RDS privat minn EC2: l-istess VPC, peering jew xi ħaġa oħra?

Il-laptop tal-iżviluppatur jasal għall-istanza RDS privata permezz tal-VPN tal-persunal, iżda l-applikazzjoni fuq EC2 ma tistax tikkonnettja xejn. Dan mhuwiex deplojament miksur. Il-laptop għandu mina li l-istanza EC2 qatt ma tiret, u «privat» f'RDS ifisser li l-bażi tad-dejta m'għandhiex punt aħħari pubbliku, mhux li l-utenti umani tal-VPN huma l-uniċi sejjieħa permessi. L-applikazzjoni teħtieġ rotta awtorizzata tagħha stess, relazzjoni tagħha stess mal-grupp tas-sigurtà u identità tagħha stess fil-bażi tad-dejta, u l-ordni li biha tagħżel dawn it-tlieta jiffranka l-biċċa l-kbira tad-debugging. Iddeċiedi r-rotta l-ewwel, imbagħad il-permessi, u mbagħad ivverifika mill-ambjent deplojat minflok mill-iskrivanija tiegħek.

Il-VPN tal-laptop mhuwiex ir-rotta tal-applikazzjoni

Kull ma jagħmel il-VPN tal-persunal għan-nies, ma jagħmel xejn għal istanza sakemm dik l-istanza tkun espliċitament parti mill-istess rotta tan-netwerk. Istanza EC2 f'subnet privat tasal għal RDS permezz tar-routing tal-VPC, il-gruppi tas-sigurtà u l-ACLs tan-netwerk. Ma tiretx mina umana, sessjoni umana jew kredenzjali umani, u m'għandhiex: il-konnettività tal-applikazzjoni mingħajr superviżjoni u l-aċċess mill-bogħod tal-persunal għandhom jaħdmu indipendentement.

Din l-indipendenza hija vantaġġ. Meta l-VPN ikun waqaf, l-applikazzjoni tkompli taħdem. Meta l-applikazzjoni tinġib ruħha ħażin, ħadd ma jitlef l-aċċess mill-bogħod tiegħu. Disinji li jgħaqqdu t-tnejn fi rotta waħda normalment jiġu skoperti waqt inċident, fl-agħar mument possibbli.

Deċiżjoni 1: l-istess VPC, rotta diretta

Meta l-applikazzjoni u l-bażi tad-dejta jkunu fl-istess VPC b'routing dirett u mingħajr kaxxa ta' spezzjoni bejniethom, ir-rotta hija sempliċi u r-referenza tal-grupp tas-sigurtà hija l-aktar għodda qawwija disponibbli. Agħti lill-applikazzjoni l-grupp tagħha stess, imbagħad ippermetti l-port tal-bażi tad-dejta minn dak il-grupp minflok minn firxa ta' indirizzi:

aws ec2 authorize-security-group-ingress --group-id sg-0db123   --protocol tcp --port 5432 --source-group sg-0app456

aws rds describe-db-instances --db-instance-identifier prod-db   --query 'DBInstances[0].{Endpoint:Endpoint.Address,Port:Endpoint.Port,Public:PubliclyAccessible,Groups:VpcSecurityGroups}'

Il-port huwa illustrattiv u għandu jaqbel mal-magna. Referenza ta' grupp tawtorizza traffiku mill-istanzi tal-applikazzjoni; ma tikkopjax ir-regoli tagħhom u ma toħloqx login fil-bażi tad-dejta. Żewġ problemi separati, żewġ soluzzjonijiet separati.

Imbagħad iċċekkja l-bqija tar-rotta minflok ma tieqaf fir-regola li għadek kemm żidt. Il-politika tal-ħruġ tal-applikazzjoni, is-sett sħiħ tal-gruppi mwaħħla mal-bażi tad-dejta, it-tabelli tar-rotta tas-subnet u kwalunkwe ACL tan-netwerk għandhom jaqblu kollha. Ir-regoli tal-gruppi tas-sigurtà huma stateful, filwaqt li ACL tan-netwerk personalizzat għandu jippermetti t-talba u t-traffiku tar-ritorn f'regoli separati, inklużi l-portijiet effimeri. Regola ġdida dejqa tal-bażi tad-dejta lanqas ma tħassar permess wiesa' preċedenti li kien diġà mwaħħal.

Deċiżjoni 2: VPC differenti jew kont differenti

Jekk l-applikazzjoni tinsab fi VPC differenti, is-sidien tan-netwerk jagħżlu interkonnessjoni privata appoġġjata: peering, disinn ta' transitu jew arranġament ta' VPC maqsuma. Imbagħad iż-żewġ direzzjonijiet tar-routing iridu jkunu jeżistu, is-soluzzjoni tal-ismijiet trid taħdem għall-punt aħħari ta' RDS, u s-sors li tevalwa l-politika tal-bażi tad-dejta għandu jaqbel ma' dak li tassew jasal. Ismijiet ta' kont li jaqblu jew relazzjoni ta' fatturazzjoni maqsuma ma jipprovdu xejn minn dan.

Ir-referenza tal-grupp tas-sigurtà hija l-parti li tvarja. Taħdem f'diversi disinji ta' interkonnessjoni privata, iżda tieqaf taħdem fil-mument li kaxxa intermedja terġa' tikteb is-sors jew ttemm il-konnessjoni, għax il-bażi tad-dejta mbagħad tara l-kaxxa intermedja u mhux il-grupp tal-applikazzjoni tiegħek. L-xenarji VPC ta' RDS jisseparaw l-aċċess fl-istess VPC mill-arranġamenti l-oħra, u jiswa li tiċċekkja t-topoloġija speċifika tiegħek kontrihom qabel ma tassumi li stil ta' regola jiġi trasferit.

Issolvix rotta nieqsa billi tagħmel il-bażi tad-dejta aċċessibbli pubblikament. Dik hija deċiżjoni ta' espożizzjoni differenti b'sid differenti, u normalment tipproponiha min huwa l-aktar 'il bogħod mill-konsegwenza.

Deċiżjoni 3: liema identità taċċetta l-bażi tad-dejta

L-aċċess tan-netwerk u l-awtentikazzjoni tal-bażi tad-dejta huma saffi separati, u l-għaqda tagħhom tipproduċi l-aktar żbalji qarrieqa. Ir-rwol tal-istanza huwa identità AWS biex issejjaħ l-APIs ta' AWS. Mhuwiex utent tal-bażi tad-dejta. L-awtentikazzjoni tal-bażi tad-dejta bl-IAM hija funzjoni appoġġjata fejn il-magna u l-konfigurazzjoni jippermettu, u għadha mmappjar għal utent tal-bażi tad-dejta, mhux sostitut.

Uża l-isem tal-punt aħħari ta' RDS fil-konfigurazzjoni tal-applikazzjoni minflok indirizz maqbud minn tfittxija waħda. Il-failover Multi-AZ ibiddel l-indirizz wara dak l-isem, u applikazzjoni mwaħħla ma' IP se tfalli eżatt fil-mument li tkun meħtieġa. Ħalli l-verifika TLS tal-magna mixgħula minflok ma titfiha biex żball jisparixxi, għax falliment ta' verifika jgħidlek xi ħaġa dwar il-punt aħħari li wasalt għalih.

Imbagħad agħti lill-kont tal-bażi tad-dejta l-minimu li teħtieġ l-applikazzjoni, fl-iskema li tassew tuża. Dak ix-xogħol huwa boring, huwa awditabbli, u huwa l-parti li se tistaqsi dwarha reviżjoni ta' inċident.

Ivverifika mill-ambjent deplojat

Ittestja mill-istanza jew minn kompitu li jaħdem bl-istess grupp, subnet u rwol. Erba' fallimenti jidhru simili minn laptop u huma faċli li jiġu distinti minn hemm: isem li ma jiġix solvut, konnessjoni li tispiċċa, falliment ta' validazzjoni TLS u login tal-bażi tad-dejta miċħud. Kull wieħed jindika konfini differenti, u li tbiddel l-espożizzjoni tal-bażi tad-dejta qabel ma tkun taf liema għandek huwa stima.

psql "host=prod-db.abc123.eu-west-1.rds.amazonaws.com port=5432 dbname=app sslmode=verify-full" -c 'select 1'

Jekk il-konnessjoni tirnexxi mill-istanza u tfalli mill-iskrivanija tiegħek, ir-rotta tal-applikazzjoni hija tajba u l-aċċess tiegħek huwa dak li għandu jiġi rranġat. Jekk tfalli mit-tnejn, ibda bil-kontrolli tal-grupp u tar-rotta hawn fuq minflok mal-kredenzjali. Dik il-paragun waħda tipprevjeni l-biċċa l-kbira tal-ħawħa li joħolqu dawn it-tikketti.