RDS-beveiliging: versleuteling en parameter groups

RDS versleutelt gegevens tijdens transport met SSL/TLS. Elke engine biedt een downloadbaar CA-certificaat dat je clientstuurprogramma gebruikt om de identiteit van de server te verifiëren. Configureer de database-engine zo dat deze niet-versleutelde verbindingen weigert om SSL-verbindingen af te dwingen.

Stel voor MySQL de parameter require_secure_transport = ON in de parametergroep in. Stel voor PostgreSQL ssl = 1 in en optioneel rds.force_ssl = 1 om niet-SSL-verbindingen volledig te weigeren. Veel Java- en Python-databasestuurprogramma's accepteren ook een verbindingsreeksparameter sslmode=require.

Parametergroepen zijn benoemde verzamelingen configuratie-instellingen van een engine die je aan een RDS-instantie koppelt. Ze zijn het RDS-equivalent van het bewerken van my.cnf in MySQL of postgresql.conf in PostgreSQL, maar worden beheerd door AWS en per enginefamilie van een versie voorzien.

AWS biedt voor elke engineversie een standaardparametergroep, maar de instellingen daarvan kunnen niet worden bewerkt. Maak een aangepaste parametergroep, wijzig de gewenste parameters en koppel deze aan je DB-instantie om parameters aan te passen. Voor wijzigingen aan statische parameters is een herstart vereist; dynamische parameters worden onmiddellijk actief.

Nadat je een aangepaste parametergroep hebt gemaakt, wijzig je afzonderlijke parameters met de CLI-opdracht modify-db-parameter-group of in de console. Parameters hebben een toepassingsmethode: immediate (wordt zonder herstart actief) of pending-reboot (wordt pas na de volgende herstart van de instantie actief).

Belangrijke parameters voor het examen zijn: max_connections (beperkt gelijktijdige verbindingen), innodb_buffer_pool_size (grootte van de geheugencache van MySQL), log_bin_trust_function_creators (staat opgeslagen functies toe die naar het binaire logboek schrijven) en rds.force_ssl (dwingt SSL af voor PostgreSQL).

Optiegroepen lijken op parametergroepen, maar beheren uitbreidingsfuncties voor de database-engine in plaats van configuratieafstemming. Ze worden voornamelijk gebruikt met Oracle en SQL Server om functies in te schakelen zoals Oracle Application Express (APEX), SQL Server Transparent Data Encryption (TDE) of SQL Server Active Directory-authenticatie.

Elke optie in een optiegroep kan eigen instellingen hebben. Optiegroepen zijn per enginefamilie van een versie voorzien en moeten aan de DB-instantie worden gekoppeld. Voor de meeste opensource-engines (MySQL, PostgreSQL, MariaDB) zijn aangepaste optiegroepen zelden nodig.

RDS ondersteunt IAM-database-authenticatie voor MySQL- en PostgreSQL-engines. In plaats van een statische gebruikersnaam en een statisch wachtwoord neemt je applicatie een IAM-rol aan en genereert deze een tijdelijk authenticatietoken (15 minuten geldig) met de AWS CLI-opdracht generate-db-auth-token of een SDK-aanroep.

Voordelen zijn onder andere dat je geen langdurige databasewachtwoorden nodig hebt, dat referenties automatisch worden geroteerd via IAM-beleidsregels en dat toegangsbeheer centraal kan worden geregeld. Voor deze functie moet je --enable-iam-database-authentication inschakelen op de instantie en een databasegebruiker maken die aan een IAM-rol is gekoppeld.

AWS Secrets Manager kan het hoofdwachtwoord van je RDS-instantie en de referenties van je applicatie opslaan en automatisch roteren. Wanneer rotatie is ingeschakeld, roept Secrets Manager een Lambda-functie aan die het databasewachtwoord bijwerkt en de nieuwe waarde in het geheim opslaat. Je applicatie haalt de meest recente geheime waarde op via de Secrets Manager-API en beschikt daardoor altijd over geldige referenties.

Wanneer je in de console een RDS-instantie maakt, kun je ervoor kiezen om het beheer van de hoofdreferenties aan Secrets Manager over te laten. Hierdoor zijn hardgecodeerde wachtwoorden in code of omgevingsvariabelen niet meer nodig.

RDS-instanties worden binnen een VPC uitgevoerd en gebruiken DB-subnetgroepen om te bepalen in welke subnetten (verspreid over meerdere AZ's) de instantie kan worden geplaatst. Het is best practice om RDS in privésubnetten zonder directe internettoegang te plaatsen.

Beveiligingsgroepen bepalen welke IP-adressen en andere beveiligingsgroepen toegang hebben tot de DB-poort (bijvoorbeeld TCP 3306 voor MySQL). De beveiligingsgroep van de applicatielaag moet de enige toegestane bron zijn in de RDS-beveiligingsgroep, zodat minimale toegangsrechten op netwerkniveau worden afgedwongen. Configureer nooit 0.0.0.0/0 (alle verkeer) als inkomende regel in een RDS-beveiligingsgroep.

Enhanced Monitoring publiceert metrische gegevens op besturingssysteemniveau (CPU, geheugen, bestandssysteem en schijf-I/O) elke 1–60 seconden naar CloudWatch Logs. Hierdoor is de granulariteit hoger dan bij de standaardmetrische gegevens van CloudWatch, die elke 60 seconden worden gepubliceerd. De functie gebruikt een agent die op de DB-host draait en is beschikbaar voor alle engines behalve de mirroringmodus van SQL Server.

Auditlogboeken van databases (algemeen querylogboek en langzaam-querylogboek voor MySQL; pgaudit voor PostgreSQL) kunnen voor compliance-analyse naar CloudWatch Logs worden gepubliceerd. Schakel deze in via parametergroepen en configureer vervolgens de logboekexports in de RDS-console onder Logboekexports.

Belangrijke aanbevolen RDS-beveiligingsprocedures voor het SAA-C03-examen:

• Schakel versleuteling in rust met een KMS CMK in wanneer je de instantie maakt
• Dwing SSL/TLS tijdens transport af via instellingen in de parametergroep
• Plaats instanties in privésubnetten met strenge beveiligingsgroepen
• Gebruik IAM-database-authenticatie of Secrets Manager om statische wachtwoorden te vermijden
• Schakel CloudTrail in om RDS-API-aanroepen te loggen en CloudWatch Logs voor auditlogboeken van databases
• Gebruik AWS Config-regels (bijvoorbeeld rds-instance-public-access-check) om verkeerde configuraties te detecteren

In deze les heb je geleerd dat RDS-versleuteling in rust KMS gebruikt en bij het maken moet worden ingeschakeld, dat parametergroepen de engineconfiguratie beheren, waaronder het afdwingen van SSL/TLS tijdens transport, en dat IAM-database-authenticatie en Secrets Manager statische databasewachtwoorden overbodig maken. Hierna bekijken we DynamoDB-tabellen, items en het ontwerp van primaire sleutels.