Configuração do IAM

Os fluxos de CDC exigem dois conjuntos separados de permissões do IAM:

Permissões do chamador

A entidade principal do IAM que chama as operações de API do fluxo de CDC precisa de permissões para as ações dsql relevantes e iam:PassRole. A operação CreateStream requer iam:PassRole porque ela transmite o ARN do perfil de serviço para o Aurora DSQL. Veja abaixo um exemplo de política:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DSQLStreamActions",
            "Effect": "Allow",
            "Action": [
                "dsql:CreateStream",
                "dsql:GetStream",
                "dsql:ListStreams",
                "dsql:DeleteStream"
            ],
            "Resource": [
                "arn:aws:dsql:region:your-account-id:cluster/cluster-id",
                "arn:aws:dsql:region:your-account-id:cluster/cluster-id/stream/*"
            ]
        },
        {
            "Sid": "PassServiceRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::your-account-id:role/dsql-cdc-role",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "dsql.amazonaws.com"
                }
            }
        }
    ]
}

O elemento Resource inclui o ARN do cluster (exigido por CreateStream e ListStreams) e o padrão de ARN do fluxo (exigido por GetStream e DeleteStream).

Para obter uma lista completa das permissões necessárias para cada operação, consulte CreateStream, GetStream, DeleteStream e ListStreams na Referência de API do Amazon Aurora DSQL.

Perfil de serviço

O perfil de serviço é o perfil do IAM que o Aurora DSQL assume para gravar registros de CDC em seu destino. Você cria essa função e transmite o ARN no campo targetDefinition.kinesis.roleArn ao chamar CreateStream. O perfil exige uma política de confiança e uma política de permissões.

Política de confiança do perfil de serviço

A política de confiança deve permitir que a entidade principal do serviço do Aurora DSQL assuma o perfil. Para se proteger contra ataques confused deputy, use as chaves de condição aws:SourceAccount e aws:SourceArn.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DSQLAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": "dsql.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "your-account-id"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:dsql:region:your-account-id:cluster/cluster-id/stream/*"
                }
            }
        }
    ]
}

A condição aws:SourceArn restringe o perfil aos fluxos em um cluster específico. Você deve usar o curinga (stream/*) ao criar um fluxo porque o Aurora DSQL ainda não atribuiu o identificador do fluxo. Depois de criar um fluxo, você pode restringir a condição ao ARN exato do fluxo (arn:aws:dsql:region:your-account-id:cluster/cluster-id/stream/stream-id) se o perfil servir a um único fluxo.

Para usar o perfil com fluxos em qualquer cluster em sua conta, use um curinga mais amplo: arn:aws:dsql:region:your-account-id:cluster/*/stream/*.

Para saber mais sobre a prevenção contra ataques confused deputy, consulte Prevenção contra o ataque do “substituto confuso” em todos os serviços neste guia.

Política de permissões do perfil de serviço

A política de permissões concede o acesso ao perfil de serviço para gravar registros em seu fluxo de dados do Kinesis. A política a seguir inclui tanto as permissões de gravação do Kinesis quanto as permissões do AWS KMS. A instrução KMSAccess só será necessária se seu fluxo de dados do Kinesis usar uma chave gerenciada pelo cliente do AWS KMS, mas você pode incluí-la preventivamente para que a adição de uma chave gerenciada pelo cliente não interrompa seu fluxo de CDC posteriormente.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "KinesisAccess",
            "Effect": "Allow",
            "Action": [
                "kinesis:PutRecord",
                "kinesis:PutRecords",
                "kinesis:DescribeStreamSummary",
                "kinesis:ListShards"
            ],
            "Resource": "arn:aws:kinesis:region:your-account-id:stream/kinesis-stream-name"
        },
        {
            "Sid": "KMSAccess",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:*:*:key/*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "kinesis.region.amazonaws.com",
                    "kms:EncryptionContext:aws:kinesis:arn": "arn:aws:kinesis:region:your-account-id:stream/kinesis-stream-name",
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        }
    ]
}

As condições na instrução AWS KMS fornecem as seguintes proteções:

Proteção de dados

O Aurora DSQL usa a Transport Layer Security (TLS) para criptografar dados em trânsito de CDC entre o Aurora DSQL e seu destino. Dentro do limite do Aurora DSQL, o Aurora DSQL criptografa os dados em repouso de CDC usando a chave de criptografia do cluster.

Se o cluster usar uma chave gerenciada pelo cliente do AWS KMS e essa chave ficar inacessível, um fluxo ACTIVE ou IMPAIRED mudará para IMPAIRED com o código de erro CLUSTER_CMK_INACCESSIBLE. Se a chave ficar inacessível antes que o fluxo termine de ser criado, o fluxo mudará diretamente para FAILED.

Para obter uma explicação detalhada sobre criptografia no Aurora DSQL, consulte Criptografia de dados para o Amazon Aurora DSQL neste guia.