Amazon Kinesis Data Streams
开发人员指南
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

Kinesis Data Streams 的安全最佳实践

Amazon Kinesis Data Streams 提供了您在开发和实施自己的安全策略时需要考虑的大量安全功能。以下最佳实践是一般准则,并不代表完整的安全解决方案。由于这些最佳实践可能不适合您的环境或不满足您的环境要求,因此将其视为有用的考虑因素而不是惯例。

实施最低权限访问

在授予权限时,您可以决定谁获得哪些 Kinesis Data Streams 资源的哪些权限。您可以对这些资源启用希望允许的特定操作。因此,您应仅授予执行任务所需的权限。实施最低权限访问对于减小安全风险以及可能由错误或恶意意图造成的影响至关重要。

使用 IAM 角色

创建者和客户端应用程序必须具有有效的凭证来访问 Kinesis 数据流。您不应直接在客户端应用程序或 Amazon S3 存储桶中存储 AWS 凭证。这些是不会自动轮换的长期凭证,如果它们受到损害,可能会对业务产生重大影响。

相反,您应该使用 IAM 角色来管理创建者和客户端应用程序的临时凭证以访问 Kinesis 数据流。在使用角色时,您不必使用长期凭证 (如用户名和密码或访问密钥) 来访问其他资源。

有关更多信息,请参阅 IAM 用户指南中的以下主题:

实施从属资源中的服务器端加密

可以在 Kinesis Data Streams 中加密静态数据和传输中的数据。有关更多信息,请参阅Amazon Kinesis Data Streams 中的数据保护

使用 CloudTrail 监控 API 调用

Kinesis Data Streams 与 AWS CloudTrail 集成,后者是一项服务,它提供 Kinesis Data Streams 中的用户、角色或 AWS 服务所执行操作的记录。

通过使用 CloudTrail 收集的信息,您可以确定向 Kinesis Data Streams 发出了什么请求、发出请求的 IP 地址、何人发出的请求、请求的发出时间以及其他详细信息。

有关更多信息,请参阅使用 AWS CloudTrail 记录 Amazon Kinesis Data Streams API 调用