Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
# Keamanan infrastruktur di Athena
Sebagai layanan terkelola, dilindungi oleh keamanan jaringan AWS global. Untuk informasi tentang layanan AWS keamanan dan cara AWS melindungi infrastruktur, lihat [Keamanan AWS Cloud](https://aws.amazon.com/security/). Untuk mendesain AWS lingkungan Anda menggunakan praktik terbaik untuk keamanan infrastruktur, lihat [Perlindungan Infrastruktur dalam Kerangka Kerja](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html) yang * AWS Diarsiteksikan dengan Baik Pilar Keamanan*.
Anda menggunakan panggilan API yang AWS dipublikasikan untuk mengakses melalui jaringan. Klien harus mendukung hal-hal berikut:
+ Keamanan Lapisan Pengangkutan (TLS). Kami mensyaratkan TLS 1.2 dan menganjurkan TLS 1.3.
+ Sandi cocok dengan sistem kerahasiaan maju sempurna (perfect forward secrecy, PFS) seperti DHE (Ephemeral Diffie-Hellman) atau ECDHE (Elliptic Curve Ephemeral Diffie-Hellman). Sebagian besar sistem modern seperti Java 7 dan versi lebih baru mendukung mode-mode ini.
Gunakan kebijakan IAM untuk membatasi akses ke operasi Athena. Setiap kali Anda menggunakan kebijakan IAM, pastikan bahwa Anda mengikuti praktik terbaik IAM. Untuk informasi selengkapnya tentang administrator, lihat [Praktik terbaik keamanan dalam IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) di *Panduan Pengguna IAM*.
[Kebijakan terkelola](security-iam-awsmanpol.md) Athena mudah digunakan, dan diperbarui secara otomatis dengan tindakan yang diperlukan seiring berkembangnya layanan. Kebijakan yang dikelola pelanggan dan inline memungkinkan Anda untuk menyempurnakan kebijakan dengan menentukan tindakan Athena yang lebih terperinci dalam kebijakan. Memberikan akses yang sesuai ke lokasi data Amazon S3. Untuk informasi dan skenario mendetail tentang cara memberikan akses Amazon S3, lihat [Contoh penelusuran: Mengelola akses di Panduan Pengembang Layanan](https://docs.aws.amazon.com/AmazonS3/latest/userguide/example-walkthroughs-managing-access.html) Penyimpanan *Sederhana Amazon*. Untuk informasi selengkapnya dan contoh tindakan Amazon S3 yang diizinkan, lihat kebijakan bucket contoh di [Akses Lintas Akun](cross-account-permissions.md).
**Topics**
+ [
# Connect ke Amazon Athena menggunakan antarmuka VPC endpoint
](interface-vpc-endpoint.md)
# Connect ke Amazon Athena menggunakan antarmuka VPC endpoint
Anda dapat meningkatkan postur keamanan VPC Anda dengan menggunakan antarmuka VPC [endpoint ()AWS PrivateLink dan titik akhir VPC](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html) di Virtual Private Cloud ([AWS Glue VPC](https://docs.aws.amazon.com/glue/latest/dg/vpc-endpoint.html)) Anda. Endpoint VPC antarmuka meningkatkan keamanan dengan memberi Anda kontrol atas tujuan apa yang dapat dicapai dari dalam VPC Anda. Setiap titik akhir VPC diwakili oleh satu atau lebih [antarmuka jaringan Elastic](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-eni.html) (ENIs) dengan alamat IP pribadi di subnet VPC Anda.
Titik akhir VPC antarmuka menghubungkan VPC Anda langsung ke Athena tanpa gateway internet, perangkat NAT, koneksi VPN, atau koneksi. Direct Connect Instans dalam VPC Anda tidak memerlukan alamat IP publik untuk berkomunikasi dengan API Athena.
Untuk menggunakan Athena melalui VPC Anda, Anda harus terhubung dari sebuah instans yang ada di dalam VPC atau menghubungkan jaringan privat Anda ke VPC Anda dengan menggunakan Amazon Virtual Private Network (VPN) atau Direct Connect. Untuk informasi tentang Amazon VPN, lihat [Koneksi VPN](https://docs.aws.amazon.com/vpc/latest/userguide/vpn-connections.html) di *Panduan Pengguna Amazon Virtual Private Cloud*. Untuk selengkapnya AWS Direct Connect, lihat [Membuat sambungan](https://docs.aws.amazon.com/directconnect/latest/UserGuide/create-connection.html) di *Panduan Direct Connect Pengguna*.
[Athena mendukung titik akhir VPC di semua tempat Wilayah AWS Amazon [VPC](https://docs.aws.amazon.com/general/latest/gr/rande.html#vpc_region) dan Athena tersedia.](https://docs.aws.amazon.com/general/latest/gr/rande.html#athena)
Anda dapat membuat titik akhir VPC antarmuka untuk terhubung ke Athena menggunakan perintah or (). Konsol Manajemen AWS AWS Command Line Interface AWS CLI Untuk informasi selengkapnya, lihat [Membuat titik akhir antarmuka](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html#create-interface-endpoint).
Setelah Anda membuat titik akhir VPC antarmuka, jika Anda mengaktifkan nama host [DNS pribadi](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html#vpce-private-dns) untuk titik akhir, titik akhir Athena default (https://athena. *Region*.amazonaws.com) menyelesaikan ke titik akhir VPC Anda.
Jika Anda tidak mengaktifkan nama host DNS privat, Amazon VPC menyediakan nama titik akhir DNS yang dapat Anda gunakan dalam format berikut:
```
VPC_Endpoint_ID.athena.Region.vpce.amazonaws.com
```
Untuk informasi selengkapnya, lihat [Titik akhir VPC Antarmuka (AWS PrivateLink) di Panduan](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html) Pengguna Amazon *VPC*.
Athena mendukung panggilan ke semua [tindakan API-nya](https://docs.aws.amazon.com/athena/latest/APIReference/API_Operations.html) di dalam VPC Anda.
## Membuat kebijakan titik akhir VPC untuk Athena
Anda dapat membuat kebijakan untuk titik akhir VPC Amazon untuk Athena untuk menentukan batasan seperti berikut:
+ **Principal** — Prinsipal yang dapat melakukan tindakan.
+ **Tindakan** — Tindakan yang dapat dilakukan.
+ **Sumber daya** — Sumber daya di mana tindakan dapat dilakukan.
+ **Hanya identitas tepercaya** — Gunakan `aws:PrincipalOrgId` kondisi untuk membatasi akses hanya ke kredensyal yang merupakan bagian dari organisasi Anda. AWS Ini dapat membantu mencegah akses oleh kepala sekolah yang tidak diinginkan.
+ **Hanya sumber daya tepercaya** — Gunakan `aws:ResourceOrgId` kondisi untuk mencegah akses ke sumber daya yang tidak diinginkan.
+ **Hanya identitas dan sumber daya tepercaya** — Buat kebijakan gabungan untuk titik akhir VPC yang membantu mencegah akses ke prinsip dan sumber daya yang tidak diinginkan.
*Untuk informasi selengkapnya, lihat [Mengontrol akses ke layanan dengan titik akhir VPC](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints-access.html) di *Panduan Pengguna Amazon VPC* dan Lampiran [2 — Contoh kebijakan titik akhir VPC](https://docs.aws.amazon.com/whitepapers/latest/building-a-data-perimeter-on-aws/appendix-2-vpc-endpoint-policy-examples.html) di Whitepaper Membangun perimeter data. AWS AWS*
**Example — Kebijakan titik akhir VPC**
Contoh berikut memungkinkan permintaan oleh identitas organisasi untuk sumber daya organisasi dan memungkinkan permintaan oleh prinsipal AWS layanan.
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowRequestsByOrgsIdentitiesToOrgsResources",
"Effect": "Allow",
"Principal": {
"AWS": "*"
},
"Action": "*",
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:PrincipalOrgID": "my-org-id",
"aws:ResourceOrgID": "my-org-id"
}
}
},
{
"Sid": "AllowRequestsByAWSServicePrincipals",
"Effect": "Allow",
"Principal": {
"AWS": "*"
},
"Action": "*",
"Resource": "*",
"Condition": {
"Bool": {
"aws:PrincipalIsAWSService": "true"
}
}
}
]
}
```
Setiap kali Anda menggunakan kebijakan IAM, pastikan bahwa Anda mengikuti praktik terbaik IAM. Untuk informasi selengkapnya tentang administrator, lihat [Praktik terbaik keamanan di IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) dalam *Panduan Pengguna IAM*.
## Tentang titik akhir VPC di subnet bersama
Anda tidak dapat membuat, mendeskripsikan, memodifikasi, atau menghapus titik akhir VPC di subnet yang dibagikan dengan Anda. Namun, Anda dapat menggunakan titik akhir VPC di subnet yang dibagikan dengan Anda. Untuk informasi tentang berbagi VPC, lihat [Membagikan VPC Anda dengan akun lain di Panduan Pengguna](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-sharing.html) Amazon *VPC*.