Amazon Redshift 的 VPC 加密控制

Amazon Redshift 支援 VPC 加密控制，這項安全功能可協助您針對區域內 VPCs內的所有流量，強制執行傳輸中加密。本文件說明如何搭配 Amazon Redshift 叢集和無伺服器工作群組使用 VPC 加密控制。

VPC 加密控制提供集中式控制，以監控和強制執行 VPCs內傳輸中的加密。在強制執行模式中啟用時，可確保所有網路流量都會在硬體層 （使用 AWSNitro System) 或應用程式層 （使用 TLS/SSL) 加密。

Amazon Redshift 與 VPC 加密控制整合，協助您符合醫療保健 (HIPAA)、政府 (FedRAMP) 和金融 (PCI DSS) 等產業的合規要求。

VPC 加密控制如何與 Amazon Redshift 搭配使用

VPC 加密控制以兩種模式運作：

• 監控模式：提供流量加密狀態的可見性，並協助識別允許未加密流量的資源。

• 強制模式：防止建立或使用允許 VPC 內未加密流量的資源。所有流量都必須在硬體層 (Nitro 型執行個體） 或應用程式層 (TLS/SSL) 加密。

使用 VPC 加密控制的需求

執行個體類型需求

Amazon Redshift 需要 Nitro 型執行個體來支援 VPC 加密控制。所有現代 Redshift 執行個體類型都支援必要的加密功能。

SSL/TLS 要求

在強制執行模式下啟用 VPC 加密控制時，必須將 require_ssl 參數設定為 true，且無法停用。這可確保所有用戶端連線都使用加密的 TLS 連線。

遷移至 VPC 加密控制項

對於現有叢集和工作群組

您無法在包含現有 Redshift 叢集或無伺服器工作群組的 VPC 上，以強制執行模式啟用 VPC 加密控制。如果您有現有的叢集或工作群組，請參閱下列步驟以使用加密控制：

1. 建立現有叢集或命名空間的快照

2. 使用強制執行模式中啟用的 VPC 加密控制建立新的 VPC

3. 使用下列其中一個操作，從快照還原至新的 VPC：

   • 對於佈建的叢集：使用 restore-from-cluster-snapshot操作

   • 對於無伺服器：在您的工作群組上使用 restore-from-snapshot操作

在已啟用加密控制的 VPC 中建立新的叢集或工作群組時，需將 require_ssl 參數設為 true。

Amazon Redshift 需要 Nitro 型執行個體來支援 VPC 加密控制。所有現代 Redshift 執行個體類型都支援必要的加密功能。

SSL/TLS 要求

在強制執行模式下啟用 VPC 加密控制時，必須將 require_ssl 參數設定為 true，且無法停用。這可確保所有用戶端連線都使用加密的 TLS 連線。

考量和限制

在 Amazon Redshift 中使用 VPC 加密控制時，請考慮下列事項：

VPC 狀態限制

• 當 VPC 加密控制處於 enforce-in-progress 狀態時，會封鎖叢集和工作群組建立

• 您必須等到 VPC 達到 enforce 模式，才能建立新的資源

SSL 組態

• require_ssl 參數：必須一律true適用於在加密強制執行 VPCs 中建立的叢集和工作群組

• 在加密強制執行的 VPC 中建立叢集或工作群組後，就require_ssl無法在其生命週期內停用

區域可用性

在下列區域中，Amazon Redshift Serverless 的強制執行模式中無法使用此功能：

• 南美洲 (聖保羅)

• 歐洲 (蘇黎世)