Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Im folgenden Beispiel-Workflow werden die Optionen hervorgehoben, die konfiguriert werden müssen, wenn Sie Verschlüsselung mit verwenden AWS Glue. Das Beispiel zeigt die Verwendung bestimmter Tasten AWS Key Management Service (AWS KMS), aber Sie können je nach Ihren speziellen Bedürfnissen auch andere Einstellungen wählen. In diesem Workflow werden bei der Einrichtung nur die Optionen hervorgehoben, die sich auf die Verschlüsselung beziehen AWS Glue.
-
Wenn der Benutzer des AWS Glue Die Konsole verwendet keine Berechtigungsrichtlinie, die alle erlaubt AWS Glue API-Operationen (z. B.
"glue:*") bestätigen, dass die folgenden Aktionen zulässig sind:"glue:GetDataCatalogEncryptionSettings""glue:PutDataCatalogEncryptionSettings""glue:CreateSecurityConfiguration""glue:GetSecurityConfiguration""glue:GetSecurityConfigurations""glue:DeleteSecurityConfiguration"
-
Jeder Client, der auf einen verschlüsselten Katalog zugreift, d. h. jeder Konsolenbenutzer, Crawler, Auftrag oder Entwicklungsendpunkt, benötigt die folgenden Berechtigungen.
{ "Version": "2012-10-17", "Statement": { "Effect": "Allow", "Action": [ "kms:GenerateDataKey", "kms:Decrypt", "kms:Encrypt" ], "Resource": "<key-arns-used-for-data-catalog>" } } -
Jeder Benutzer oder jede Rolle, der bzw. die auf ein verschlüsseltes Verbindungspasswort zugreift, benötigt die folgenden Berechtigungen.
{ "Version": "2012-10-17", "Statement": { "Effect": "Allow", "Action": [ "kms:Decrypt" ], "Resource": "<key-arns-used-for-password-encryption>" } } -
Die Rolle eines jeden Extraktions-, Transformations- und Ladeauftrags (ETL), der verschlüsselte Daten in Amazon S3 schreibt, erfordert die folgenden Berechtigungen.
{ "Version": "2012-10-17", "Statement": { "Effect": "Allow", "Action": [ "kms:Decrypt", "kms:Encrypt", "kms:GenerateDataKey" ], "Resource": "<key-arns-used-for-s3>" } } -
Jeder ETL-Job oder Crawler, der verschlüsselte CloudWatch Amazon-Logs schreibt, benötigt die folgenden Berechtigungen in den Schlüssel- und IAM-Richtlinien.
In der Schlüsselrichtlinie (nicht in der IAM-Richtlinie):
{ "Effect": "Allow", "Principal": { "Service": "logs.region.amazonaws.com" }, "Action": [ "kms:Encrypt*", "kms:Decrypt*", "kms:ReEncrypt*", "kms:GenerateDataKey*", "kms:Describe*" ], "Resource": "<arn of key used for ETL/crawler cloudwatch encryption>" }Weitere Informationen zu Schlüsselrichtlinien finden Sie unter Verwenden von Schlüsselrichtlinien in AWS KMS im AWS Key Management Service - Entwicklerhandbuch.
Fügen Sie in der IAM-Richtlinie die
logs:AssociateKmsKey-Berechtigung hinzu:{ "Effect": "Allow", "Principal": { "Service": "logs.region.amazonaws.com" }, "Action": [ "logs:AssociateKmsKey" ], "Resource": "<arn of key used for ETL/crawler cloudwatch encryption>" } -
Jeder ETL-Auftrag, der ein verschlüsseltes Auftrags-Lesezeichen verwendet, benötigt die folgenden Berechtigungen:
{ "Version": "2012-10-17", "Statement": { "Effect": "Allow", "Action": [ "kms:Decrypt", "kms:Encrypt" ], "Resource": "<key-arns-used-for-job-bookmark-encryption>" } } -
Auf dem AWS Glue Wählen Sie im Navigationsbereich die Option Einstellungen aus.
-
Wählen Sie auf der Seite Data catalog settings (Data-Catalog-Einstellungen) die Option Metadata encryption (Metadatenverschlüsselung), um den Data Catalog zu verschlüsseln. Diese Option verschlüsselt alle Objekte im Datenkatalog mit dem von Ihnen ausgewählten AWS KMS Schlüssel.
-
Wählen Sie für AWS KMS --Schlüssel) die Option aws/glue aus. Sie können auch einen AWS KMS Schlüssel auswählen, den Sie erstellt haben.
Wichtig
AWS Glue unterstützt nur symmetrische Kunden-Masterschlüssel (CMKs). In der Liste der AWS KMS -Schlüssel werden nur symmetrische Schlüssel angezeigt. Wenn Sie jedoch „ AWS KMS Schlüssel-ARN auswählen“ auswählen, können Sie in der Konsole einen ARN für einen beliebigen Schlüsseltyp eingeben. Stellen Sie sicher, dass Sie nur ARNs für symmetrische Schlüssel eingeben.
Wenn die Verschlüsselung aktiviert ist, muss der Client, der auf den Data Catalog zugreift, über AWS KMS -Berechtigungen verfügen.
-
-
Wählen Sie im Navigationsbereich Security configurations (Sicherheitskonfigurationen) aus. Eine Sicherheitskonfiguration besteht aus einer Reihe von Sicherheitseigenschaften, die zur Konfiguration verwendet werden können AWS Glue Prozesse. Wählen Sie dann Add security configuration (Sicherheitskonfiguration hinzufügen). Wählen Sie in der Konfiguration eine der folgenden Optionen:
-
Wählen Sie S3 encryption (S3-Verschlüsselung) aus. Für Encryption mode (Verschlüsselungsmodus) wählen Sie SSE-KMS. Wählen Sie für den AWS KMS -Schlüssel aws/s3 (stellen Sie sicher, dass der Benutzer die Berechtigung hat, diesen Schlüssel zu verwenden). Dadurch können Daten, die vom Job in Amazon S3 geschrieben wurden, die AWS verwalteten Daten verwenden AWS Glue AWS KMS Schlüssel.
-
Wählen Sie CloudWatch Protokollverschlüsselung und wählen Sie einen CMK aus. (Stellen Sie sicher, dass der Benutzer über die Berechtigung verfügt, diesen Schlüssel zu verwenden). Weitere Informationen finden Sie unter Verschlüsseln von Protokolldaten in CloudWatch Logs Using AWS KMS im AWS Key Management Service Entwicklerhandbuch.
Wichtig
AWS Glue unterstützt nur symmetrische Kunden-Masterschlüssel ()CMKs. In der Liste der AWS KMS -Schlüssel werden nur symmetrische Schlüssel angezeigt. Wenn Sie jedoch „ AWS KMS Schlüssel-ARN auswählen“ auswählen, können Sie in der Konsole einen ARN für einen beliebigen Schlüsseltyp eingeben. Stellen Sie sicher, dass Sie nur ARNs für symmetrische Schlüssel eingeben.
-
Wählen Sie Advanced properties (Erweiterte Eigenschaften) und aktivieren Sie das Kontrollkästchen Job bookmark encryption (Verschlüsselung von Auftrags-Lesezeichen). Wählen Sie für den AWS KMS -Schlüssel aws/glue (stellen Sie sicher, dass der Benutzer die Berechtigung hat, diesen Schlüssel zu verwenden). Dies ermöglicht die Verschlüsselung von Job-Lesezeichen, die in Amazon S3 geschrieben wurden, mit dem AWS Glue AWS KMS Schlüssel.
-
-
Wählen Sie im Navigationsbereich Connections aus.
-
Wählen Sie Add connection (Verbindung hinzufügen), um eine Verbindung zum Java Database Connectivity (JDBC)-Datenspeicher herzustellen, der das Ziel Ihres ETL-Auftrags ist.
-
Um die Verwendung der SSL (Secure Sockets Layer)-Verschlüsselung zu erzwingen, aktivieren Sie Require SSL connection (SSL-Verbindung erforderlich) und testen Sie Ihre Verbindung.
-
-
Wählen Sie im Navigationsbereich die Option Jobs (Aufträge) aus.
-
Wählen Sie Add job (Auftrag hinzufügen), um einen Auftrag zu erstellen, der Daten transformiert.
-
Wählen Sie in der Auftragsdefinition die von Ihnen erstellte Sicherheitskonfiguration aus.
-
-
Auf dem AWS Glue Konsole, führe deinen Job bei Bedarf aus. Stellen Sie sicher, dass alle vom Job geschriebenen Amazon S3 S3-Daten, die vom Job geschriebenen CloudWatch Logs und die Job-Lesezeichen alle verschlüsselt sind.
