Amazon Database Migration Service 中的基础设施安全性

创建接口端点以在单个 VPC 中访问 DMS

1. 登录到 Amazon Web Services Management Console，然后通过以下网址打开 Amazon VPC 控制台：https://console.aws.amazon.com/vpc/。

2. 在导航窗格中，选择端点。将打开创建端点页面，您可以在其中创建从 VPC 到 Amazon DMS 的接口端点。

3. 选择Amazon服务，然后搜索并为服务名称选择一个值，在本例中 Amazon DMS 为以下形式。

   com.amazonaws.region.dms

   此处，region 指的是 Amazon DMS 运行的 Amazon 区域，例如 com.amazonaws.us-west-2.dms。

4. 对于 VPC，选择要从其中创建接口端点的 VPC，例如 vpc-12abcd34。

5. 为可用区和子网 ID 选择值。这些值应该表示所选 Amazon DMS 端点可以运行的位置，例如 us-west-2a (usw2-az1) 和 subnet-ab123cd4。

6. 选择启用 DNS 名称，以创建带有 DNS 名称的端点。此 DNS 名称由端点 ID (vpce-12abcd34efg567hij) 和随机字符串 (ab12dc34) 组成，中间用连字符连接。它们与服务名称之间用点分隔开，服务名称采用反向点分隔，并增加了 vpce (dms.us-west-2.vpce.amazonaws.com)。

   例如，vpce-12abcd34efg567hij-ab12dc34.dms.us-west-2.vpce.amazonaws.com。

7. 对于安全组，选择要用于端点的组。

   设置安全组时，请确保允许来自安全组内部的出站 HTTPS 调用。有关更多信息，请参阅《Amazon VPC 用户指南》中的创建安全组。

8. 对于策略，选择完全访问权限或自定义值。例如，您可以选择类似以下代码的自定义策略，限制端点对某些操作和资源的访问权限。

   {
     "Statement": [
       {
         "Action": "dms:*",
         "Effect": "Allow",
         "Resource": "*",
         "Principal": "*"
       },
       {
         "Action": [
           "dms:ModifyReplicationInstance",
           "dms:DeleteReplicationInstance"
         ],
         "Effect": "Deny",
         "Resource": "arn:aws:dms:us-west-2:<account-id>:rep:<replication-instance-id>",
         "Principal": "*"
       }
     ]
   }

   此处的示例策略允许任何 Amazon DMS API 调用，但删除或修改特定复制实例除外。