliche Einrichtung bei der Verbindung über Direct Connect oder Amazon VPC-Peering** Möglicherweise sind zusätzliche Einstellungen erforderlich, um über einen AWS PrivateLink Verbindungsendpunkt von lokalen Geräten über Amazon VPC-Peering oder eine Verbindung zu Aurora DSQL-Clustern herzustellen. Direct Connect Dieses Setup ist nicht erforderlich, wenn Ihre Anwendung in derselben Amazon VPC wie Ihr AWS PrivateLink Endpunkt läuft. Die oben erstellten privaten DNS-Einträge werden außerhalb der Amazon VPC des Endpunkts nicht korrekt aufgelöst. Sie können jedoch Ihre eigenen privaten DNS-Einträge erstellen, die zu Ihrem AWS PrivateLink Verbindungsendpunkt aufgelöst werden. Erstellen Sie einen privaten CNAME-DNS-Eintrag, der auf den vollständig qualifizierten Domainnamen des AWS PrivateLink Endpunkts verweist. Der Domainname des erstellten DNS-Eintrags sollte aus den folgenden Komponenten bestehen: 1. Die Service-ID aus dem Servicenamen. Beispiel: `dsql-fnh4` 1. Der AWS-Region Erstellen Sie den CNAME-DNS-Eintrag mit einem Domainnamen im folgenden Format: `*.service-identifier.region.on.aws` Das Format des Domainnamens ist aus zwei Gründen wichtig: 1. Der Hostname, der für die Verbindung mit Aurora DSQL verwendet wird, muss mit dem Serverzertifikat von Aurora DSQL übereinstimmen, wenn der SSL-Modus verwendet wird`verify-full`. Dies gewährleistet ein Höchstmaß an Verbindungssicherheit. 1. Aurora DSQL verwendet den Cluster-ID-Teil des Hostnamens, der für die Verbindung mit Aurora DSQL verwendet wird, um den Verbindungscluster zu identifizieren. Wenn das Erstellen von privaten DNS-Einträgen nicht möglich ist, können Sie trotzdem eine Verbindung zu Aurora DSQL herstellen. Siehe [Herstellen einer Verbindung zu einem Aurora DSQL-Cluster über einen AWS PrivateLink Endpunkt ohne privates DNS](#connecting-cluster-id-option). ### Über einen Verbindungsendpunkt eine Verbindung zu einem Aurora DSQL-Cluster herstellen AWS PrivateLink Sobald Ihr AWS PrivateLink Endpunkt eingerichtet und aktiv ist (stellen Sie sicher, dass dies der Fall `State` ist`available`), können Sie über einen PostgreSQL-Client eine Verbindung zu Ihrem Aurora DSQL-Cluster herstellen. Anweisungen zur Verwendung von finden Sie in den Anleitungen unter [Programmieren mit Aurora DSQL](https://docs.aws.amazon.com/aurora-dsql/latest/userguide/programming-with.html). AWS SDKs Sie müssen den Cluster-Endpunkt so ändern, dass er dem Hostnamenformat entspricht. #### Konstruieren des Hostnamens Der Hostname für die Verbindung AWS PrivateLink unterscheidet sich vom öffentlichen DNS-Hostnamen. Sie müssen ihn mit den folgenden Komponenten erstellen. 1. `Your-cluster-id` 1. Die Service-ID aus dem Servicenamen. Beispiel: `dsql-fnh4` 1. Der. AWS-Region Beispiel: `us-east-1` Verwenden Sie das folgende Format: `cluster-id.service-identifier.region.on.aws` **Beispiel: Verbindung über PostgreSQL** ``` # Set environment variables export CLUSTERID=your-cluster-id export REGION=us-east-1 export SERVICE_IDENTIFIER=dsql-fnh4 # This should match the identifier in your service name # Construct the hostname export HOSTNAME="$CLUSTERID.$SERVICE_IDENTIFIER.$REGION.on.aws" # Generate authentication token export PGPASSWORD=$(aws dsql --region $REGION generate-db-connect-admin-auth-token --hostname $HOSTNAME) # Connect using psql psql -d postgres -h $HOSTNAME -U admin ``` #### Herstellen einer Verbindung zu einem Aurora DSQL-Cluster über einen AWS PrivateLink Endpunkt ohne privates DNS Die obigen Verbindungsanweisungen basieren auf privaten DNS-Einträgen. Wenn Ihre Anwendung in derselben Amazon VPC wie Ihr AWS PrivateLink Endpunkt ausgeführt wird, werden die DNS-Einträge für Sie erstellt. Wenn Sie über Amazon VPC-Peering oder von lokalen Geräten aus eine Verbindung herstellen Direct Connect, können Sie alternativ Ihre eigenen privaten DNS-Einträge erstellen. Die Einrichtung von DNS-Einträgen ist jedoch aufgrund von Netzwerkbeschränkungen, die von Ihren Sicherheitsteams auferlegt wurden, nicht immer möglich. Wenn Ihre Anwendung eine Verbindung über Direct Connect oder von einer Peering-Amazon-VPC herstellen muss und die Einrichtung eines DNS-Eintrags nicht möglich ist, können Sie trotzdem eine Verbindung zu Aurora DSQL herstellen. Aurora DSQL verwendet den Cluster-ID-Teil Ihres Hostnamens, um den verbindenden Cluster zu identifizieren. Wenn die Einrichtung eines DNS-Eintrags jedoch nicht möglich ist, unterstützt Aurora DSQL die Angabe des Zielclusters mithilfe der `amzn-cluster-id` Verbindungsoption. Mit dieser Option ist es möglich, den vollständig qualifizierten Domainnamen Ihres AWS PrivateLink Endpunkts als Hostnamen zu verwenden, wenn Sie eine Verbindung herstellen. **Wichtig** Wenn Sie eine Verbindung mit dem vollständig qualifizierten Domainnamen oder der IP-Adresse Ihres AWS PrivateLink Endpunkts herstellen, wird der `verify-full` SSL-Modus nicht unterstützt. Aus diesem Grund wird die Einrichtung von privatem DNS bevorzugt. **Beispiel: Angabe der Cluster-ID-Verbindungsoption mit PostgreSQL** ``` # Set environment variables export CLUSTERID=your-cluster-id export REGION=us-east-1 export HOSTNAME=vpce-04037adb76c111221-d849uc2p.dsql-fnh4.us-east-1.vpce.amazonaws.com # This should match your endpoint's fully-qualified domain name # Construct the hostname used to generate the authentication token export AUTH_HOSTNAME="$CLUSTERID.dsql.$REGION.on.aws" # Generate authentication token export PGPASSWORD=$(aws dsql --region $REGION generate-db-connect-admin-auth-token --hostname $AUTH_HOSTNAME) # Specify the amzn-cluster-id connection option export PGOPTIONS="-c amzn-cluster-id=$CLUSTERID" # Connect using psql psql -d postgres -h $HOSTNAME -U admin ``` ### Behebung von Problemen mit AWS PrivateLink #### Häufige Probleme und Lösungen In der folgenden Tabelle sind häufig auftretende Probleme und Lösungen im Zusammenhang mit AWS PrivateLink und Aurora DSQL aufgeführt. | Problem | Mögliche Ursache | Lösung | | --- | --- | --- | | Verbindungstimeout | Die Sicherheitsgruppe ist nicht richtig konfiguriert | Verwenden Sie den Amazon VPC Reachability Analyzer, um sicherzustellen, dass Ihr Netzwerk-Setup Datenverkehr auf Port 5432 zulässt. | | Fehler für die DNS-Auflösung | Private DNS nicht aktiviert | Stellen Sie sicher, dass der Amazon VPC-Endpunkt mit aktiviertem Private DNS erstellt wurde. | | Authentifizierungsfehler | Falsche Anmeldeinformationen oder abgelaufenes Token | Generieren Sie ein neues Authentifizierungstoken und überprüfen Sie den Benutzernamen. | | Servicename nicht gefunden | Falsche Cluster-ID | Überprüfen Sie Ihre Cluster-ID und AWS-Region beim Abrufen des Dienstnamens. | ### Verwandte Ressourcen Weitere Informationen finden Sie in den folgenden Ressourcen: + [Amazon Aurora DSQL-Benutzerhandbuch](https://docs.aws.amazon.com/AmazonRDS/latest/AuroraUserGuide/aurora-dsql.html) + [AWS PrivateLink -Dokumentation](https://docs.aws.amazon.com/vpc/latest/privatelink/what-is-privatelink.html) + [Greifen Sie auf Dienste zu über AWSAWS PrivateLink](https://docs.aws.amazon.com/vpc/latest/privatelink/privatelink-access-aws-services.html)