View a markdown version of this page

Utilisation AWS Authentification IAM Identity Center avec routage VPC amélioré - Amazon Redshift
Points de terminaison de VPC d’InterfaceUtilisation AWS du pare-feu réseau

Amazon Redshift ne prendra plus en charge l'utilisation des UDF Python après le 30 juin 2026. Nous allons commencer à l'appliquer par étapes. Pour plus d'informations sur les détails de la fin de vie de Python et des options de migration, consultez le billet de blog publié le 30 juin 2025.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Utilisation AWS Authentification IAM Identity Center avec routage VPC amélioré

Lorsque le routage VPC amélioré est activé, Redshift achemine le trafic via votre cloud privé virtuel (VPC) plutôt que via Internet. Cela inclut les appels effectués par Redshift pour authentifier un utilisateur d' AWS IAM Identity Center. Cela s'applique que l'utilisateur se connecte de manière interactive ou qu'il se connecte à l'aide d'un jeton AWS IAM Identity Center obtenu par le biais d'une propagation d'identité sécurisée. Pour que ces connexions aboutissent, Redshift doit être en mesure d'accéder à AWS IAM Identity Center depuis votre VPC. Les points de terminaison Interface VPC constituent la méthode recommandée pour fournir cette connectivité. Ils permettent à votre cluster provisionné ou à votre groupe de travail Amazon Redshift Serverless d'accéder à AWS IAM Identity Center via le réseau. AWS

Important

Ces exigences s'appliquent à toute connexion authentifiée via AWS IAM Identity Center. Les utilisateurs IAM et les utilisateurs de bases de données locales s'authentifient via différents mécanismes et ne sont pas affectés. Si le routage VPC amélioré est désactivé, ces points de terminaison ne sont pas nécessaires.

Note

La modification du routage VPC amélioré redémarre un cluster provisionné. Pour plus d'informations sur l'activation du routage VPC amélioré, consultez Activation du routage VPC amélioré.

Points de terminaison de VPC d’Interface

Créez les points de terminaison VPC d'interface suivants (AWS PrivateLink) dans le VPC où réside votre cluster ou votre groupe de travail. Les deux points de terminaison sont obligatoires. Si l'un des terminaux est manquant ou inaccessible, la connexion à AWS IAM Identity Center échoue.

com.amazonaws.region.sso-oauth

Valide le jeton d'accès AWS IAM Identity Center que l'utilisateur présente lors de la connexion et l'échange contre un jeton limité à votre session Redshift.

com.amazonaws.region.identitystore

Résout l'appartenance de l'utilisateur et de son groupe AWS IAM Identity Center à partir de la banque d'identités AWS IAM Identity Center.

Pour plus d'informations sur la création d'un point de terminaison VPC d'interface, consultez Créer un point de terminaison VPC dans le guide de l'utilisateur Amazon VPC.

Avant de créer les points de terminaison, vérifiez que les DNS resolution attributs DNS hostnames et sont activés pour le VPC sur lequel s'exécute votre cluster ou groupe de travail. Les noms DNS privés dépendent des deux attributs. Pour plus d’informations, consultez DNS attributes for your VPC (Attributs DNS pour votre VPC) dans le Guide de l’utilisateur d’Amazon VPC.

Le routage VPC amélioré nécessite que votre cluster provisionné ou votre groupe de travail Redshift Serverless ne soit pas accessible au public.

Lorsque vous créez chaque point de terminaison, procédez comme suit :

  • Activez les noms DNS privés  : Redshift se connecte à ces services à l'aide de leurs noms DNS standard. Sans noms DNS privés, ces noms continuent à être résolus en adresses publiques et les appels ne sont pas acheminés vers vos terminaux.

  • Créez les points de terminaison dans la région AWS IAM Identity Center — AWS IAM Identity Center est un service régional. Créez ces points de terminaison dans la région où s'exécute votre instance AWS IAM Identity Center. Si votre cluster ou groupe de travail s'exécute dans une autre région et que vous n'utilisez pas la réplication multirégionale AWS IAM Identity Center, utilisez l'option de point de terminaison interrégional afin que les points de terminaison atteignent la AWS région IAM Identity Center.

  • Choisissez des sous-réseaux dans les mêmes zones de disponibilité  : sélectionnez des sous-réseaux dans les zones de disponibilité utilisées par votre cluster ou groupe de travail.

  • Autoriser le HTTPS entrant  : le groupe de sécurité attaché à chaque point de terminaison doit autoriser le trafic entrant sur le port TCP 443 depuis les sous-réseaux de votre cluster ou de votre groupe de travail.

  • Conservez la politique de point de terminaison par défaut  : la politique par défaut autorise un accès complet. Si votre organisation a besoin d'une politique restrictive en matière de terminaux, définissez-la par principe plutôt que par une liste d'actions. Vérifiez ensuite que la connexion est toujours réussie.

Utilisation AWS Network Firewall

AWS Le pare-feu réseau est facultatif. Si vous filtrez le trafic sortant à l'aide du pare-feu AWS réseau au lieu d'utiliser des points de terminaison VPC d'interface, la politique de pare-feu doit autoriser les domaines de service AWS IAM Identity Center. Sinon, la connexion échoue lorsque Redshift ne peut pas les joindre. Ajoutez les domaines suivants à la liste des domaines autorisés de votre pare-feu, en les region remplaçant par votre région AWS IAM Identity Center :

oidc.region.amazonaws.com

Valide le jeton d'accès AWS IAM Identity Center et l'échange contre un jeton limité à votre session Redshift.

.sso.region.amazonaws.com

Atteint le service AWS IAM Identity Center pour résoudre l'application AWS IAM Identity Center et ses attributions.

identitystore.region.amazonaws.com

Résout l'appartenance de l'utilisateur et de son groupe AWS IAM Identity Center.

Si votre pare-feu utilise une politique de refus par défaut, il doit également autoriser les domaines que Redshift utilise à fonctionner de manière générale dans le cadre d'un routage VPC amélioré, comme Amazon S3 et, si vous interrogez un lac de données, Glue. AWS Pour plus d'informations, consultez la section Routage VPC amélioré dans Amazon Redshift.

L'utilisation des points de terminaison VPC de l'interface, comme décrit dansPoints de terminaison de VPC d’Interface, permet de maintenir ce trafic sur le AWS réseau et ne nécessite pas de liste d'autorisation du pare-feu.