amazon-web-services - Bastion 机器后面的 RDS 实例的跨账户 DMS 复制

Question

我在生产帐户中有生产堆栈，在开发帐户中有开发堆栈。堆栈是相同的，设置如下:

• 每个堆栈作为自己的 VPC。
• 在 VPC 中有两个跨越 AZ 的公共(public)子网和两个跨越 AZ 的私有(private)子网。
• 私有(private)子网包含 RDS 实例。
• 公共(public)子网包含一个可以访问 RDS 实例的 Bastion EC2 实例。

要访问 RDS 实例，我必须通过 SSH 连接到 Bastion 机器并从那里访问它，或者我通过 Bastion 创建 SSH 隧道以通过数据库客户端应用程序(如 PGAdmin)访问它。

当前的 DMS 设置:

我希望能够使用 DMS(数据库迁移服务)将 RDS 实例从生产环境复制到开发环境。到目前为止，我正在尝试以下但无法使其正常工作:

在开发 VPC 和生产 VPC 之间创建 VPC 对等连接在 Development VPC 的私有(private)子网中创建复制实例更新开发 VPC 中的私有(private)子网路由表，以通过 VPC 对等连接将流量路由到生产 VPC 的 CIDR确保复制实例的安全组可以访问两个 RDS 实例。

主要问题:

在DMS中创建源端点时，向导只显示来自同一账户和同一区域的RDS实例，并且只允许使用服务器名称和端口配置RDS实例，但是我的堆栈中的RDS实例只能可以使用隧道通过 Bastion 机器访问。因此测试端点连接总是失败。

关于如何实现这种跨账户复制有什么想法吗？

有没有详细介绍如何执行此操作的好的分步博客？我发现了一些，但它们似乎没有位于堡垒机后面的 RDS 实例，因此它们都假定可以使用服务器名称和端口填充端点配置向导。

非常感谢。

Answer 1

当然，对于开发人员/操作访问而言，通过 Bastion 主机保护 RDS 实例是合理的安全做法。

然而，对于 DMS 迁移服务，您应该期望为目标和源 RDS 数据库实例打开安全组，以允许迁移实例访问两者。

来自 AWS 数据库迁移服务的网络安全:

The replication instance must have access to the source and target endpoints. The security group for the replication instance must have network ACLs or rules that allow egress from the instance out on the database port to the database endpoints.

Database endpoints must include network ACLs and security group rules that allow incoming access from the replication instance. You can achieve this using the replication instance's security group, the private IP address, the public IP address, or the NAT gateway’s public address, depending on your configuration.

见 https://docs.aws.amazon.com/dms/latest/userguide/CHAP_Security.Network.html

对于网络寻址和打开 RDS 专用子网，您需要在源和目标上都使用 NAT。它们可以轻松添加，然后在迁移后终止。

You can now use Network Address Translation (NAT) Gateway, a highly available AWS managed service that makes it easy to connect to the Internet from instances within a private subnet in an AWS Virtual Private Cloud (VPC).

见 https://aws.amazon.com/about-aws/whats-new/2015/12/introducing-amazon-vpc-nat-gateway-a-managed-nat-service/