Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Verschlüsseln Amazon Aurora Ressourcen
Amazon Aurora schützt Ihre Daten sowohl im Ruhezustand als auch bei der Übertragung — unabhängig davon, ob sie zwischen lokalen Kunden und Amazon Aurora oder zwischen Amazon Aurora und anderen übertragen werden AWS Ressourcen. Amazon Aurora verschlüsselt alle Benutzerdaten in Ihren Amazon Aurora-DB-Clustern, einschließlich Protokollen, automatisierten Backups und Snapshots.
Nachdem Ihre Daten verschlüsselt wurden, Amazonas Aurora wickelt die Authentifizierung des Zugriffs und die Entschlüsselung Ihrer Daten transparent mit minimalen Auswirkungen auf die Leistung ab. Sie müssen Ihre Datenbank-Client-Anwendungen nicht ändern, um Verschlüsselung anzuwenden.
Anmerkung
Für verschlüsselte und unverschlüsselte DB Cluster, Daten, die zwischen den Quell- und den Lesereplikaten übertragen werden, werden verschlüsselt, auch wenn sie repliziert werden AWS Regionen.
Themen
Überblick über die Verschlüsselung in Amazon Aurora-Ressourcen
Amazon Aurora-verschlüsselte DB-Cluster bieten zusätzlichen Datenschutz, indem Sie Ihre Daten vor unautorisiertem Zugriff auf den zugehörigen Speicherplatz sichern. Alle neuen Datenbank-Cluster, die am oder danach erstellt wurden 18. Februar 2026 , in Amazon Aurora werden im Ruhezustand nach Industriestandard verschlüsselt AES-256 Verschlüsselung. Diese Verschlüsselung erfolgt automatisch im Hintergrund und schützt Ihre Daten, ohne dass Sie etwas unternehmen müssen. Sie trägt auch dazu bei, den betrieblichen Aufwand und die Komplexität zu reduzieren, die mit dem Schutz vertraulicher Daten verbunden sind. Wenn die Verschlüsselung im Ruhezustand ist, können Sie konformitätsrelevante und sicherheitskritische Anwendungen sowohl vor versehentlichen als auch vor böswilligen Bedrohungen schützen und gleichzeitig die gesetzlichen Anforderungen erfüllen.
Amazon Aurora verwendet eine AWS Key Management Service Schlüssel zum Verschlüsseln dieser Ressourcen. AWS KMS kombiniert sichere, hochverfügbare Hard- und Software zu einem für die Cloud skalierten Schlüsselverwaltungssystem. Bei der Erstellung eines neuen Datenbank-Clusters verwendet Amazon Aurora Server-Side Verschlüsselung (SSE) mit einem AWS-eigener Schlüssel standardmäßig. Diese Standardeinstellung gilt nur für den neuen Cluster selbst. Klone, Snapshot-Kopien und Amazon Aurora-Repliken (Lese-Instances), die aus einer unverschlüsselten Quelle erstellt wurden, werden nicht automatisch verschlüsselt. Sie erben den Verschlüsselungsstatus ihrer Quelle. Sie können jedoch je nach Ihren Sicherheits- und Compliance-Anforderungen zwischen drei Verschlüsselungstypen wählen:
-
AWS eigener Schlüssel (SSE-RDS) — Ein vollständig AWS-kontrollierter Verschlüsselungsschlüssel, den Sie nicht einsehen oder verwalten können und der von Aurora automatisch für die Standardverschlüsselung verwendet wird.
-
AWS verwalteter Schlüssel (AMK) — Dieser Schlüssel wird erstellt und verwaltet von AWS und ist in Ihrem Konto sichtbar, aber nicht anpassbar. Es gibt keine monatliche Gebühr, aber AWS KMS Es fallen API-Gebühren an.
-
Vom Kunden verwalteter Schlüssel (CMK) — Der Schlüssel ist in Ihrem Konto gespeichert und wird von Ihnen erstellt, gehört und verwaltet. Sie haben die volle Kontrolle über den KMS-Schlüssel (AWS KMS Es fallen Gebühren an).
AWS Bei verwalteten Schlüsseln handelt es sich um eine ältere Verschlüsselungsoption, die aus Gründen der Abwärtskompatibilität weiterhin verfügbar ist. Amazon Aurora verwendet AWS-standardmäßig eigene Schlüssel zur Verschlüsselung Ihrer Daten, was einen starken Sicherheitsschutz ohne zusätzliche Kosten oder Verwaltungsaufwand bietet. Für die meisten Anwendungsfälle empfehlen wir, entweder die Standardeinstellung zu verwenden AWS-eigener Schlüssel für Einfachheit und Kosteneffizienz oder ein vom Kunden verwalteter Schlüssel (CMK), wenn Sie die volle Kontrolle über Ihre Verschlüsselungsschlüssel benötigen. Weitere Informationen zu Schlüsseltypen finden Sie unter vom Kunden verwaltete Schlüssel und AWS verwaltete Schlüssel.
Anmerkung
wichtig: Für Quelldatenbankinstanzen oder Cluster, die zuvor erstellt wurden 18. Februar 2026 , wenn Sie sich nicht für die Verschlüsselung entschieden haben, bleiben Snapshots, Klone und Amazon Aurora-Repliken (Lese-Instance), die aus diesen Quellen erstellt wurden, unverschlüsselt. Bei Wiederherstellungsvorgängen außerhalb des Amazon Aurora-Clusters werden jedoch verschlüsselte Instances erzeugt.
Bei einem mit Amazon Aurora verschlüsselten DB-Cluster werden alle DB-Instances, Protokolle, Backups und Snapshots verschlüsselt. Weitere Informationen zur Verfügbarkeit und zu den Einschränkungen der Verschlüsselung finden Sie unter Verfügbarkeit von Amazon Aurora Verschlüsselung und Einschränkungen von Amazon Aurora verschlüsselte DB Cluster.
Wenn Sie einen verschlüsselten DB-Cluster erstellen, können Sie einen vom Kunden verwalteten Schlüssel oder den Von AWS verwalteter Schlüssel Damit Amazon Aurora Ihren DB-Cluster verschlüsseln kann, verwendet Amazon Aurora den Von AWS verwalteter Schlüssel für Ihren neuen DB-Cluster. Amazon Aurora erstellt eine Von AWS verwalteter Schlüssel für Amazon Aurora für Ihre AWS Konto. Ihr AWS Konto hat ein anderes Von AWS verwalteter Schlüssel für Amazon Aurora für jeden AWS Region.
Zur Verwaltung der kundenseitig verwalteten Schlüssel, die zum Ver- und Entschlüsseln Ihrer Amazon-Aurora-Ressourcen dienen, verwenden Sie die AWS Key Management Service (AWS KMS).
Verwenden AWS KMS, können Sie vom Kunden verwaltete Schlüssel erstellen und die Richtlinien zur Steuerung der Verwendung dieser vom Kunden verwalteten Schlüssel definieren. AWS KMS unterstützt CloudTrail, sodass Sie die Verwendung von KMS-Schlüsseln überprüfen können, um sicherzustellen, dass vom Kunden verwaltete Schlüssel ordnungsgemäß verwendet werden. Sie können Ihre vom Kunden verwalteten Schlüssel mit Amazon Aurora und unterstützt verwenden AWS Dienste wie Amazon S3, Amazon EBS und Amazon Redshift. Für eine Liste der Dienste, die integriert sind AWS KMS, siehe AWS Serviceintegration
-
Sobald Sie eine verschlüsselte DB-Instance erstellt haben, können Sie den von dieser Instance verwendeten KMS-Schlüssel nicht mehr ändern. Stellen Sie sicher, dass Sie Ihre KMS-Schlüsselanforderungen ermitteln, bevor Sie Ihre verschlüsselte DB-Instance erstellen. Gehen Sie folgendermaßen vor, wenn Sie den Verschlüsselungsschlüssel für Ihren DB-Cluster ändern müssen:
-
Erstellen Sie einen manuellen Snapshot Ihres Clusters.
-
Stellen Sie den Snapshot wieder her und aktivieren Sie während des Wiederherstellungsvorgangs die Verschlüsselung mit Ihrem gewünschten KMS-Schlüssel. Sie können die Verschlüsselung nicht mit einem aktivieren AWS eigener Schlüssel, wenn Ihr Cluster ursprünglich mit einem verschlüsselt wurde AWS verwalteter Schlüssel oder ein vom Kunden verwalteter Schlüssel.
-
-
Wenn Sie einen unverschlüsselten Snapshot wiederherstellen und keine Verschlüsselung wählen, wird das erstellte Datenbank-Cluster im Ruhezustand mit der Standardverschlüsselung verschlüsselt (AWS-eigener Schlüssel).
-
Sie können einen Snapshot, der mit dem verschlüsselt wurde, nicht teilen Von AWS verwalteter Schlüssel des AWS Konto, das den Snapshot geteilt hat.
-
Jede DB-Instance im DB-Cluster teilt sich denselben Speicher, der mit demselben KMS-Schlüssel verschlüsselt ist.
Wichtig
Amazon Aurora kann den Zugriff auf den KMS-Schlüssel für einen DB-Cluster verlieren, wenn Sie den KMS-Schlüssel deaktivieren. In diesen Fällen geht der verschlüsselte DB-Cluster in den inaccessible-encryption-credentials-recoverable-Zustand. Der DB-Cluster behält diesen Status sieben Tage lang bei, währenddessen die Instance angehalten wird. API-Aufrufe, die während dieser Zeit an den DB-Cluster getätigt wurden, sind möglicherweise nicht erfolgreich. Um den DB-Cluster wiederherzustellen, aktivieren Sie den KMS-Schlüssel und starten Sie diesen DB-Cluster neu. Sie können den KMS-Schlüssel über den AWS-Managementkonsole, AWS CLI, oder RDS-API. Starten Sie den DB-Cluster neu mit dem AWS CLI beherrschen start-db-cluster oder AWS-Managementkonsole.
Der Status inaccessible-encryption-credentials-recoverable gilt nur für DB-Cluster, die angehalten werden können. Dieser wiederherstellbare Status gilt nicht für Instances, die nicht angehalten werden können, wie Cluster mit regionsübergreifenden Lesereplikaten. Weitere Informationen finden Sie unter Einschränkungen für das Stoppen und Starten eines Aurora-DB-Clusters.
Wenn der DB-Cluster nicht innerhalb von sieben Tagen wiederhergestellt wird, wechselt er in den Terminalstatus inaccessible-encryption-credentials. In diesem Status ist der DB-Cluster nicht mehr nutzbar und kann nur über eine Sicherung wiederhergestellt werden. Wir empfehlen dringend, Backups immer zu aktivieren, um den Verlust von Daten in Ihren Datenbanken zu verhindern.
Bei der Erstellung eines DB-Clusters überprüft Aurora, ob der aufrufende Prinzipal Zugriff auf den KMS-Schlüssel hat, und generiert aus dem KMS-Schlüssel eine Berechtigung, die für die gesamte Lebensdauer des DB-Clusters verwendet wird. Das Widerrufen des Zugriffs des aufrufenden Prinzipals auf den KMS-Schlüssel hat keine Auswirkungen auf eine laufende Datenbank. Wenn KMS-Schlüssel in kontoübergreifenden Szenarien verwendet werden, z. B. beim Kopieren eines Snapshots in ein anderes Konto, muss der KMS-Schlüssel für das andere Konto freigegeben werden. Wenn Sie aus dem Snapshot einen DB-Cluster erstellen, ohne einen anderen KMS-Schlüssel anzugeben, verwendet der neue Cluster den KMS-Schlüssel aus dem Quellkonto. Das Widerrufen des Zugriffs auf den Schlüssel nach dem Erstellen des DB-Clusters hat keine Auswirkungen auf den Cluster. Die Deaktivierung des Schlüssels wirkt sich jedoch auf alle DB-Cluster aus, die mit diesem Schlüssel verschlüsselt wurden. Um dies zu verhindern, geben Sie während des Snapshot-Kopiervorgangs einen anderen Schlüssel an.
Weitere Informationen über KMS-Schlüssel finden Sie unter AWS KMS keys im Entwicklerhandbuch zu AWS Key Management Service und in AWS KMS key Verwaltung.
Verschlüsseln eines Amazon-Aurora-DB-Clusters
Alle neuen DB-Cluster, die am oder nach dem 18. Februar 2026 erstellt wurden, werden standardmäßig mit einem verschlüsselt AWS eigener Schlüssel.
Um einen neuen DB-Cluster zu verschlüsseln, verwenden Sie Von AWS verwalteter Schlüssel oder einen vom Kunden verwalteten Schlüssel, wählen Sie die Option auf der Konsole. Weitere Informationen zum Erstellen eines DB-Clusters finden Sie unter Erstellen eines Amazon Aurora-DB Clusters.
Wenn Sie den verwenden create-db-cluster AWS CLI Befehl zum Erstellen eines verschlüsselten DB-Clusters, setzen Sie den --storage-encrypted Parameter. Wenn Sie die API-Operation CreateDBCluster verwenden, legen Sie den Parameter StorageEncrypted auf „true“ fest.
Sobald Sie einen verschlüsselten DB-Cluster erstellt haben, können Sie den von diesem DB-Cluster verwendeten KMS-Schlüssel nicht mehr ändern. Stellen Sie daher sicher, dass Sie Ihre KMS-Schlüsselanforderungen bestimmen, bevor Sie Ihren verschlüsselten DB-Cluster erstellen.
Sie können auch eine verwenden blue/green Bereitstellung, um eine grüne Umgebung zu erstellen, die mit einem anderen KMS-Schlüssel als die blaue Umgebung verschlüsselt ist. Verwenden Sie diese Bereitstellung, um einen unverschlüsselten DB-Cluster zu verschlüsseln oder den KMS-Schlüssel eines verschlüsselten DB-Clusters zu ändern. Für weitere Informationen über blue/green Bereitstellungen finden Sie unter Einschränkungen und Überlegungen für Amazon Aurora blue/green Bereitstellungen.
Wenn du das benutzt AWS CLI create-db-cluster Geben Sie den Befehl ein, um einen verschlüsselten DB-Cluster mit einem vom Kunden verwalteten Schlüssel zu erstellen --kms-key-id Parameter für eine beliebige Schlüssel-ID für den KMS-Schlüssel. Wenn Sie den Vorgang Amazon RDS API CreateDBInstance verwenden, setzen Sie den Parameter KmsKeyId auf einen beliebigen Schlüsselbezeichner für den KMS-Schlüssel. Um einen vom Kunden verwalteten Schlüssel in einem anderen zu verwenden AWS Konto, geben Sie den Schlüssel-ARN oder Alias-ARN an.
Bestimmen, ob die Verschlüsselung für einen DB-Cluster aktiviert ist
Sie können das verwenden AWS-Managementkonsole, AWS CLI, oder die RDS-API, um festzustellen, ob die Verschlüsselung im Ruhezustand für einen DB-Cluster aktiviert ist.
So ermitteln Sie, ob die Verschlüsselung im Ruhezustand für einen DB-Cluster aktiviert ist
Melden Sie sich bei AWS-Managementkonsole und öffnen Sie die Amazon RDS-Konsole unter https://console.aws.amazon.com/rds/
. -
Wählen Sie im Navigationsbereich Datenbanken aus.
-
Wählen Sie den Namen des DB-Clusters aus, den Sie überprüfen möchten, um dessen Details anzuzeigen.
-
Wählen Sie die Registerkarte Konfiguration aus und überprüfen Sie den Wert für die Verschlüsselung.
Um festzustellen, ob die Verschlüsselung im Ruhezustand für einen DB-Cluster aktiviert ist, verwenden Sie den AWS CLI, rufen Sie den beschreiben-DB-Cluster Befehl mit der folgenden Option:
-
--db-cluster-identifier– der Name des DB-Clusters.
Im folgenden Beispiel wird eine Abfrage verwendet, um entweder TRUE oder FALSE bezüglich der Verschlüsselung im Ruhezustand für den mydb DB-Cluster zurückzugeben.
Beispiel
aws rds describe-db-clusters --db-cluster-identifiermydb--query "*[].{StorageEncrypted:StorageEncrypted}" --output text
Um zu ermitteln, ob die Verschlüsselung im Ruhezustand für einen DB-Cluster mithilfe der Amazon-RDS-API aktiviert ist, rufen Sie die Operation DescribeDBClusters mit dem folgenden Parameter auf:
-
DBClusterIdentifier– der Name des DB-Clusters.
Verfügbarkeit von Amazon Aurora Verschlüsselung
Die Amazon Aurora-Verschlüsselung ist aktuell für alle Datenbank-Engines und Speichertypen verfügbar.
Anmerkung
Die Amazon Aurora-Verschlüsselung ist für die DB-Instance-Klasse db.t2.micro nicht verfügbar.
Verschlüsselung während der Übertragung
- Verschlüsselung auf der physischen Ebene
-
Alle Daten fließen über AWS-Regionen über die AWS Das globale Netzwerk wird automatisch auf der physischen Ebene verschlüsselt, bevor es das Netzwerk verlässt AWS gesicherte Einrichtungen. Der gesamte Datenverkehr zwischen AZs ist verschlüsselt. Zusätzliche Verschlüsselungsebenen, einschließlich der in diesem Abschnitt aufgeführten, bieten möglicherweise zusätzlichen Schutz.
- Verschlüsselung durch Amazon VPC-Peering und regionsübergreifendes Transit Gateway
-
Der gesamte regionsübergreifende Datenverkehr, der Amazon-VPC- und Transit-Gateway-Peering verwendet, wird automatisch massenverschlüsselt, wenn er eine Region verlässt. Auf der physischen Ebene wird automatisch eine zusätzliche Verschlüsselungsebene für den gesamten Datenverkehr bereitgestellt, bevor er den Verkehr verlässt AWS gesicherte Einrichtungen.
- Verschlüsselung zwischen Instanzen
-
AWS bietet sichere und private Konnektivität zwischen DB-Instances aller Art. Darüber hinaus verwenden einige Instance-Typen die Offload-Funktionen der zugrunde liegenden Nitro-System-Hardware, um den Datenverkehr während der Übertragung zwischen Instances automatisch zu verschlüsseln. Diese Verschlüsselung verwendet AEAD-Algorithmen (Authenticated Encryption with Associated Data) mit 256-Bit-Verschlüsselung. Es gibt keine Auswirkungen auf die Netzwerkleistung. Um diese zusätzliche Verschlüsselung des Datenverkehrs während der Übertragung zwischen Instances zu unterstützen, müssen die folgenden Anforderungen erfüllt sein:
-
Die Instances verwenden die folgenden Instance-Typen:
-
Allgemeiner Zweck: M6i, M6id, M6in, M6idn, M7g
-
Speicheroptimiert: R6i, R6id, R6in, R6idn, R7g, X2idn, X2iedn, X2iezn
-
-
Die Instances befinden sich in derselben AWS-Region.
-
Die Instances befinden sich in derselben VPC oder in per Peering verbundenen VPCs und der Datenverkehr wird nicht durch ein virtuelles Netzwerkgerät, z. B. einen Load Balancer oder ein Transit Gateway, geleitet.
-
Einschränkungen von Amazon Aurora verschlüsselte DB Cluster
Folgende Einschränkungen bestehen für Amazon Aurora-verschlüsselte DB-Cluster:
-
Sie können die Verschlüsselung für einen verschlüsselten DB-Cluster nicht deaktivieren.
-
Wenn Sie einen vorhandenen unverschlüsselten Cluster haben, sind alle aus diesem Cluster erstellten Snapshots ebenfalls unverschlüsselt. Sie können einen unverschlüsselten Aurora-DB-Cluster-Snapshot nicht verschlüsseln, indem Sie ihn kopieren.
-
Sie können keinen verschlüsselten Snapshot einer/eines unverschlüsselten DB-Clusters erstellen.
-
Ein Snapshot eines verschlüsselten DB-clusters muss mit demselben KMS-Schlüssel verschlüsselt werden wie der DB-cluster.
-
Unverschlüsselte DB-Cluster können nicht in verschlüsselte umgewandelt werden. Sie können jedoch einen unverschlüsselten Snapshot in einen verschlüsselten Aurora-DB-Cluster wiederherstellen. Geben Sie dazu bei der Wiederherstellung aus dem unverschlüsselten Snapshot einen KMS-Schlüssel an.
-
Wenn Sie über einen vorhandenen unverschlüsselten Cluster verfügen, ist jedes Amazon Aurora-Replikat (Lese-Instance), das aus diesem Cluster erstellt wurde, ebenfalls unverschlüsselt. Um einen verschlüsselten Cluster aus einem unverschlüsselten Cluster zu erstellen, müssen Sie den Datenbank-Cluster wiederherstellen. Der wiederhergestellte Cluster wird nach dem Wiederherstellungsvorgang standardmäßig verschlüsselt.
-
Um einen verschlüsselten Snapshot von einem zu kopieren AWS Von Region zu Region müssen Sie den KMS-Schlüssel im Ziel angeben AWS Region. Das liegt daran, dass KMS-Schlüssel spezifisch sind für AWS Region, in der sie erstellt wurden.
Der Quell-Snapshot bleibt den gesamten Kopiervorgang über verschlüsselt. Amazon Aurora verwendet Envelope-Verschlüsselung, um Daten während des Kopiervorgangs zu schützen. Weitere Informationen zur Envelope-Verschlüsselung finden Sie unter Envelope-Verschlüsselung im AWS Key Management Service -Entwicklerhandbuch.
-
Sie können eine(n) verschlüsselte(n) DB-Cluster nicht entschlüsseln. Sie können jedoch Daten aus einer/einem verschlüsselten DB-Cluster exportieren und die Daten in eine(n) unverschlüsselte(n) DB-Cluster importieren.
