Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris. # Perlindungan data di Amazon Aurora DSQL Perlindungan data [Model tanggung jawab bersama model](https://aws.amazon.com/compliance/shared-responsibility-model/) berlaku untuk perlindungan data di. Seperti yang dijelaskan dalam model ini, bertanggung jawab untuk melindungi infrastruktur global yang menjalankan semua AWS Cloud. Anda bertanggung jawab untuk mempertahankan kendali atas konten yang di-host pada infrastruktur ini. Anda juga bertanggung jawab atas tugas-tugas konfigurasi dan manajemen keamanan untuk yang Anda gunakan. Lihat informasi yang lebih lengkap tentang privasi data dalam [Pertanyaan Umum Privasi Data](https://aws.amazon.com/compliance/data-privacy-faq/). Lihat informasi tentang perlindungan data di Eropa di pos blog [Model Tanggung Jawab Bersama dan GDPR ](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) di *Blog Keamanan *. Untuk tujuan perlindungan data, kami menyarankan Anda melindungi kredensil dan mengatur pengguna individu dengan AWS IAM Identity Center atau. AWS Identity and Access Management Dengan cara itu, setiap pengguna hanya diberi izin yang diperlukan untuk memenuhi tanggung jawab tugasnya. Kami juga menyarankan supaya Anda mengamankan data dengan cara-cara berikut: + Gunakan autentikasi multi-faktor (MFA) pada setiap akun. + Gunakan SSL/TLS untuk berkomunikasi dengan sumber daya. Kami mensyaratkan TLS 1.2 dan menganjurkan TLS 1.3. + Siapkan API dan pencatatan aktivitas pengguna dengan AWS CloudTrail. Untuk informasi tentang penggunaan jejak untuk menangkap aktivitas, lihat [Bekerja dengan jejak](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html) di *Panduan Pengguna*. + Gunakan solusi enkripsi, bersama dengan semua kontrol keamanan default di dalamnya Layanan AWS. + Gunakan layanan keamanan terkelola tingkat lanjut seperti Amazon Macie, yang membantu menemukan dan mengamankan data sensitif yang disimpan di Amazon S3. **Kami sangat menyarankan agar Anda tidak pernah memasukkan informasi rahasia atau sensitif, seperti alamat email pelanggan Anda, ke dalam tag atau bidang teks bentuk bebas seperti bidang Nama.** Ini termasuk saat Anda bekerja dengan atau lainnya menggunakan konsol, API AWS CLI, atau AWS SDKs. Data apa pun yang Anda masukkan ke dalam tanda atau bidang isian bebas yang digunakan untuk nama dapat digunakan untuk log penagihan atau log diagnostik. Saat Anda memberikan URL ke server eksternal, kami sangat menganjurkan supaya Anda tidak menyertakan informasi kredensial di dalam URL untuk memvalidasi permintaan Anda ke server itu. ## Enkripsi data Amazon Aurora DSQL menyediakan infrastruktur penyimpanan yang sangat tahan lama yang dirancang untuk penyimpanan data utama dan kritis misi. Data disimpan secara berlebihan di beberapa perangkat di beberapa fasilitas di Wilayah Aurora DSQL. ### Enkripsi saat bergerak Secara default, enkripsi dalam perjalanan dikonfigurasi untuk Anda. Aurora DSQL menggunakan TLS untuk mengenkripsi semua lalu lintas antara klien SQL Anda dan Aurora DSQL. Enkripsi dan penandatanganan data dalam transit antara AWS CLI, SDK, atau klien API dan titik akhir Aurora DSQL: + Aurora DSQL menyediakan titik akhir HTTPS untuk mengenkripsi data dalam perjalanan. + Untuk melindungi integritas permintaan API ke Aurora DSQL, panggilan API harus ditandatangani oleh pemanggil. Panggilan ditandatangani oleh sertifikat X.509 atau kunci akses AWS rahasia pelanggan sesuai dengan Proses Penandatanganan Versi Tanda Tangan 4 (Sigv4). Untuk informasi selengkapnya, lihat [Proses Penandatanganan Versi Tanda Tangan 4](https://docs.aws.amazon.com/general/latest/gr/signature-version-4.html) di *Referensi Umum AWS*. + Gunakan AWS CLI atau salah satu AWS SDKs untuk membuat permintaan AWS. Alat-alat ini secara otomatis menandatangani permintaan untuk Anda dengan kunci akses yang Anda tentukan saat Anda mengonfigurasi alat. #### Kepatuhan FIPS Titik akhir jalur data Aurora DSQL (titik akhir cluster yang digunakan untuk koneksi database) menggunakan modul kriptografi tervalidasi FIPS 140-2 secara default. Tidak diperlukan endpoint FIPS terpisah untuk koneksi cluster. Untuk operasi pesawat kontrol, Aurora DSQL menyediakan titik akhir FIPS khusus di wilayah yang didukung. Untuk informasi selengkapnya tentang titik akhir FIPS bidang kontrol, lihat titik akhir dan kuota [Aurora DSQL](https://docs.aws.amazon.com/general/latest/gr/dsql.html) di. *Referensi Umum AWS* Untuk enkripsi saat istirahat, lihat[Enkripsi saat istirahat di Aurora DSQL](data-encryption.md#encryption-at-rest). ### Privasi lalu lintas antar jaringan Koneksi dilindungi baik antara Aurora DSQL dan aplikasi lokal dan antara Aurora DSQL dan sumber daya lain dalam hal yang sama. AWS AWS Region Anda memiliki dua opsi konektivitas antara jaringan pribadi Anda dan AWS: + Koneksi AWS Site-to-Site VPN. Untuk informasi selengkapnya, lihat [Apa itu AWS Site-to-Site VPN?](https://docs.aws.amazon.com/vpn/latest/s2svpn/VPC_VPN.html) + Direct Connect Koneksi. Untuk informasi lebih lanjut, lihat [Apa itu Direct Connect?](https://docs.aws.amazon.com/directconnect/latest/UserGuide/Welcome.html) Anda mendapatkan akses ke Aurora DSQL melalui jaringan dengan menggunakan AWS operasi API yang diterbitkan. Klien harus mendukung hal-hal berikut: + Keamanan Lapisan Pengangkutan (TLS). Kami mensyaratkan TLS 1.2 dan menganjurkan TLS 1.3. + Sandi cocok dengan sistem kerahasiaan maju sempurna (perfect forward secrecy, PFS) seperti DHE (Ephemeral Diffie-Hellman) atau ECDHE (Elliptic Curve Ephemeral Diffie-Hellman). Sebagian besar sistem modern seperti Java 7 dan versi lebih baru mendukung mode-mode ini. ## Perlindungan Data di Daerah Saksi Saat Anda membuat klaster Multi-wilayah, Wilayah saksi membantu mengaktifkan pemulihan kegagalan otomatis dengan berpartisipasi dalam replikasi sinkron transaksi terenkripsi. Jika klaster peered menjadi tidak tersedia, Wilayah saksi tetap tersedia untuk memvalidasi dan memproses penulisan basis data, memastikan tidak ada kehilangan ketersediaan. Wilayah Saksi melindungi dan mengamankan data Anda melalui fitur desain ini: + Wilayah saksi hanya menerima dan menyimpan log transaksi terenkripsi. Itu tidak pernah menghosting, menyimpan, atau mentransmisikan kunci enkripsi Anda. + Wilayah saksi hanya berfokus pada penulisan transaksi logging dan fungsi kuorum. Itu tidak dapat membaca data Anda dengan desain. + Wilayah saksi beroperasi tanpa titik akhir koneksi cluster atau pemroses kueri. Ini mencegah akses basis data pengguna. Untuk informasi lebih lanjut tentang Wilayah saksi, lihat[Mengkonfigurasi cluster Multi-region](configuring-multi-region-clusters.md). # Mengkonfigurasi SSL/TLS sertifikat untuk koneksi Aurora DSQL Sertifikat SSL/TLS Aurora DSQL membutuhkan semua koneksi untuk menggunakan enkripsi Transport Layer Security (TLS). Untuk membuat koneksi aman, sistem klien Anda harus mempercayai Amazon Root Certificate Authority (Amazon Root CA 1). Sertifikat ini sudah diinstal sebelumnya pada banyak sistem operasi. Bagian ini memberikan instruksi untuk memverifikasi sertifikat Amazon Root CA 1 yang sudah diinstal sebelumnya pada berbagai sistem operasi, dan memandu Anda melalui proses menginstal sertifikat secara manual jika belum ada. Kami merekomendasikan menggunakan PostgreSQL versi 17. **penting** Untuk lingkungan produksi, sebaiknya gunakan mode `verify-full` SSL untuk memastikan tingkat keamanan koneksi tertinggi. Mode ini memverifikasi bahwa sertifikat server ditandatangani oleh otoritas sertifikat tepercaya dan bahwa nama host server cocok dengan sertifikat. ## Memverifikasi sertifikat pra-instal Verifikasi **Amazon Root CA 1** Di sebagian besar sistem operasi, **Amazon Root CA 1** sudah diinstal sebelumnya. Untuk memvalidasi ini, Anda dapat mengikuti langkah-langkah di bawah ini. ### Linux (RedHat/CentOS/Fedora) Linux Jalankan perintah berikut di terminal Anda: ``` trust list | grep "Amazon Root CA 1" ``` Jika sertifikat diinstal, Anda melihat output berikut: ``` label: Amazon Root CA 1 ``` ### macOS macOS 1. Buka Pencarian Sorotan (****Perintah\$1Spasi****) 1. Cari Akses **Gantungan Kunci** 1. Pilih **Akar Sistem** di bawah **Gantungan Kunci Sistem** 1. Cari **Amazon Root CA 1** dalam daftar sertifikat ### Windows Windows **catatan** Karena masalah yang diketahui dengan klien Windows psql, menggunakan sertifikat root sistem (`sslrootcert=system`) dapat mengembalikan kesalahan berikut:. `SSL error: unregistered scheme` Anda dapat mengikuti [Menghubungkan dari Windows](#connect-windows) sebagai cara alternatif untuk terhubung ke cluster Anda menggunakan SSL. Jika **Amazon Root CA 1** tidak diinstal di sistem operasi Anda, ikuti langkah-langkah di bawah ini. ## Menginstal sertifikat Instal sertifikat Jika `Amazon Root CA 1` sertifikat tidak diinstal sebelumnya pada sistem operasi Anda, Anda harus menginstalnya secara manual untuk membuat koneksi aman ke cluster Aurora DSQL Anda. ### Instalasi sertifikat Linux Sertifikat Linux Ikuti langkah-langkah ini untuk menginstal sertifikat Amazon Root CA pada sistem Linux. 1. Unduh Sertifikat Root: ``` wget https://www.amazontrust.com/repository/AmazonRootCA1.pem ``` 1. Salin sertifikat ke toko kepercayaan: ``` sudo cp ./AmazonRootCA1.pem /etc/pki/ca-trust/source/anchors/ ``` 1. Perbarui toko kepercayaan CA: ``` sudo update-ca-trust ``` 1. Verifikasi instalasi: ``` trust list | grep "Amazon Root CA 1" ``` ### Instalasi sertifikat macOS sertifikat macOS Langkah-langkah pemasangan sertifikat ini bersifat opsional. Ini [Instalasi sertifikat Linux](#install-linux) juga berfungsi untuk macOS. 1. Unduh Sertifikat Root: ``` wget https://www.amazontrust.com/repository/AmazonRootCA1.pem ``` 1. Tambahkan sertifikat ke gantungan kunci Sistem: ``` sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain AmazonRootCA1.pem ``` 1. Verifikasi instalasi: ``` security find-certificate -a -c "Amazon Root CA 1" -p /Library/Keychains/System.keychain ``` ## Menghubungkan dengan SSL/TLS verifikasi Connect dengan SSL/TLS Sebelum mengonfigurasi SSL/TLS sertifikat untuk koneksi aman ke cluster Aurora DSQL Anda, pastikan Anda memiliki prasyarat berikut. + PostgreSQL versi 17 diinstal + AWS CLI dikonfigurasi dengan kredensil yang sesuai + Informasi titik akhir klaster Aurora DSQL ### Menghubungkan dari Linux Connect dari Linux 1. Hasilkan dan atur token otentikasi: ``` export PGPASSWORD=$(aws dsql generate-db-connect-admin-auth-token --region=your-cluster-region --hostname your-cluster-endpoint) ``` 1. Connect menggunakan sertifikat sistem (jika sudah diinstal sebelumnya): ``` PGSSLROOTCERT=system \ PGSSLMODE=verify-full \ psql --dbname postgres \ --username admin \ --host your-cluster-endpoint ``` 1. Atau, sambungkan menggunakan sertifikat yang diunduh: ``` PGSSLROOTCERT=/full/path/to/root.pem \ PGSSLMODE=verify-full \ psql --dbname postgres \ --username admin \ --host your-cluster-endpoint ``` **catatan** [Untuk selengkapnya tentang pengaturan PGSSLMODE, lihat [sslmode](https://www.postgresql.org/docs/current/libpq-connect.html#LIBPQ-CONNECT-SSLMODE) di dokumentasi PostgreSQL 17 Database Connection Control Functions.](https://www.postgresql.org/docs/current/libpq-connect.html) ### Menghubungkan dari macOS Connect dari macOS 1. Hasilkan dan atur token otentikasi: ``` export PGPASSWORD=$(aws dsql generate-db-connect-admin-auth-token --region=your-cluster-region --hostname your-cluster-endpoint) ``` 1. Connect menggunakan sertifikat sistem (jika sudah diinstal sebelumnya): ``` PGSSLROOTCERT=system \ PGSSLMODE=verify-full \ psql --dbname postgres \ --username admin \ --host your-cluster-endpoint ``` 1. Atau, unduh sertifikat root dan simpan sebagai `root.pem` (jika sertifikat tidak diinstal sebelumnya) ``` PGSSLROOTCERT=/full/path/to/root.pem \ PGSSLMODE=verify-full \ psql —dbname postgres \ --username admin \ --host your_cluster_endpoint ``` 1. Connect menggunakan psql: ``` PGSSLROOTCERT=/full/path/to/root.pem \ PGSSLMODE=verify-full \ psql —dbname postgres \ --username admin \ --host your_cluster_endpoint ``` ### Menghubungkan dari Windows Hubungkan dari Windows #### Menggunakan Command Prompt prompt perintah 1. Hasilkan token otentikasi: ``` aws dsql generate-db-connect-admin-auth-token ^ --region=your-cluster-region ^ --expires-in=3600 ^ --hostname=your-cluster-endpoint ``` 1. Mengatur variabel lingkungan kata sandi: ``` set "PGPASSWORD=token-from-above" ``` 1. Atur konfigurasi SSL: ``` set PGSSLROOTCERT=C:\full\path\to\root.pem set PGSSLMODE=verify-full ``` 1. Connect ke database: ``` "C:\Program Files\PostgreSQL\17\bin\psql.exe" --dbname postgres ^ --username admin ^ --host your-cluster-endpoint ``` #### Menggunakan PowerShell Powershell 1. Hasilkan dan atur token otentikasi: ``` $env:PGPASSWORD = (aws dsql generate-db-connect-admin-auth-token --region=your-cluster-region --expires-in=3600 --hostname=your-cluster-endpoint) ``` 1. Atur konfigurasi SSL: ``` $env:PGSSLROOTCERT='C:\full\path\to\root.pem' $env:PGSSLMODE='verify-full' ``` 1. Connect ke database: ``` "C:\Program Files\PostgreSQL\17\bin\psql.exe" --dbname postgres ` --username admin ` --host your-cluster-endpoint ``` ## Sumber daya tambahan Sumber daya + [Dokumentasi PostgreSQL SSL](https://www.postgresql.org/docs/current/libpq-ssl.html) + [Layanan Amazon Trust](https://www.amazontrust.com/repository/)