MariaDB-Sicherheit bei Amazon RDS

Die Sicherheit von MariaDB DB-Instancen wird auf drei Ebenen verwaltet:

• AWS Identity and Access Management steuert, wer RDS Amazon-Verwaltungsaktionen auf DB-Instances ausführen kann. Wenn Sie AWS mithilfe von IAM Anmeldeinformationen eine Verbindung herstellen, muss Ihr IAM Konto über IAM Richtlinien verfügen, die die für die Durchführung von RDS Amazon-Verwaltungsvorgängen erforderlichen Berechtigungen gewähren. Weitere Informationen finden Sie unter Identitäts- und Zugriffsmanagement für Amazon RDS.

• Wenn Sie eine DB-Instance erstellen, verwenden Sie eine VPC Sicherheitsgruppe, um zu steuern, welche Geräte und EC2 Amazon-Instances Verbindungen zum Endpunkt und Port der DB-Instance öffnen können. Diese Verbindungen können mit Secure Socket Layer (SSL) und Transport Layer Security (TLS) hergestellt werden. Zusätzlich können Firewall-Regeln in Ihrem Unternehmen steuern, ob Geräte in Ihrem Unternehmen bestehende Verbindungen zur DB-Instance öffnen können.

• Sobald eine Verbindung zu einer MariaDB DB-Instance geöffnet worden ist, erfolgt die Authentifizierung der Anmeldung und Berechtigungen werden auf die gleiche Weise, wie bei einer eigenständigen Instance von MariaDB angewendet. Befehle wie CREATE USER, RENAME USER, GRANT, REVOKE, und SET PASSWORD arbeiten genauso wie es bei eigenständigen Datenbanken der Fall ist, wie auch das direkte Ändern der Datenbankschematabellen.

Wenn Sie eine RDS Amazon-DB-Instance erstellen, hat der Master-Benutzer die folgenden Standardberechtigungen:

• alter

• alter routine

• create

• create routine

• create temporary tables

• create user

• create view

• delete

• drop

• event

• execute

• grant option

• index

• insert

• lock tables

• process

• references

• reload

  Dieses Privileg ist auf MariaDB DB-Instancen begrenzt. Es gewährt keinen Zugriff auf die FLUSH LOGS FLUSH TABLES WITH READ LOCK OR-Operationen.

• replication client

• replication slave

• select

• show create routine

  Dieses Recht gilt nur für MariaDB-DB-Instances, auf denen Version 11.4 und höher ausgeführt wird.

• show databases

• show view

• trigger

• update

Weitere Informationen zu diesen Berechtigungen finden Sie unter Benutzerkontenmanagement in der MariaDB Dokumentation.

Anmerkung

Obwohl Sie der Master-Benutzer einer DB-Instance löschen können, empfehlen wir, dies nicht zu tun. Um den Masterbenutzer neu zu erstellen, verwenden Sie ModifyDBInstance API oder modify-db-instance AWS CLI und geben Sie ein neues Masterbenutzerpasswort mit dem entsprechenden Parameter an. Wenn der Masterbenutzer nicht bereits in der Instance vorhanden ist, wird der Masterbenutzer mit dem angegebenen Passwort erstellt.

Um Verwaltungsdienste für jede DB-Instance bereitzustellen, wird der rdsadmin-Benutzer erstellt, wenn die DB-Instance erstellt wird. Ein Versuch, das Passwort auszulassen oder umzubenennen, oder Berechtigungen für das rdsadmin Konto zu ändern, führt zu einem Fehler.

Um die Verwaltung der DB-Instance zu erlauben, wurden die Befehle kill und kill_query beschränkt. Die RDS Amazon-Befehle mysql.rds_killmysql.rds_kill_query, und mysql.rds_kill_query_id werden für die Verwendung in MariaDB und auch in My bereitgestellt, SQL sodass Sie Benutzersitzungen oder Abfragen auf DB-Instances beenden können.