Keamanan RDS: Enkripsi dan Grup Parameter

RDS mendukung enkripsi saat tidak digunakan menggunakan AWS Key Management Service (KMS). Saat Anda mengaktifkan enkripsi ketika membuat instans DB, semua data pada volume EBS dasar, pencadangan otomatis, snapshot, dan Read Replicas dienkripsi menggunakan kunci KMS yang ditentukan.

Enkripsi harus diaktifkan saat pembuatan—Anda tidak dapat mengenkripsi instans tidak terenkripsi yang sudah ada secara langsung. Solusinya adalah membuat snapshot yang tidak terenkripsi, menyalinnya dengan enkripsi diaktifkan, lalu memulihkan dari snapshot terenkripsi tersebut. Kunci KMS dapat berupa kunci yang dikelola AWS atau Customer-Managed Key (CMK) untuk kontrol dan audit tambahan.

Karena Anda tidak dapat mengaktifkan enkripsi pada instans yang sudah ada, ikuti jalur migrasi berikut:

1. Buat snapshot manual dari instans yang belum terenkripsi
2. Salin snapshot tersebut dan aktifkan enkripsi selama proses penyalinan dengan menentukan kunci KMS
3. Pulihkan instans DB baru dari snapshot yang telah dienkripsi
4. Perbarui endpoint aplikasi Anda agar mengarah ke instans baru
5. Hapus instans lama yang belum terenkripsi

Pendekatan ini menyebabkan sedikit waktu henti, kecuali Anda menggunakan DMS untuk menjaga instans baru yang terenkripsi tetap tersinkronisasi sebelum pengalihan.

RDS mengenkripsi data saat transit menggunakan SSL/TLS. Setiap mesin basis data menyediakan sertifikat CA yang dapat diunduh dan digunakan oleh driver klien untuk memverifikasi identitas server. Untuk mewajibkan koneksi SSL, konfigurasikan mesin basis data agar menolak koneksi yang tidak terenkripsi.

Untuk MySQL, tetapkan parameter require_secure_transport = ON di grup parameter. Untuk PostgreSQL, tetapkan ssl = 1 dan, jika diperlukan, rds.force_ssl = 1 untuk sepenuhnya menolak koneksi non-SSL. Banyak driver basis data Java dan Python juga menerima parameter string koneksi sslmode=require.

Grup parameter adalah kumpulan bernama dari pengaturan konfigurasi mesin basis data yang Anda lampirkan ke instans RDS. Grup ini setara dengan mengedit my.cnf pada MySQL atau postgresql.conf pada PostgreSQL, tetapi dikelola oleh AWS dan diberi versi berdasarkan keluarga mesin basis data.

AWS menyediakan grup parameter default untuk setiap versi mesin basis data, tetapi pengaturannya tidak dapat diedit. Untuk menyesuaikan parameter, buat grup parameter khusus, ubah parameter yang diinginkan, lalu kaitkan grup tersebut dengan instans DB Anda. Perubahan pada parameter statis memerlukan mulai ulang; parameter dinamis langsung berlaku.

Setelah membuat grup parameter khusus, Anda dapat mengubah parameter individual menggunakan perintah CLI modify-db-parameter-group atau konsol. Parameter memiliki metode penerapan: segera (berlaku tanpa mulai ulang) atau menunggu mulai ulang (baru berlaku setelah instans dimulai ulang berikutnya).

Parameter penting yang perlu Anda ketahui untuk ujian: max_connections (membatasi koneksi bersamaan), innodb_buffer_pool_size (ukuran tembolok dalam memori MySQL), log_bin_trust_function_creators (mengizinkan fungsi tersimpan yang menulis ke log biner), dan rds.force_ssl (memaksa SSL untuk PostgreSQL).

Grup opsi mirip dengan grup parameter, tetapi mengontrol fitur tambahan untuk mesin basis data, bukan penyetelan konfigurasi. Grup ini terutama digunakan dengan Oracle dan SQL Server untuk mengaktifkan fitur seperti Oracle Application Express (APEX), SQL Server Transparent Data Encryption (TDE), atau autentikasi Active Directory SQL Server.

Setiap opsi dalam grup opsi dapat memiliki pengaturannya sendiri. Grup opsi diberi versi berdasarkan keluarga mesin basis data dan harus dikaitkan dengan instans DB. Sebagian besar mesin sumber terbuka (MySQL, PostgreSQL, MariaDB) jarang memerlukan grup opsi khusus.

RDS mendukung autentikasi basis data IAM untuk mesin MySQL dan PostgreSQL. Sebagai pengganti nama pengguna dan kata sandi statis, aplikasi Anda mengambil peran IAM lalu membuat token autentikasi sementara (berlaku selama 15 menit) menggunakan perintah AWS CLI generate-db-auth-token atau pemanggilan SDK.

Manfaatnya mencakup tidak adanya kata sandi basis data yang berlaku lama, rotasi kredensial otomatis melalui kebijakan IAM, serta kontrol akses terpusat. Fitur ini mengharuskan Anda mengaktifkan --enable-iam-database-authentication pada instans dan membuat pengguna basis data yang dipetakan ke peran IAM.

AWS Secrets Manager dapat menyimpan dan merotasi kata sandi utama RDS serta kredensial aplikasi secara otomatis. Saat rotasi diaktifkan, Secrets Manager memanggil fungsi Lambda yang memperbarui kata sandi basis data dan menyimpan nilai baru dalam secret—aplikasi Anda mengambil nilai secret terbaru melalui API Secrets Manager, sehingga selalu memiliki kredensial yang valid.

Saat membuat instans RDS melalui konsol, Anda dapat memilih pengelolaan kredensial utama oleh Secrets Manager. Dengan demikian, Anda tidak perlu menulis kata sandi secara langsung di dalam kode atau variabel lingkungan.

Instans RDS berjalan di dalam VPC dan menggunakan grup subnet DB untuk menentukan subnet mana (di beberapa zona ketersediaan) yang dapat digunakan sebagai tempat instans. Praktik terbaiknya adalah menempatkan RDS di subnet privat tanpa akses internet langsung.

Grup keamanan mengontrol alamat IP dan grup keamanan lain yang dapat mengakses port DB (misalnya TCP 3306 untuk MySQL). Grup keamanan tingkat aplikasi seharusnya menjadi satu-satunya sumber yang diizinkan pada grup keamanan RDS, sehingga hak akses paling rendah pada tingkat jaringan dapat diterapkan. Jangan pernah mengonfigurasi 0.0.0.0/0 (semua lalu lintas) sebagai aturan masuk pada grup keamanan RDS.

Pemantauan Lanjutan memublikasikan metrik tingkat OS (CPU, memori, sistem file, I/O disk) ke Log CloudWatch setiap 1–60 detik, sehingga memberikan perincian yang lebih tinggi daripada metrik CloudWatch default setiap 60 detik. Fitur ini menggunakan agen yang berjalan pada host DB dan tersedia untuk semua mesin, kecuali mode pencerminan SQL Server.

Log audit basis data (log kueri umum dan log kueri lambat untuk MySQL; pgaudit untuk PostgreSQL) dapat dipublikasikan ke Log CloudWatch untuk analisis kepatuhan. Aktifkan fitur ini melalui grup parameter, lalu konfigurasikan ekspor log di konsol RDS pada bagian Ekspor log.

Praktik terbaik keamanan RDS utama untuk ujian SAA-C03:

• Aktifkan enkripsi saat tidak digunakan dengan CMK KMS saat membuat instans
• Wajibkan SSL/TLS saat transit melalui pengaturan grup parameter
• Tempatkan instans di subnet privat dengan grup keamanan yang ketat
• Gunakan autentikasi basis data IAM atau Secrets Manager untuk menghindari kata sandi statis
• Aktifkan CloudTrail untuk mencatat panggilan API RDS dan Log CloudWatch untuk log audit basis data
• Gunakan aturan AWS Config (misalnya rds-instance-public-access-check) untuk mendeteksi kesalahan konfigurasi

Uji pemahaman Anda tentang konsep AWS Solutions Architect (SAA-C03) dari pelajaran ini.

Dalam pelajaran ini, Anda telah mempelajari bahwa enkripsi RDS saat tidak digunakan menggunakan KMS dan harus diaktifkan saat pembuatan, grup parameter mengontrol konfigurasi mesin basis data termasuk penerapan SSL/TLS saat transit, serta autentikasi basis data IAM dan Secrets Manager menghilangkan kebutuhan akan kata sandi basis data statis. Selanjutnya, kita akan membahas tabel, item, dan desain kunci primer DynamoDB.