確保 Amazon Redshift 叢集在建立時經過加密 - AWS Prescriptive Guidance

本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。

確保 Amazon Redshift 叢集在建立時經過加密

由曼西蘇拉特瓦拉 (AWS) 創作

環境:生產

技術:分析;資料湖;安全性、身分識別、合規性

工作負載:所有其他工作負載

AWS 服務:Amazon Redshift;Amazon SNS;AWS CloudTrail;Amazon CloudWatch;AWS Lambda;Amazon S3

Summary

此模式提供 AWS CloudFormation 範本,可在建立新的 Amazon Redshift 叢集時提供自動通知。

AWS CloudFormation 範本會建立 Amazon CloudWatch Events 事件和 AWS Lambda 函數。此事件會監控任何正在透過 AWS CloudTrail 從快照建立或還原的 Amazon Redshift 叢集。如果在 AWS 帳戶中沒有 AWS Key Management Service (AWS KMS) 或雲端硬體安全模型 (HSM) 加密的情況下建立叢集,CloudWatch 會啟動 Lambda 函數,傳送 Simple Notification Service (Amazon SNS) 通知給您違規。

先決條件和限制

先決條件

  • 作用中的 AWS 帳戶

  • 具有叢集子網路群組和相關安全群組的虛擬私有雲端 (VPC)。

限制

  • AWS CloudFormation 範本範本可部署至CreateClusterRestoreFromClusterSnapshot動作。

Architecture

目標技術堆疊

  • Amazon Redshift

  • AWS CloudTrail

  • Amazon CloudWatch

  • AWS Lambda

  • Amazon Simple Storage Service (Amazon S3)

  • Amazon SNS

目標架構

自動化和擴充

您可以針對不同的 AWS 區域和帳戶多次使用 AWS CloudFormation 範本。您只需要在每個地區或帳戶中執行一次。

Tools

工具

  • Amazon Redshift— Amazon Redshift 是一種在雲端中完全受管的 PB 級資料倉儲服務。Amazon Redshift 與您的資料湖整合,可讓您使用資料為貴公司和客戶取得新見解。

  • AWS CloudTrail— AWS CloudTrail 是一種 AWS 服務,可協助您實作 AWS 帳戶監管、合規、操作稽核和風險稽核。使用者、角色或 AWS 服務所執行的動作會在 CloudTrail 中記錄為事件。 

  • Amazon CloudWatch Events— Amazon CloudWatch Events 會提供近乎即時的系統事件串流,說明 AWS 資源的變動情形。 

  • AWS Lambda— AWS Lambda 支援執行程式碼,無需佈建或管理伺服器。AWS Lambda 只有在需要時才會執行程式碼,可自動從每天數項請求擴展成每秒數千項請求。 

  • Amazon S3— Amazon S3 是可高度擴展的物件儲存服務,可用於各種儲存解決方案,包括網站、行動應用程式、備份和資料湖。

  • Amazon SNS— Amazon SNS 是一種 Web 服務,可協調和管理發佈商和用戶端之間的訊息交付或傳送,包括 Web 伺服器和電子郵件地址。 

Code

  • 專案的 .zip 檔案可作為附件使用。

Epics

任務描述所需技能
定義 S3 儲存貯體。

在 Amazon S3 主控台中選擇或建立 S3 儲存貯體。此 S3 儲存貯體將裝載 Lambda 程式碼 .zip 檔案。S3 儲存貯體必須位於所評估的 Amazon Redshift 叢集所在的同一區域。S3 儲存貯體的名稱不能包含前導斜線。

雲端架構師
任務描述所需技能
將 Lambda 程式碼上傳至 S3 儲存貯體。

將「附件」部分中提供的 Lambda 程式碼上傳至 S3 儲存貯體。S3 儲存貯體必須位於所評估的 Amazon Redshift 叢集所在的同一區域。

雲端架構師
任務描述所需技能
部署 AWS CloudFormation 範本範本。

部署作為此模式附件提供的 AWS CloudFormation 範本。在下一個史詩中,提供參數的值。

雲端架構師
任務描述所需技能
命名 S3 儲存貯體。

輸入您在第一部史詩級中建立的 S3 儲存貯體名稱。

雲端架構師
提供 S3 金鑰。

在 S3 儲存貯體中提供 Lambda 程式碼 .zip 檔案的位置,不含前導斜線 (例如 <directory>/<file-name> .zip)。

雲端架構師
請輸入電子郵件地址。

提供有效的電子郵件地址以接收 Amazon SNS 通知。

雲端架構師
定義記錄層級。

定義 Lambda 函數的記錄層級和頻率。「資訊」指定有關應用程式進度的詳細資訊訊息。「錯誤」指定仍可允許應用程式繼續執行的錯誤事件。「警告」指明潛在有害的狀況。

雲端架構師
任務描述所需技能
確認訂閱。

成功部署範本後,會將訂閱電子郵件傳送至提供的電子郵件地址。您必須確認此電子郵件訂閱才能接收違規通知。

雲端架構師

相關資源

Attachments

attachment.zip