RDS Güvenliği: Şifreleme ve Parametre Grupları

RDS, AWS Key Management Service (KMS) kullanarak bekleyen verilerin şifrelenmesini destekler. DB instance oluşturma sırasında şifrelemeyi etkinleştirdiğinizde, temel EBS birimlerindeki tüm veriler, otomatik yedeklemeler, anlık görüntüleri ve Read Replicas belirtilen KMS anahtarı kullanılarak şifrelenir.

Şifreleme oluşturma sırasında etkinleştirilmelidir—mevcut şifrelenmemiş bir instance'ı yerinde şifreleyemezsiniz. Geçici çözüm olarak şifrelenmemiş bir anlık görüntü alın, şifrelemeyi etkinleştirerek kopyalayın ve şifrelenmiş anlık görüntüden geri yükleyin. KMS anahtarı, daha fazla denetim ve denetim kaydı için AWS tarafından yönetilen bir anahtar veya Müşteri Tarafından Yönetilen Anahtar (CMK) olabilir.

Mevcut bir örnekte şifrelemeyi etkinleştiremeyeceğiniz için şu geçiş yolunu izleyin:

1. Şifrelenmemiş örneğin manuel anlık görüntüsünü oluşturun
2. Anlık görüntüyü kopyalayın ve kopyalama sırasında bir KMS anahtarı belirterek şifrelemeyi etkinleştirin
3. Şifrelenmiş anlık görüntüden yeni bir DB örneği geri yükleyin
4. Uygulama uç noktanızı yeni örneğe güncelleyin
5. Eski şifrelenmemiş örneği silin

Yeni şifrelenmiş örneği geçişten önce senkronize tutmak için DMS kullanmadığınız sürece bu yaklaşım bir miktar kesintiye neden olur.

RDS, aktarım sırasında verileri SSL/TLS kullanarak şifreler. Her altyapı, istemci sürücünüzün sunucunun kimliğini doğrulamak için kullandığı, indirilebilir bir CA sertifikası sağlar. SSL bağlantılarını zorunlu kılmak için veritabanı altyapısını şifrelenmemiş bağlantıları reddedecek şekilde yapılandırın.

MySQL için parametre grubunda require_secure_transport = ON parametresini ayarlayın. PostgreSQL için ssl = 1 değerini ve isteğe bağlı olarak SSL dışı bağlantıları tamamen reddetmek üzere rds.force_ssl = 1 değerini ayarlayın. Birçok Java ve Python veritabanı sürücüsü, bağlantı dizesi parametresi olarak sslmode=require değerini de kabul eder.

Parametre grupları, bir RDS örneğine bağladığınız, adlandırılmış altyapı yapılandırma ayarları koleksiyonlarıdır. Bunlar MySQL'de my.cnf veya PostgreSQL'de postgresql.conf dosyasını düzenlemenin RDS karşılığıdır; ancak AWS tarafından yönetilir ve her altyapı ailesi için sürümlendirilir.

AWS, her altyapı sürümü için bir varsayılan parametre grubu sağlar; ancak bu grubun ayarları düzenlenemez. Parametreleri özelleştirmek için bir özel parametre grubu oluşturun, istediğiniz parametreleri değiştirin ve bunu DB örneğinizle ilişkilendirin. Statik parametrelerdeki değişiklikler yeniden başlatma gerektirir; dinamik parametreler ise hemen etkili olur.

Özel bir parametre grubu oluşturduktan sonra tek tek parametreleri modify-db-parameter-group CLI komutunu veya konsolu kullanarak değiştirirsiniz. Parametrelerin bir uygulama yöntemi vardır: immediate (yeniden başlatma olmadan etkili olur) veya pending-reboot (yalnızca bir sonraki örnek yeniden başlatmasından sonra etkili olur).

Sınav için bilinmesi gereken önemli parametreler: max_connections (eşzamanlı bağlantıların sınırı), innodb_buffer_pool_size (MySQL bellek içi önbelleğinin boyutu), log_bin_trust_function_creators (ikili günlüğe yazan saklı işlevlere izin verir) ve rds.force_ssl (PostgreSQL için SSL'yi zorunlu kılar).

Seçenek grupları parametre gruplarına benzer; ancak yapılandırma ayarlarını düzenlemek yerine veritabanı altyapısına yönelik ek özellikleri denetler. Öncelikle Oracle ve SQL Server ile Oracle Application Express (APEX), SQL Server Transparent Data Encryption (TDE) veya SQL Server Active Directory kimlik doğrulaması gibi özellikleri etkinleştirmek için kullanılırlar.

Bir seçenek grubundaki her seçeneğin kendine ait ayarları olabilir. Seçenek grupları her altyapı ailesi için sürümlendirilir ve DB örneğiyle ilişkilendirilmelidir. Açık kaynak altyapılarının çoğunda (MySQL, PostgreSQL, MariaDB) özel seçenek gruplarına nadiren ihtiyaç duyulur.

RDS, MySQL ve PostgreSQL altyapıları için IAM veritabanı kimlik doğrulamasını destekler. Uygulamanız statik bir kullanıcı adı ve parola kullanmak yerine bir IAM rolünü üstlenir ve generate-db-auth-token AWS CLI komutunu veya SDK çağrısını kullanarak geçici bir kimlik doğrulama belirteci (15 dakika geçerli) oluşturur.

Avantajları arasında uzun süre geçerli veritabanı parolalarının kullanılmaması, IAM politikaları aracılığıyla kimlik bilgilerinin otomatik olarak değiştirilmesi ve merkezi erişim denetimi bulunur. Bu özellik için örnekte --enable-iam-database-authentication seçeneğinin etkinleştirilmesi ve bir IAM rolüne eşlenen veritabanı kullanıcısının oluşturulması gerekir.

AWS Secrets Manager, RDS ana parolanızı ve uygulama kimlik bilgilerinizi saklayabilir ve bunları otomatik olarak değiştirebilir. Değiştirme etkinleştirildiğinde Secrets Manager, veritabanı parolasını güncelleyen ve yeni değeri gizli bilgide saklayan bir Lambda işlevini çağırır; uygulamanız en güncel gizli bilgi değerini Secrets Manager API'si üzerinden alır ve böylece her zaman geçerli kimlik bilgilerine sahip olur.

Konsolda bir RDS örneği oluştururken ana kimlik bilgileri için Secrets Manager yönetimini seçebilirsiniz. Bu, kod veya ortam değişkenleri içinde sabit kodlanmış parolaların bulunmasını önler.

RDS örnekleri bir VPC içinde çalışır ve örneğin hangi alt ağlara (birden çok AZ genelinde) yerleştirilebileceğini tanımlamak için DB alt ağ gruplarını kullanır. En iyi uygulama, RDS'yi doğrudan internet erişimi olmayan özel alt ağlara yerleştirmektir.

Güvenlik grupları, hangi IP adreslerinin ve diğer güvenlik gruplarının DB bağlantı noktasına (ör. MySQL için TCP 3306) erişebileceğini denetler. Uygulama katmanının güvenlik grubu, RDS güvenlik grubunda izin verilen tek kaynak olmalıdır; bu, ağ düzeyinde en az ayrıcalık ilkesini uygular. Bir RDS güvenlik grubunda gelen kural olarak hiçbir zaman 0.0.0.0/0 (tüm trafik) yapılandırmayın.

Geliştirilmiş İzleme, işletim sistemi düzeyindeki ölçümleri (CPU, bellek, dosya sistemi, disk G/Ç) her 1–60 saniyede bir CloudWatch Logs'a yayımlar ve varsayılan 60 saniyelik CloudWatch ölçümlerinden daha ayrıntılı bir çözünürlük sağlar. DB ana bilgisayarında çalışan bir aracı kullanır ve SQL Server yansıtma modu dışındaki tüm altyapılarda kullanılabilir.

Veritabanı denetim günlükleri (MySQL için genel sorgu günlüğü ve yavaş sorgu günlüğü; PostgreSQL için pgaudit), uyumluluk analizi amacıyla CloudWatch Logs'a yayımlanabilir. Bunları parametre grupları aracılığıyla etkinleştirin, ardından RDS konsolunda Log exports bölümünden günlük dışa aktarımlarını yapılandırın.

SAA-C03 sınavı için temel RDS güvenlik en iyi uygulamaları:

• Örneği oluştururken bir KMS CMK ile beklemedeki şifrelemeyi etkinleştirin
• Parametre grubu ayarları aracılığıyla aktarım sırasında SSL/TLS'yi zorunlu kılın
• Örnekleri kısıtlayıcı güvenlik gruplarına sahip özel alt ağlara yerleştirin
• Statik parolalardan kaçınmak için IAM veritabanı kimlik doğrulamasını veya Secrets Manager'ı kullanın
• RDS API çağrılarını günlüğe kaydetmek için CloudTrail'i, veritabanı denetim günlükleri için de CloudWatch Logs'u etkinleştirin
• Yanlış yapılandırmaları tespit etmek için AWS Config kurallarını (ör. rds-instance-public-access-check) kullanın

Bu derste ele alınan AWS Solutions Architect (SAA-C03) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: RDS beklemedeki şifreleme için KMS kullanır ve bu şifreleme oluşturma sırasında etkinleştirilmelidir; parametre grupları, aktarım sırasında SSL/TLS'yi zorunlu kılma dahil olmak üzere altyapı yapılandırmasını denetler; ayrıca IAM veritabanı kimlik doğrulaması ve Secrets Manager statik veritabanı parolalarını ortadan kaldırır. Sırada DynamoDB tablolarını, öğelerini ve birincil anahtar tasarımını inceleyeceğiz.