Les magasins de données managés sont là où l'engagement porte ses fruits : la base de données, l'entrepôt, le lac et le cache contiennent ce que le compte existe pour protéger. Les atteindre se décline en deux manœuvres qui reviennent à travers tous les services traités ici. Soit le plan de données est exposé directement (point de terminaison accessible publiquement, identifiants faibles ou partagés, autorisation trop large), soit le plan de contrôle vous livre les données hors ligne (snapshot partagé, export vers S3, appel de distribution d'identifiants). Plusieurs de ces services exécutent aussi des jobs sous un rôle attaché, de sorte qu'ils font également office de calcul et sont recoupés avec identity lorsque ce rôle est le prix.
Ce qui est regroupé ici#
- RDS : partage et restauration de snapshots, et atteindre l'instance via des contrôles réseau et d'authentification faibles.
- DynamoDB :
Scan,Queryet export de table vers S3. - SageMaker : notebooks, jobs d'entraînement et endpoints, ainsi que le rôle attaché.
- Redshift : clusters exposés, identifiants temporaires et autorisations de base de données.
- Glue : le Data Catalog, les scripts de jobs et l'exécution de jobs sous le rôle Glue.
- DocumentDB : clusters compatibles Mongo exposés.
- ElastiCache : Redis et Memcached non authentifiés.
- Athena : interroger des données S3 via le catalogue.
- Lake Formation : permissions des tables gouvernées et distribution d'identifiants.
- EMR : clusters, étapes et rôle d'instance.
- Neptune : clusters de base de données graphe exposés.
- Timestream : interroger des bases de données de séries temporelles.
- Keyspaces : tables compatibles Cassandra.