Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Sie können in Amazon Athena Abfragen zu verschlüsselten Daten in Amazon S3 in derselben Region und in einer begrenzten Anzahl von Regionen ausführen. Sie können auch die Abfrageergebnisse in Amazon S3 und die Daten im AWS Glue Datenkatalog verschlüsseln.
Sie können die folgenden Ressourcen in Athena verschlüsseln:
-
Die Ergebnisse aller Abfragen in Amazon S3, die von Athena in einem als Amazon-S3-Ergebnisort bezeichneten Ort gespeichert werden. Die in Amazon S3 gespeicherten Abfrageergebnisse lassen sich verschlüsseln, und zwar unabhängig davon, ob der zugrunde liegende Datensatz in Amazon S3 verschlüsselt oder unverschlüsselt ist. Weitere Informationen finden Sie unter Verschlüsseln Sie die in Amazon S3 gespeicherten Athena-Abfrageergebnisse.
-
Die Daten im AWS Glue Datenkatalog. Weitere Informationen finden Sie unter Berechtigungen für verschlüsselte Metadaten im AWS Glue -Datenkatalog.
Anmerkung
Wenn Sie Athena verwenden, um eine verschlüsselte Tabelle zu lesen, verwendet Athena die für die Tabellendaten angegebenen Verschlüsselungsoptionen, nicht die Verschlüsselungsoption für die Abfrageergebnisse. Wenn separate Verschlüsselungsmethoden oder Schlüssel für Abfrageergebnisse und Tabellendaten konfiguriert sind, liest Athena die Tabellendaten, ohne die Verschlüsselungsoption und den Schlüssel zu verwenden, die zum Verschlüsseln oder Entschlüsseln der Abfrageergebnisse verwendet werden.
Wenn Sie jedoch Athena verwenden, um Daten in eine Tabelle einzufügen, die verschlüsselte Daten enthält, verwendet Athena die Verschlüsselungskonfiguration, die für die Abfrageergebnisse angegeben wurde, um die eingefügten Daten zu verschlüsseln. Wenn Sie beispielsweise CSE_KMS Verschlüsselung für Abfrageergebnisse angeben, verwendet Athena dieselbe AWS KMS Schlüssel-ID, die Sie für die Verschlüsselung der Abfrageergebnisse verwendet haben, um die eingefügten Tabellendaten zu verschlüsseln. CSE_KMS
Themen
Unterstützte Verschlüsselungsoptionen der Amazon S3
Athena unterstützt die folgenden Verschlüsselungsoptionen für Datasets und Abfrageergebnisse in Amazon S3.
| Verschlüsselungstyp | Beschreibung | Regionsübergreifende Unterstützung |
|---|---|---|
| SSE-S3 (SSE-S3) | Serverseitige Verschlüsselung (SSE) mit einem von Amazon S3 verwalteten Schlüssel. | Ja |
| SSE-KMS (empfohlen) | Serverseitige Verschlüsselung (SSE) mit einem vom AWS Key Management Service Kunden verwalteten Schlüssel. | Ja |
| CSE-KMS |
Clientseitige Verschlüsselung (CSE) mit einem AWS KMS vom Kunden verwalteten Schlüssel. In Athena erfordert diese Option, dass Sie eine |
Nein |
Weitere Informationen zur AWS KMS Verschlüsselung mit Amazon S3 finden Sie unter Was ist AWS Key Management Service und wie Amazon Simple Storage Service (Amazon S3) verwendet wird AWS KMS im AWS Key Management Service Entwicklerhandbuch. Weitere Informationen zur Verwendung von SSE-KMS oder CSE-KMS mit Athena finden Sie unter Launch: Amazon Athena fügt Unterstützung für das Abfragen verschlüsselter Daten
Empfehlungen zur Verschlüsselung
Wenn Sie Tabellendaten und Abfrageergebnisse mit vom Kunden verwalteten KMS-Schlüsseln ver- und entschlüsseln, empfehlen wir, die SSE-KMS-Verschlüsselung gegenüber den Verschlüsselungsmethoden SSE-S3 oder CSE-KMS zu verwenden. SSE-KMS bietet ein ausgewogenes Verhältnis zwischen Kontrolle, Einfachheit und Leistung und ist daher eine empfohlene Methode, wenn Sie verwaltete KMS-Schlüssel für die Datenverschlüsselung verwenden.
Vorteile von SSE-KMS gegenüber SSE-S3
-
SSE-KMS ermöglicht es Ihnen, Ihre eigenen Schlüssel zu spezifizieren und zu verwalten, wodurch Sie mehr Kontrolle haben. Sie können wichtige Richtlinien definieren, die Lebenszyklen von Schlüsseln überwachen und die Schlüsselnutzung überwachen.
Vorteile von SSE-KMS gegenüber CSE-KMS
-
SSE-KMS macht eine zusätzliche Infrastruktur zum Verschlüsseln und Entschlüsseln von Daten überflüssig, im Gegensatz zu CSE-KMS, das die kontinuierliche Wartung eines S3-Verschlüsselungsclients erfordert.
-
Bei CSE-KMS kann es aufgrund der Weiterentwicklung der Verschlüsselungsalgorithmen zu Kompatibilitätsproblemen zwischen neueren und älteren S3-Verschlüsselungsclients kommen, ein Problem, das SSE-KMS vermeidet.
-
SSE-KMS führt während der Verschlüsselungs- und Entschlüsselungsprozesse weniger API-Aufrufe an den KMS-Dienst für den Schlüsselabruf durch, was im Vergleich zu CSE-KMS zu einer besseren Leistung führt.
Nicht unterstützte Optionen
Die folgenden Verschlüsselungsoptionen werden nicht unterstützt:
-
SSE mit vom Kunden bereitgestellten Schlüsseln (SSE-C)
-
Clientseitige Verschlüsselung mit einem clientseitigen verwalteten Schlüssel.
-
Asymmetrische Schlüssel.
Einen Vergleich der Verschlüsselungsoptionen von Amazon S3 finden Sie unter Daten durch Verschlüsselung schützen im Benutzerhandbuch für Amazon Simple Storage Service.
Tools für die clientseitige Verschlüsselung
Beachten Sie für die clientseitige Verschlüsselung, dass zwei Tools verfügbar sind:
-
Amazon-S3-Verschlüsselungs-Client – Dies verschlüsselt Daten nur für Amazon S3 und wird von Athena unterstützt.
-
AWS Encryption SDK— Das SDK kann überall zum Verschlüsseln von Daten verwendet werden, wird AWS jedoch nicht direkt von Athena unterstützt.
Diese Tools sind nicht kompatibel, und Daten, die mit einem Tool verschlüsselt wurden, können mit dem anderen nicht entschlüsselt werden. Athena unterstützt den Amazon-S3-Verschlüsselungs-Client nur direkt. Wenn Sie das SDK verwenden, um Ihre Daten zu verschlüsseln, können Sie Abfragen von Athena ausführen, aber die Daten werden als verschlüsselter Text zurückgegeben.
Wenn Sie Athena verwenden möchten, um Daten abzufragen, die mit dem AWS -Verschlüsselungs-SDK verschlüsselt wurden, müssen Sie Ihre Daten herunterladen und entschlüsseln und sie dann erneut mit dem Amazon-S3-Verschlüsselungs-Client verschlüsseln.
Berechtigungen für verschlüsselte Daten in Amazon S3
Abhängig von der Art der Verschlüsselung, die Sie in Amazon S3 verwenden, müssen Sie Ihren in Athena verwendeten Richtlinien möglicherweise Berechtigungen hinzufügen, die auch als „Zulassen“ -Aktionen bezeichnet werden:
-
SSE-S3 – Wenn Sie für die Verschlüsselung SSE-S3 verwenden, benötigen Athena-Benutzer keine zusätzlichen Berechtigungen in ihren Richtlinien. Es reicht, wenn die entsprechenden Amazon-S3-Berechtigungen für den jeweiligen Amazon-S3-Speicherort und für Athena-Aktionen vorhanden sind. Weitere Informationen zu Richtlinien, die entsprechende Athena- und Amazon-S3-Berechtigungen erlauben, finden Sie unter AWS verwaltete Richtlinien für Amazon Athena und Steuern Sie den Zugriff auf Amazon S3 von Athena aus.
-
AWS KMS— Wenn Sie die Verschlüsselung verwenden AWS KMS , müssen Athena-Benutzer zusätzlich zu den Athena- und Amazon S3 S3-Berechtigungen bestimmte AWS KMS Aktionen ausführen dürfen. Sie ermöglichen diese Aktionen, indem Sie die Schlüsselrichtlinie für die vom AWS KMS Kunden verwalteten Richtlinien bearbeiten CMKs , die zur Verschlüsselung von Daten in Amazon S3 verwendet werden. Um Schlüsselbenutzer zu den entsprechenden AWS KMS Schlüsselrichtlinien hinzuzufügen, können Sie die AWS KMS Konsole unter https://console.aws.amazon.com/kms
verwenden. Informationen zum Hinzufügen eines Benutzers zu einer AWS KMS Schlüsselrichtlinie finden Sie unter Erlaubt Schlüsselbenutzern die Verwendung des CMK im AWS Key Management Service Entwicklerhandbuch. Anmerkung
Erfahrene Schlüsselrichtlinien-Administratoren können die Schlüsselrichtlinien anpassen.
kms:Decryptist die minimal erlaubte Aktion für einen Athena-Benutzer, um mit einem verschlüsselten Datensatz arbeiten zu können. Zur Nutzung von verschlüsselten Abfrageergebnissen sind Berechtigungen für die Aktionenkms:GenerateDataKeyundkms:Decryptnotwendig.Wenn Sie Athena verwenden, um Datensätze in Amazon S3 mit einer großen Anzahl von Objekten abzufragen, die mit verschlüsselt sind AWS KMS, AWS KMS kann dies zu einer Drosselung der Abfrageergebnisse führen. Bei einer hohen Zahl kleiner Objekte ist dies noch wahrscheinlicher. Wiederholte Anforderungen werden von Athena unterbunden, dennoch kann ein Drosselungsfehler auftreten. Wenn Sie mit einer großen Anzahl verschlüsselter Objekte arbeiten und dieses Problem auftritt, besteht eine Möglichkeit darin, Amazon-S3-Bucket-Schlüssel zu aktivieren, um die Anzahl der Aufrufe an KMS zu reduzieren. Weitere Informationen finden Sie unter Reduzieren der Kosten für SSE-KMS mit Amazon-S3-Bucket-Schlüsseln im Benutzerhandbuch von Amazon Simple Storage Service. Eine weitere Möglichkeit besteht darin, Ihre Servicekontingente für AWS KMS zu erhöhen. Weitere Informationen finden Sie unter Kontingente im AWS Key Management Service -Entwicklerhandbuch.
Informationen zur Fehlerbehebung bei Berechtigungen bei der Verwendung von Amazon S3 mit Athena finden Sie im Abschnitt Berechtigungen des Themas Probleme in Athena beheben.
Berechtigungen für verschlüsselte Metadaten im AWS Glue
-Datenkatalog
Wenn Sie Metadaten in verschlüsseln AWS Glue Data Catalog, müssen Sie den Richtlinien "kms:GenerateDataKey""kms:Decrypt", die Sie für den Zugriff auf Athena verwenden, "kms:Encrypt" Aktionen hinzufügen. Weitere Informationen finden Sie unter Konfigurieren Sie den Zugriff von Athena auf verschlüsselte Metadaten in AWS Glue Data Catalog.
