雲資料遷移（Cloud Data Migration，CDM）

雲資料遷移（Cloud Data Migration，CDM）提供同構/異構資料來源之間批次資料遷移服務，幫助客戶實現資料自由流動。支援客戶自建和公有云上的檔案系統，關聯式資料庫，資料倉儲，NoSQL，大資料雲服務，物件儲存等資料來源。

應用場景

CDM遷移原理

CDM遷移原理

使用者使用CDM服務時，CDM管理系統在使用者VPC中發放全託管的CDM例項。此例項僅提供控制檯和Rest API訪問許可權，使用者無法透過其他介面（如SSH）訪問例項。這種方式保證了CDM使用者間的隔離，避免資料洩漏，同時保證VPC內不同華為雲服務間資料遷移時的傳輸安全。使用者還可以使用VPN網路將本地資料中心的資料遷移到華為雲服務，具有高度的安全性。

CDM資料遷移以抽取-寫入模式進行。CDM首先從源端抽取資料然後將資料寫入到目的端，資料訪問操作均由CDM主動發起，對於資料來源（如RDS資料來源）支援SSL時，會使用SSL加密傳輸。遷移過程要求使用者提供源端和目的端資料來源的使用者名稱和密碼，這些資訊將儲存在CDM例項的資料庫中。保護這些資訊對於CDM安全至關重要。

圖1  CDM遷移原理  

安全邊界和風險規避

圖2  風險規避  

如 圖2 所示，CDM可能存在以下威脅：

1. 網際網路威脅：惡意使用者可能透過CDM控制檯攻擊CDM。
2. 資料中心威脅：惡意CDM管理員獲取使用者的資料來源訪問資訊（使用者名稱和密碼）。
3. 惡意使用者威脅：惡意使用者竊取其他使用者的資料。
4. 資料暴露公網：從公網遷移資料時暴漏資料的威脅。

對於這些潛在的威脅，CDM提供以下機制來規避終端使用者的風險：

1. 針對網際網路威脅：使用者不能直接透過公網登入CDM控制檯。CDM提供雙層安全保障機制。
   1. 華為雲控制檯框架要求使用者訪問任何控制檯頁面都要進行使用者認證。
   2. Web應用防火牆（Web Application Firewall，簡稱WAF）過濾所有控制檯的請求內容並停止請求攻擊程式碼/內容。
2. 針對資料中心威脅：使用者必須向CDM系統提供遷移源端和目的端的訪問使用者名稱和密碼資訊，才能完成資料遷移。避免CDM管理員獲取此類資訊並攻擊使用者的重要資料來源對於CDM非常重要，CDM為此類資訊提供三級保護機制。
   1. CDM在本地資料庫中儲存經過AES-256加密的密碼，確保使用者隔離。本地資料庫使用使用者Ruby執行，資料庫僅偵聽127.0.0.1，使用者沒有遠端訪問資料庫的許可權。
   2. 使用者例項發放完畢後，CDM將虛擬機器的root和Ruby使用者密碼更改為隨機密碼且不會儲存在任何地方，以阻止CDM管理員訪問使用者例項和含有密碼資訊的資料庫。
   3. CDM例項遷移以推拉模式進行，因此CDM例項在VPC上沒有偵聽埠，使用者無法從VPC訪問本地資料庫或作業系統。
3. 針對惡意使用者的威脅：CDM對每個使用者，使用單獨的虛擬機器來執行各自的CDM例項，使用者之間的例項是完全隔離和安全的。惡意使用者無法訪問其他使用者的例項。
4. 針對資料暴漏公網的威脅：CDM的抽取-寫入模型下，即使CDM繫結了彈性IP，也不會開放埠到彈性IP，攻擊者無法透過彈性IP來訪問和攻擊CDM。不過從公網遷移資料的方式下，由於使用者資料來源也會暴漏在公網，存在被第三方攻擊的威脅，推薦使用者在資料來源伺服器上透過ACL或防火牆對源端進行防護，例如僅放通來自CDM繫結的彈性IP的訪問請求。

---

---

About Me

........................................................................................................................ ● 本文作者：小麥苗，部分內容整理自網路，若有侵權請聯絡小麥苗刪除 ● 本文在itpub（ http://blog.itpub.net/26736162 ）、部落格園（ http://www.cnblogs.com/lhrbest ）和個人weixin公眾號（ xiaomaimiaolhr ）上有同步更新 ● 本文itpub地址： http://blog.itpub.net/26736162 ● 本文部落格園地址： http://www.cnblogs.com/lhrbest ● 本文pdf版、個人簡介及小麥苗雲盤地址： http://blog.itpub.net/26736162/viewspace-1624453/ ● 資料庫筆試面試題庫及解答： http://blog.itpub.net/26736162/viewspace-2134706/ ● DBA寶典今日頭條號地址： ........................................................................................................................ ● QQ群號： 230161599 （滿） 、618766405 ● weixin群：可加我weixin，我拉大家進群，非誠勿擾 ● 聯絡我請加QQ好友 （ 646634621 ） ，註明新增緣由 ● 於 2019-06-01 06:00 ~ 2019-06-30 24:00 在西安完成 ● 最新修改時間：2019-06-01 06:00 ~ 2019-06-30 24:00 ● 文章內容來源於小麥苗的學習筆記，部分整理自網路，若有侵權或不當之處還請諒解 ● 版權所有，歡迎分享本文，轉載請保留出處 ........................................................................................................................ ● 小麥苗的微店 ： ● 小麥苗出版的資料庫類叢書 ： http://blog.itpub.net/26736162/viewspace-2142121/ ● 小麥苗OCP、OCM、高可用網路班 ： http://blog.itpub.net/26736162/viewspace-2148098/ ● 小麥苗騰訊課堂主頁 ： https://lhr.ke.qq.com/ ........................................................................................................................ 使用 weixin客戶端 掃描下面的二維碼來關注小麥苗的weixin公眾號（ xiaomaimiaolhr ）及QQ群（DBA寶典）、新增小麥苗weixin， 學習最實用的資料庫技術。 ........................................................................................................................