Amazon Redshift dejará de admitir la creación de UDF de Python después del 30 de junio de 2026. Empezaremos a aplicarlo por fases. Para obtener más información sobre los detalles del fin de vida de Python y las opciones de migración, consulte la entrada del blog
Uso de la autenticación de AWS IAM Identity Center con el enrutamiento de VPC mejorado
Cuando el enrutamiento de VPC mejorado está activado, Redshift enruta el tráfico a través de la nube privada virtual (VPC) en lugar de a través de Internet. Esto incluye las llamadas que Redshift realiza para autenticar a un usuario de AWS IAM Identity Center. Esto se aplica si el usuario inicia sesión de forma interactiva o si se conecta con un token de AWS IAM Identity Center obtenido mediante una propagación de identidad de confianza. Para que estas conexiones se realicen correctamente, Redshift debe poder acceder al AWS IAM Identity Center desde la VPC. Los puntos de conexión de VPC de interfaz son la forma recomendada de proporcionar esta conectividad. Permiten que el clúster aprovisionado o grupo de trabajo de Amazon Redshift sin servidor llegue a AWS IAM Identity Center a través de la red de AWS.
importante
Estos requisitos se aplican a cualquier conexión autenticada a través de AWS IAM Identity Center. Los usuarios de IAM y los usuarios de bases de datos locales se autentican mediante diferentes mecanismos y no se ven afectados. Si el enrutamiento de VPC mejorado está desactivado, estos puntos de conexión no son necesarios.
nota
Al cambiar el enrutamiento de VPC mejorado, se reinicia un clúster aprovisionado. Para obtener más información sobre cómo activar el enrutamiento de VPC mejorado, consulte Activación del enrutamiento de VPC mejorado.
Puntos de conexión de VPC de la interfaz
Cree los siguientes puntos de conexión de VPC de interfaz (AWS PrivateLink) en la VPC en la que reside el clúster o grupo de trabajo. Ambos puntos de conexión son obligatorios. Si falta alguno de los puntos de conexión o no se puede acceder a ellos, se produce un error en el inicio de sesión en AWS IAM Identity Center.
com.amazonaws.region.sso-oauth-
Valida el token de acceso de AWS IAM Identity Center que el usuario presenta al iniciar sesión y lo intercambia por un token relacionado con la sesión de Redshift.
com.amazonaws.region.identitystore-
Resuelve al usuario y sus pertenencias a grupos del AWS IAM Identity Center desde el almacén de identidades de AWS IAM Identity Center.
Para obtener información sobre la creación de un punto de conexión de VPC de interfaz, consulte Crear un punto de conexión de VPC en la Guía del usuario de Amazon VPC.
Antes de crear los puntos de conexión, confirme que los atributos DNS hostnames y DNS resolution están activados para la VPC en la que se ejecuta el clúster o el grupo de trabajo. Los nombres de DNS privados dependen de ambos atributos. Para obtener más información, consulte Atributos de DNS para su VPC en la Guía del usuario de Amazon VPC.
El enrutamiento de VPC mejorado requiere que el clúster aprovisionado o el grupo de trabajo de Redshift sin servidor no sean de acceso público.
Cuando cree cada punto de conexión, haga lo siguiente:
-
Active los nombres de DNS privados: Redshift se conecta a estos servicios mediante sus nombres de DNS estándar. Sin nombres de DNS privados, esos nombres se siguen resolviendo en direcciones públicas y las llamadas no se dirigen a los puntos de conexión.
-
Cree los puntos de conexión en la región de AWS IAM Identity Center: AWS IAM Identity Center es un servicio regional. Cree estos puntos de conexión en la región en la que se ejecuta la instancia de AWS IAM Identity Center. Si el clúster o grupo de trabajo se encuentra en una región diferente y no utiliza la replicación multirregional de AWS IAM Identity Center, utilice la opción de punto de conexión entre regiones para que los puntos de conexión lleguen a la región de AWS IAM Identity Center.
-
Elija subredes en las mismas zonas de disponibilidad: seleccione subredes en las zonas de disponibilidad que utilice el clúster o grupo de trabajo.
-
Permita el HTTPS entrante: el grupo de seguridad adjunto a cada punto de conexión debe permitir el tráfico entrante en el puerto TCP 443 desde las subredes del clúster o grupo de trabajo.
-
Conserve la política de punto de conexión predeterminada: la política predeterminada permite el acceso completo. Si la organización requiere una política de punto de conexión restrictiva, selecciónela por entidad principal y no por una lista de acciones. A continuación, compruebe que el inicio de sesión sigue siendo correcto.
Uso de AWS Network Firewall
AWS Network Firewall es opcional. Si filtra el tráfico saliente con AWS Network Firewall en lugar de utilizar puntos de conexión de VPC de interfaz, la política de firewall debe permitir los dominios de servicio de AWS IAM Identity Center. De lo contrario, el inicio de sesión producirá un error cuando Redshift no pueda acceder a ellos. Agregue los siguientes dominios a la lista de dominios permitidos del firewall y sustituya region por la región del AWS IAM Identity Center:
oidc.region.amazonaws.com-
Valida el token de acceso de AWS IAM Identity Center y lo intercambia por un token relacionado con la sesión de Redshift.
.sso.region.amazonaws.com-
Accede al servicio de AWS IAM Identity Center para resolver la aplicación del AWS IAM Identity Center y sus asignaciones.
identitystore.region.amazonaws.com-
Resuelve el usuario y sus suscripciones a grupos del AWS IAM Identity Center.
Si el firewall utiliza una política de denegación predeterminada, también debe permitir los dominios que Redshift utiliza para su funcionamiento general con enrutamiento de VPC mejorado, como Amazon S3 y, si consulta un lago de datos, AWS Glue. Para obtener más información, consulte Enrutamiento de VPC mejorado en Amazon Redshift.
El uso de puntos de conexión de VPC de interfaz, como se describe en Puntos de conexión de VPC de la interfaz, mantiene este tráfico en la red de AWS y no requiere una lista de dominios permitidos del firewall.
