Datenverschlüsselung für Amazon Aurora DSQL

Amazon Aurora DSQL verschlüsselt alle Benutzerdaten im Ruhezustand. Diese Verschlüsselung verwendet AWS Key Management Service (AWS KMS) für erhöhte Sicherheit. Diese Funktionalität trägt zur Verringerung des Betriebsaufwands und der Komplexität bei, die mit dem Schutz sensibler Daten einhergeht. Verschlüsselung im Ruhezustand:

Mit Aurora DSQL können Sie sicherheitsrelevante Anwendungen erstellen, die eine strenge Einhaltung der Verschlüsselungsvorschriften und der gesetzlichen Bestimmungen garantieren. In den folgenden Abschnitten wird erklärt, wie Sie die Verschlüsselung für neue und bestehende Aurora DSQL-Datenbanken konfigurieren und Ihre Verschlüsselungsschlüssel verwalten.

KMS-Schlüsseltypen für Aurora DSQL

Aurora DSQL integriert sich in AWS KMS , um die Verschlüsselungsschlüssel für Ihre Cluster zu verwalten. Weitere Informationen zu Schlüsseltypen und -zustände finden Sie unter AWS Key Management Service Konzepte im AWS Key Management Service Entwicklerhandbuch. Wenn Sie einen neuen Cluster erstellen, können Sie für Ihre Clusterverschlüsselung aus den folgenden KMS-Schlüsseltypen wählen:

Die Verschlüsselung im Ruhezustand mit dem AWS-eigener Schlüssel ist ohne zusätzliche Kosten verfügbar. Für vom Kunden verwaltete Schlüssel fallen jedoch AWS KMS Gebühren an. Weitere Informationen finden Sie in der AWS KMS-Preisliste.

Sie können jederzeit zwischen diesen Schlüsseltypen wechseln. Weitere Informationen zu Schlüsseltypen finden Sie unter Kundenseitig verwaltete Schlüssel und AWS-eigene Schlüssel im AWS Key Management Service -Entwicklerhandbuch.

Verschlüsselung im Ruhezustand in Aurora DSQL

Amazon Aurora DSQL verwendet den 256-Bit-Advanced Encryption Standard (AES-256), um Ihre Daten im Ruhezustand zu verschlüsseln. Diese Verschlüsselung schützt Ihre Daten vor unbefugtem Zugriff auf den zugrunde liegenden Speicher. AWS KMS verwaltet die Verschlüsselungsschlüssel für Ihre Cluster. Sie können die standardmäßigen AWS-eigene Schlüssel verwenden, oder aber Ihre eigenen AWS KMS -Kundenseitig verwaltete Schlüssel auswählen. Weitere Informationen zur Festlegung und Verwaltung von Schlüsseln für Ihre Aurora DSQL-Cluster finden Sie unter Erstellen eines verschlüsselten Aurora DSQL-Clusters und Entfernen oder Aktualisieren eines Schlüssels für Ihren Aurora DSQL-Cluster.

AWS-eigene Schlüssel

Aurora DSQL verschlüsselt alle Cluster standardmäßig mit. AWS-eigene Schlüssel Diese Schlüssel können kostenlos verwendet werden und werden jährlich gewechselt, um Ihre Kontoressourcen zu schützen. Sie müssen diese Schlüssel nicht einsehen, verwalten, verwenden oder prüfen, sodass keine Maßnahmen für den Datenschutz erforderlich werden. Weitere Informationen AWS-eigene Schlüssel dazu finden Sie AWS-eigene Schlüssel im AWS Key Management Service Entwicklerhandbuch.

Kundenseitig verwaltete Schlüssel

Kundenseitig verwaltete Schlüssel erstellen, besitzen und verwalten Sie über Ihr AWS-Konto. Sie haben die vollständige Kontrolle über diese KMS-Schlüssel, einschließlich ihrer Richtlinien, Verschlüsselungsmaterialien, Tags und Aliasse. Weitere Informationen finden Sie unter Kundenseitig verwaltete Schlüssel im AWS Key Management Service -Entwicklerhandbuch.

Wenn Sie einen kundenseitig verwalteten Schlüssel für die Verschlüsselung auf Clusterebene angeben, verschlüsselt Aurora DSQL den Cluster und alle seine regionalen Daten mit diesem Schlüssel. Um Datenverlust zu verhindern und den Cluster-Zugriff aufrechtzuerhalten, benötigt Aurora DSQL Zugriff auf Ihren Verschlüsselungsschlüssel. Wenn Sie Ihren kundenseitig verwalteten Schlüssel deaktivieren, Ihren Schlüssel für die Löschung planen oder eine Richtlinie festgelegt haben, die Ihren Servicezugriff einschränkt, ändert sich der Verschlüsselungsstatus für Ihren Cluster auf KMS_KEY_INACCESSIBLE. Wenn Aurora DSQL nicht auf den Schlüssel zugreifen kann, können Benutzer keine Verbindung zum Cluster herstellen. Der Verschlüsselungsstatus für den Cluster ändert sich auf KMS_KEY_INACCESSIBLE und der Service verliert den Zugriff auf die Clusterdaten.

Bei Clustern mit mehreren Regionen können Kunden den AWS KMS Verschlüsselungsschlüssel jeder Region separat konfigurieren, und jeder regionale Cluster verwendet seinen eigenen Verschlüsselungsschlüssel auf Clusterebene. Wenn Aurora DSQL nicht auf den Verschlüsselungsschlüssel für einen Peer in einem Cluster mit mehreren Regionen zugreifen kann, wird der Status für diesen Peer auf KMS_KEY_INACCESSIBLE gesetzt, wodurch er nicht mehr für Lese- und Schreibvorgänge verfügbar ist. Andere Peers setzen den normalen Betrieb fort.

Verwenden AWS KMS und Datenschlüssel mit Aurora DSQL

Die Aurora-DSQL-Funktion zur Verschlüsselung im Ruhezustand verwendet eine AWS KMS key Hierarchie von Datenschlüsseln, um Ihre Cluster-Daten zu schützen.

Wir empfehlen, Ihre Verschlüsselungsstrategie im Voraus zu planen, bevor Sie Ihren Cluster in Aurora DSQL implementieren. Wenn Sie sensible oder vertrauliche Daten in Aurora DSQL speichern, sollten Sie erwägen, eine clientseitige Verschlüsselung in Ihren Plan aufzunehmen. Auf diese Weise können Sie Daten so nah wie möglich an ihrem Ursprung verschlüsseln und den Schutz der Daten während ihres gesamten Lebenszyklus gewährleisten.

Verwenden AWS KMS key Wie bei Aurora DSQL

Die Verschlüsselung im Ruhezustand schützt Ihren Aurora DSQL-Cluster unter einem AWS KMS key. Standardmäßig verwendet Aurora DSQL einen AWS-eigener Schlüssel, einen Multi-Tenant-Verschlüsselungsschlüssel, der in einem Aurora DSQL-Dienstkonto erstellt und verwaltet wird. Sie können Ihre Aurora DSQL-Cluster jedoch unter einem kundenseitig verwalteten Schlüssel in Ihrem AWS-Konto verschlüsseln. Für jeden Cluster können Sie einen anderen KMS-Schlüssel auswählen, auch wenn dieser an einer multiregionalen Konfiguration beteiligt ist.

Den KMS-Schlüssel für ein Cluster wählen Sie beim Erstellen oder Aktualisieren des Clusters aus. Sie können den KMS-Schlüssel für ein Cluster jederzeit entweder in der Aurora DSQL-Konsole oder mithilfe der UpdateCluster-Operation ändern. Der Vorgang des Schlüsselwechsels ist nahtlos und erfolgt ohne Ausfallzeiten oder Servicebeeinträchtigung.

Ein kundenseitig verwalteter Schlüssel bietet die folgenden Vorteile:

Sie ist jedoch kostenlos und ihre Verwendung AWS-eigener Schlüssel wird nicht auf die AWS KMS Ressourcen- oder Anforderungskontingente angerechnet. Für kundenseitig verwaltete Schlüssel fällt bei jedem API-Aufruf eine Gebühr an, und die AWS KMS -Kontingente gelten für diese Schlüssel.

Clusterschlüssel mit Aurora DSQL verwenden

Aurora DSQL verwendet den AWS KMS key für den Cluster, um einen eindeutigen Datenschlüssel für den Cluster, den sogenannten Cluster-Schlüssel, zu generieren und zu verschlüsseln.

Der Clusterschlüssel wird als Schlüssel für den Verschlüsselungsschlüssel verwendet. Aurora DSQL verwendet diesen Clusterschlüssel zum Schutz von Datenverschlüsselungsschlüsseln, die wiederum zum Verschlüsseln der Clusterdaten verwendet werden. Aurora DSQL generiert für jede zugrunde liegende Struktur in einem Cluster einen eindeutigen Datenverschlüsselungsschlüssel, wobei mehrere Clusterelemente durch denselben Schlüssel geschützt sein können.

Um den Cluster-Schlüssel zu entschlüsseln, sendet Aurora DSQL eine Anfrage an, AWS KMS wenn Sie zum ersten Mal auf einen verschlüsselten Cluster zugreifen. Um die Verfügbarkeit des Clusters sicherzustellen, überprüft Aurora DSQL regelmäßig den Entschlüsselungszugriff auf den KMS-Schlüssel – auch wenn Sie gerade nicht aktiv auf den Cluster zugreifen.

Aurora DSQL speichert und verwendet den Clusterschlüssel und die Datenverschlüsselungsschlüssel außerhalb von. AWS KMS Alle Schlüssel werden mit Advanced Encryption Standard (AES)-Verschlüsselung und 256-Bit-Verschlüsselungsschlüsseln geschützt. Anschließend werden die verschlüsselten Schlüssel zusammen mit den verschlüsselten Daten gespeichert, damit sie on-demand für die Entschlüsselung der Clusterdaten verfügbar sind.

Wenn Sie den KMS-Schlüssel für Ihren Cluster ändern, verschlüsselt Aurora DSQL den vorhandenen Clusterschlüssel erneut mit dem neuen KMS-Schlüssel.

Clusterschlüssel-Caching

Um zu vermeiden, dass jede Aurora-DSQL-Operation aufgerufen AWS KMS wird, speichert Aurora DSQL die Klartext-Clusterschlüssel für jeden Aufrufer im Speicher. Wenn Aurora DSQL nach 15 Minuten Inaktivität eine Anfrage für den zwischengespeicherten Cluster-Schlüssel erhält, sendet es eine neue Anfrage zur Entschlüsselung des Cluster-Schlüssels. AWS KMS Dieser Aufruf erfasst alle Änderungen, die nach der letzten Anforderung zur Entschlüsselung des AWS KMS key Cluster-Schlüssels an den Zugriffsrichtlinien von In AWS KMS oder AWS Identity and Access Management (IAM) vorgenommen wurden.

Autorisierung der Verwendung Ihres AWS KMS key für Aurora DSQL

Wenn Sie einen kundenseitig verwalteten Schlüssel in Ihrem Konto zum Schutz Ihres Aurora DSQL-Clusters verwenden, müssen die Richtlinien dieses Schlüssels Aurora DSQL die Berechtigung erteilen, ihn in Ihrem Namen zu verwenden.

Sie haben die vollständige Kontrolle über die Richtlinien eines kundenseitig verwalteten Schlüssels. Aurora DSQL benötigt keine zusätzliche Autorisierung, um die Standardeinstellung AWS-eigener Schlüssel zum Schutz der Aurora DSQL-Cluster in Ihrem zu verwenden. AWS-Konto

Schlüsselrichtlinie für einen kundenseitig verwalteten Schlüssel

Wenn Sie einen vom AWS KMS key Kunden verwalteten Schlüssel zum Schutz eines Aurora-DSQL-Clusters auswählen, benötigt Aurora DSQL die Erlaubnis, den im Namen des Prinzipals zu verwenden, der die Auswahl trifft. Dieser Principal, ein Benutzer oder eine Rolle, muss über die für Aurora DSQL AWS KMS key erforderlichen Berechtigungen verfügen. Sie können diese Berechtigungen in einer Schlüsselrichtlinie oder einer IAM-Richtlinie bereitstellen.

Als Minimum benötigt Aurora DSQL die folgenden Berechtigungen für einen kundenseitig verwalteten Schlüssel:

Beispielsweise bietet die folgende Beispiel-Schlüsselrichtlinie nur die erforderlichen Berechtigungen. Die Richtlinie hat folgende Auswirkungen:

Bevor Sie eine Beispiel-Schlüsselrichtlinie verwenden, ersetzen Sie die Beispielprinzipale durch tatsächliche Prinzipale von Ihnen. AWS-Konto

{
  "Sid": "Enable dsql IAM User Permissions",
  "Effect": "Allow",
  "Principal": {
    "Service": "dsql.amazonaws.com"
  },
  "Action": [
    "kms:Decrypt",
    "kms:GenerateDataKey",
    "kms:Encrypt",
    "kms:ReEncryptFrom",
    "kms:ReEncryptTo"
  ],
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:EncryptionContext:aws:dsql:ClusterId": "w4abucpbwuxx",
      "aws:SourceArn": "arn:aws:dsql:us-east-2:111122223333:cluster/w4abucpbwuxx"
    }
  }
},
{
  "Sid": "Enable dsql IAM User Describe Permissions",
  "Effect": "Allow",
  "Principal": {
    "Service": "dsql.amazonaws.com"
  },
  "Action": "kms:DescribeKey",
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "aws:SourceArn": "arn:aws:dsql:us-east-2:111122223333:cluster/w4abucpbwuxx"
    }
  }
}
      

Aurora DSQL Verschlüsselungskontext

Ein Verschlüsselungskontext ist eine Gruppe von Schlüssel/Wert-Paaren mit willkürlichen, nicht geheimen Daten. Wenn Sie einen Verschlüsselungskontext in eine Anforderung zum Verschlüsseln von Daten einbeziehen, wird der Verschlüsselungskontext AWS KMS kryptografisch an die verschlüsselten Daten gebunden. Zur Entschlüsselung der Daten müssen Sie denselben Verschlüsselungskontext übergeben.

Aurora DSQL verwendet bei allen kryptografischen Vorgängen denselben Verschlüsselungskontext. AWS KMS Wenn Sie einen vom Kunden verwalteten Schlüssel verwenden, um Ihren Aurora DSQL-Cluster zu schützen, können Sie den Verschlüsselungskontext verwenden, um die Verwendung des Schlüssels AWS KMS key in Auditaufzeichnungen und Protokollen zu identifizieren. Er erscheint auch im Klartext in Protokollen wie denen von AWS CloudTrail.

Der Verschlüsselungskontext kann außerdem als Bedingung für die Autorisierung in Richtlinien verwendet werden.

In seinen Anfragen an AWS KMS Aurora DSQL verwendet einen Verschlüsselungskontext mit einem Schlüssel-Wert-Paar:

"encryptionContext": {
  "aws:dsql:ClusterId": "w4abucpbwuxx"
},
    

Das Schlüssel-Wert-Paar identifiziert den Cluster, den Aurora DSQL verschlüsselt. Der Schlüssel lautet aws:dsql:ClusterId. Dieser Wert ist die ID des Clusters.

Überwachung der Interaktion von Aurora DSQL mit AWS KMS

Wenn Sie einen vom Kunden verwalteten Schlüssel zum Schutz Ihrer Aurora DSQL-Cluster verwenden, können Sie mithilfe von AWS CloudTrail Protokollen die Anfragen verfolgen, an die Aurora DSQL in AWS KMS Ihrem Namen sendet.

Erweitern Sie die folgenden Abschnitte, um zu erfahren, wie Aurora DSQL die AWS KMS Operationen und verwendet. GenerateDataKey Decrypt

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AWSService",
        "invokedBy": "dsql.amazonaws.com"
    },
    "eventTime": "2025-05-16T18:41:24Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "GenerateDataKey",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "dsql.amazonaws.com",
    "userAgent": "dsql.amazonaws.com",
    "requestParameters": {
        "encryptionContext": {
            "aws:dsql:ClusterId": "w4abucpbwuxx"
        },
        "keySpec": "AES_256",
        "keyId": "arn:aws:kms:us-east-1:982127530226:key/8b60dd9f-2ff8-4b1f-8a9c-bf570cbfdb5e"
    },
    "responseElements": null,
    "requestID": "2da2dc32-d3f4-4d6c-8a41-aff27cd9a733",
    "eventID": "426df0a6-ba56-3244-9337-438411f826f4",
    "readOnly": true,
    "resources": [
        {
            "accountId": "AWS Internal",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-east-1:982127530226:key/8b60dd9f-2ff8-4b1f-8a9c-bf570cbfdb5e"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "sharedEventID": "f88e0dd8-6057-4ce0-b77d-800448426d4e",
    "vpcEndpointId": "AWS Internal",
    "vpcEndpointAccountId": "vpce-1a2b3c4d5e6f1a2b3",
    "eventCategory": "Management"
}
      

{
  "eventVersion": "1.05",
  "userIdentity": {
    "type": "AWSService",
    "invokedBy": "dsql.amazonaws.com"
  },
  "eventTime": "2018-02-14T16:42:39Z",
  "eventSource": "kms.amazonaws.com",
  "eventName": "Decrypt",
  "awsRegion": "us-east-1",
  "sourceIPAddress": "dsql.amazonaws.com",
  "userAgent": "dsql.amazonaws.com",
  "requestParameters": {
    "keyId": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "encryptionContext": {
      "aws:dsql:ClusterId": "w4abucpbwuxx"
    },
    "encryptionAlgorithm": "SYMMETRIC_DEFAULT"
  },
  "responseElements": null,
  "requestID": "11cab293-11a6-11e8-8386-13160d3e5db5",
  "eventID": "b7d16574-e887-4b5b-a064-bf92f8ec9ad3",
  "readOnly": true,
  "resources": [
    {
      "ARN": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
      "accountId": "AWS Internal",
      "type": "AWS::KMS::Key"
    }
  ],
  "eventType": "AwsApiCall",
  "managementEvent": true,
  "recipientAccountId": "111122223333",
  "sharedEventID": "d99f2dc5-b576-45b6-aa1d-3a3822edbeeb",
  "vpcEndpointId": "AWS Internal",
  "vpcEndpointAccountId": "vpce-1a2b3c4d5e6f1a2b3",
  "eventCategory": "Management"
}
      

Erstellen eines verschlüsselten Aurora DSQL-Clusters

Alle Aurora DSQL-Cluster sind im Ruhezustand verschlüsselt. Standardmäßig verwenden Cluster einen kostenlosen Schlüssel AWS-eigener Schlüssel , oder Sie können einen benutzerdefinierten Schlüssel angeben. AWS KMS Folgen Sie diesen Schritten, um Ihren verschlüsselten Cluster entweder aus dem AWS-Managementkonsole oder dem zu erstellen AWS CLI.

Entfernen oder Aktualisieren eines Schlüssels für Ihren Aurora DSQL-Cluster

Sie können AWS-Managementkonsole oder die verwenden AWS CLI , um die Verschlüsselungsschlüssel auf vorhandenen Clustern in Amazon Aurora DSQL zu aktualisieren oder zu entfernen. Wenn Sie einen Schlüssel entfernen, ohne ihn zu ersetzen, verwendet Aurora DSQL den Standard- AWS-eigener Schlüssel. Im Folgenden sehen Sie, wie Sie die Verschlüsselungsschlüssel eines bestehenden Clusters über die Aurora DSQL-Konsole oder die AWS CLI aktualisieren.

Überlegungen zur Verschlüsselung mit Aurora DSQL