# Prácticas recomendadas de seguridad para Aurora DSQL Aurora DSQL proporciona una serie de características de seguridad que debe tener en cuenta a la hora de desarrollar e implementar las políticas de seguridad propias. Las siguientes prácticas recomendadas son directrices generales y no constituyen una solución de seguridad completa. Puesto que es posible que estas prácticas recomendadas no sean adecuadas o suficientes para el entorno, considérelas como consideraciones útiles en lugar de como normas. **Topics** + [Prácticas recomendadas de detección de seguridad para Aurora DSQL](best-practices-security-detective.md) + [Prácticas recomendadas de seguridad preventiva para Aurora DSQL](best-practices-security-preventative.md) # Prácticas recomendadas de detección de seguridad para Aurora DSQL Además de las siguientes formas de utilizar Aurora DSQL de forma segura, consulte [Seguridad](https://docs.aws.amazon.com/wellarchitected/latest/framework/security.html) en AWS Well-Architected Tool para obtener información sobre cómo las tecnologías en la nube mejoran la seguridad. **Alarmas de Amazon CloudWatch** Con las alarmas de Amazon CloudWatch, puede ver una métrica determinada durante el periodo especificado. Si la métrica supera un límite determinado, se envía una notificación a un tema de Amazon SNS o a una política de AWS Auto Scaling. Las alarmas de CloudWatch no invocan acciones simplemente porque se encuentren en determinado estado. En su lugar, el estado debe haber cambiado y debe mantenerse durante el número de periodos especificado. **Etiquetado de los recursos de Aurora DSQL para la identificación y la automatización** Puede asignar metadatos a los recursos de AWS en forma de etiquetas. Cada etiqueta es una marca que consta de una clave definida por el cliente y un valor opcional que puede hacer que sea más fácil administrar, buscar y filtrar recursos. El etiquetado permite implementar controles agrupados. Aunque no hay tipos inherentes de etiquetas, lo habilitan a clasificar los recursos según su finalidad, propietario, entorno u otros criterios. A continuación se muestran algunos ejemplos: + Seguridad: se utiliza para determinar requisitos tales como el cifrado. + Confidencialidad: un identificador para el nivel concreto de confidencialidad de los datos que admite un recurso. + Entorno: utilizado para distinguir entre el desarrollo, la prueba y la infraestructura de producción. Puede asignar metadatos a los recursos de AWS en forma de etiquetas. Cada etiqueta es una marca que consta de una clave definida por el cliente y un valor opcional que puede hacer que sea más fácil administrar, buscar y filtrar recursos. El etiquetado permite implementar controles agrupados. Aunque no hay tipos inherentes de etiquetas, le permiten clasificar recursos de según su finalidad, propietario, entorno u otro criterio. A continuación se muestran algunos ejemplos. + Seguridad: se utiliza para determinar requisitos tales como el cifrado. + Confidencialidad: un identificador para el nivel concreto de confidencialidad de los datos que admite un recurso. + Entorno: utilizado para distinguir entre el desarrollo, la prueba y la infraestructura de producción. Para obtener información, consulte [Prácticas recomendadas para el etiquetado de los recursos de AWS](https://docs.aws.amazon.com/whitepapers/latest/tagging-best-practices/tagging-best-practices.html). # Prácticas recomendadas de seguridad preventiva para Aurora DSQL Además de las siguientes formas de utilizar Aurora DSQL de forma segura, consulte [Seguridad](https://docs.aws.amazon.com/wellarchitected/latest/framework/security.html) en AWS Well-Architected Tool para obtener información sobre cómo las tecnologías en la nube mejoran la seguridad. **Use roles de IAM para autenticar el acceso a Aurora DSQL.** Los usuarios, las aplicaciones y demás Servicios de AWS que accedan a Aurora DSQL deben incluir credenciales de AWS válidas en la API de AWS y en las solicitudes de la AWS CLI. No debe almacenar las credenciales de AWS de forma directa en la aplicación ni en las instancias EC2. Se trata de credenciales a largo plazo que no se rotan automáticamente. Existe un impacto empresarial significativo si estas credenciales se ven comprometidas. Un rol de IAM le permite obtener claves de acceso temporal que puede utilizar para acceder a los recursos y los Servicios de AWS. Para obtener más información, consulte [Autenticación y autorización para Aurora DSQL](authentication-authorization.md). **Use políticas de IAM para la autorización de la base de Aurora DSQL.** Cuando concede permisos, usted decide quién los obtiene, para qué operaciones de la API de Aurora DSQL obtiene permisos y las acciones específicas que desea permitir en esos recursos. La implementación de privilegios mínimos es la clave a la hora de reducir los riesgos de seguridad y el impacto que podrían causar los errores o los intentos malintencionados. Asocie políticas de permisos a los roles de IAM y conceda permisos para realizar operaciones en los recursos de Aurora DSQL. También están disponibles los [límites de permisos para entidades de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html), que le permiten establecer los permisos máximos que una política basada en identidad puede conceder a una entidad de IAM. De forma similar a las [prácticas recomendadas para el usuario raíz de la Cuenta de AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/root-user-best-practices.html), no utilice el rol de `admin` en Aurora DSQL para realizar operaciones cotidianas. En su lugar, le recomendamos que cree roles de base de datos personalizados para administrar y conectarse al clúster. Para obtener más información, consulte [Acceso a Aurora DSQL](https://docs.aws.amazon.com/aurora-dsql/latest/userguide/accessing.html) y [Descripción de la autenticación y autorización para Aurora DSQL](https://docs.aws.amazon.com/aurora-dsql/latest/userguide/accessing.html). **Use `verify-full` en entornos de producción.** Esta configuración comprueba que el certificado del servidor esté firmado por una autoridad de certificación de confianza y que el nombre de host del servidor coincida con el certificado. **Actualización del cliente de PostgreSQL** Actualice periódicamente el cliente de PostgreSQL a la versión más reciente para beneficiarse de las mejoras de seguridad. Recomendamos utilizar la versión 17 de PostgreSQL.