Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verschlüsselung von Daten im Ruhezustand für Amazon OpenSearch Service

OpenSearch Service-Domains bieten die Verschlüsselung von Daten im Ruhezustand, eine Sicherheitsfunktion, die dazu beiträgt, unbefugten Zugriff auf Ihre Daten zu verhindern. Die Funktion verwendet AWS Key Management Service (AWS KMS) zum Speichern und Verwalten Ihrer Verschlüsselungsschlüssel und den Advanced Encryption Standard-Algorithmus mit 256-Bit-Schlüsseln (AES-256) für die Verschlüsselung. Wenn die Funktion aktiviert ist, verschlüsselt sie die folgenden Aspekte einer Domain:

Die folgenden Dinge werden nicht verschlüsselt, wenn Sie die Verschlüsselung gespeicherter Daten aktivieren, aber Sie können weitere Schritte zu ihrem Schutz unternehmen:

OpenSearch Der Service unterstützt nur symmetrische KMS Verschlüsselungsschlüssel, keine asymmetrischen. Informationen zum Erstellen symmetrischer Schlüssel finden Sie unter Erstellen von Schlüsseln im AWS Key Management Service -Entwicklerhandbuch.

Unabhängig davon, ob die Verschlüsselung im Ruhezustand aktiviert ist, verschlüsseln alle Domänen automatisch benutzerdefinierte Pakete mit AES -256 und vom Service verwalteten Schlüsseln. OpenSearch

Berechtigungen

Um die OpenSearch Service-Konsole zur Konfiguration der Verschlüsselung von Daten im Ruhezustand zu verwenden, benötigen Sie Leseberechtigungen AWS KMS, z. B. für die folgende identitätsbasierte Richtlinie:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:List*",
        "kms:Describe*"
      ],
      "Resource": "*"
    }
  ]
}

Wenn Sie einen anderen Schlüssel als den AWS eigenen Schlüssel verwenden möchten, müssen Sie auch über die erforderlichen Berechtigungen verfügen, um Berechtigungen für den Schlüssel zu erstellen. Diese Berechtigung erfolgt in der Regel über eine ressourcenbasierte Richtlinie, die Sie beim Erstellen des Schlüssels angeben.

Wenn Sie Ihren Schlüssel ausschließlich für OpenSearch Service behalten möchten, können Sie dieser Schlüsselrichtlinie die ViaService Bedingung kms: hinzufügen:

"Condition": {
  "StringEquals": {
    "kms:ViaService": "es.us-west-1.amazonaws.com"
  },
  "Bool": {
    "kms:GrantIsForAWSResource": "true"
  }
}

Weitere Informationen finden Sie unter Verwenden wichtiger Richtlinien AWS KMS im AWS Key Management Service Entwicklerhandbuch.

Verschlüsselung gespeicherter Daten aktivieren

Für die Verschlüsselung ruhender Daten auf neuen Domains ist entweder OpenSearch Elasticsearch 5.1 oder höher erforderlich. Für die Aktivierung auf bestehenden Domains ist entweder Elasticsearch 6.7 OpenSearch oder höher erforderlich.

Sie können die Verschlüsselung auch über die Konfiguration aktivierenAPI. Die folgende Anforderung ermöglicht die Verschlüsselung von Daten im Ruhezustand, die sich auf einer vorhandenen Domain befinden:

{
   "ClusterConfig":{
      "EncryptionAtRestOptions":{
         "Enabled": true,
         "KmsKeyId":"arn:aws:kms:us-east-1:123456789012:alias/my-key"
      }
   }
}

Deaktivierter oder gelöschter KMS Schlüssel

Wenn Sie den Schlüssel, mit dem Sie eine Domain verschlüsselt haben, deaktivieren oder löschen, kann nicht mehr auf die Domain zugegriffen werden. OpenSearch Der Dienst sendet Ihnen eine Benachrichtigung, in der Sie darüber informiert werden, dass er nicht auf den Schlüssel zugreifen kann. KMS Aktivieren Sie den Schlüssel erneut umgehend, um auf Ihre Domain zuzugreifen.

Das OpenSearch Serviceteam kann Ihnen nicht helfen, Ihre Daten wiederherzustellen, wenn Ihr Schlüssel gelöscht wird. AWS KMS löscht Schlüssel erst nach einer Wartezeit von mindestens sieben Tagen. Wenn Ihr Schlüssel gelöscht werden soll, brechen Sie entweder die Löschung ab oder machen Sie einen manuellen Snapshot der Domain, um den Verlust Ihrer Daten zu verhindern.

Verschlüsselung gespeicherter Daten deaktivieren

Nachdem Sie eine Domain zum Verschlüsseln von Daten im Ruhezustand konfiguriert haben, können Sie die Einstellung nicht mehr deaktivieren. Stattdessen können Sie einen manuellen Snapshot der vorhandenen Domain erstellen, eine andere Domain erstellen, Ihre Daten migrieren und die alte Domain löschen.

Überwachen von Domains, die Daten im Ruhezustand verschlüsseln

Domains, die Daten im Ruhezustand verschlüsseln, haben zwei zusätzliche Metriken: KMSKeyError und KMSKeyInaccessible. Diese Metriken werden nur angezeigt, wenn die Domain ein Problem mit Ihrem Verschlüsselungsschlüssel feststellt. Vollständige Beschreibungen dieser Metriken finden Sie unter Cluster-Metriken. Sie können sie entweder über die OpenSearch Service-Konsole oder die CloudWatch Amazon-Konsole anzeigen.

Weitere Überlegungen