Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Administración de SQS claves de Amazon

Amazon SQS se integra con AWS Key Management Service (KMS) para gestionar KMSlas claves de cifrado del lado del servidor ()SSE. Consulte El cifrado en reposo en Amazon SQS para SSE obtener información y las definiciones de administración de claves. Amazon SQS utiliza KMS claves para validar y proteger las claves de datos que cifran y descifran los mensajes. En las siguientes secciones se proporciona información sobre cómo trabajar con KMS claves y claves de datos en el SQS servicio de Amazon.

Configuración de los permisos de AWS KMS

Cada KMS clave debe tener una política clave. Ten en cuenta que no puedes modificar la política de claves de una KMS clave AWS gestionada para AmazonSQS. La política de esta KMS clave incluye permisos para que todos los principales de la cuenta (que estén autorizados a usar AmazonSQS) utilicen colas cifradas.

En el caso de una KMS clave gestionada por el cliente, debes configurar la política de claves para añadir permisos a cada productor y consumidor de colas. Para ello, debe nombrar al productor y al consumidor como usuarios en la política KMS clave. Para obtener más información sobre AWS KMS los permisos, consulte la referencia sobre AWS KMS recursos y operaciones o AWS KMS API permisos en la Guía para AWS Key Management Service desarrolladores.

Como alternativa, puede especificar los permisos necesarios en una IAM política asignada a los responsables que producen y consumen los mensajes cifrados. Para obtener más información, consulte Uso de IAM políticas AWS KMS en la Guía para AWS Key Management Service desarrolladores.

Configura KMS los permisos de AWS los servicios

Varios AWS servicios actúan como fuentes de eventos que pueden enviar eventos a las SQS colas de Amazon. Para permitir que estas fuentes de eventos funcionen con colas cifradas, debe crear una KMS clave gestionada por el cliente y añadir permisos en la política de claves para que el servicio utilice los métodos necesarios AWS KMS API. Realice los siguientes pasos para configurar los permisos.

Configure AWS KMS los permisos para los productores

Cuando caduca el periodo de reutilización de la clave de datos, la siguiente llamada del productor a SendMessage o SendMessageBatch también desencadena llamadas a kms:Decrypt y kms:GenerateDataKey. La llamada a kms:Decrypt es para verificar la integridad de la nueva clave de datos antes de usarla. Por lo tanto, el productor debe tener los kms:GenerateDataKey permisos kms:Decrypt y permisos para la KMS clave.

Añada la siguiente declaración a la IAM política del productor. Recuerde utilizar los ARN valores correctos para el recurso clave y el recurso de cola.

{
   "Version": "2012-10-17",
      "Statement": [{
         "Effect": "Allow",
         "Action": [
	     "kms:Decrypt",
         "kms:GenerateDataKey"
         ],
         "Resource":  "arn:aws:kms:us-east-2:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
         }, {
         "Effect": "Allow",
         "Action": [
            "sqs:SendMessage" 
         ],
         "Resource": "arn:aws:sqs:*:123456789012:MyQueue"
      }]
}

Configure AWS KMS los permisos para los consumidores

Cuando caduca el periodo de reutilización de la clave de datos, la siguiente llamada del cliente a ReceiveMessage también desencadena una llamada a kms:Decrypt, para verificar la integridad de la nueva clave de datos antes de usarla. Por lo tanto, el consumidor debe tener el kms:Decrypt permiso para cualquier KMS clave que se utilice para cifrar los mensajes de la cola especificada. Si la cola actúa como una cola de letra muerta, el consumidor también debe tener el kms:Decrypt permiso para usar cualquier KMS clave que se utilice para cifrar los mensajes de la cola de origen. Añada la siguiente declaración a la política del consumidor. IAM Recuerde usar los ARN valores correctos para el recurso clave y el recurso de cola.

{
   "Version": "2012-10-17",
      "Statement": [{
         "Effect": "Allow",
         "Action": [
            "kms:Decrypt"
         ],
         "Resource": "arn:aws:kms:us-east-2:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
         }, {
         "Effect": "Allow",
         "Action": [
            "sqs:ReceiveMessage"
         ],
         "Resource": "arn:aws:sqs:*:123456789012:MyQueue"
      }]
}

Configure AWS KMS los permisos con una confusa protección adjunta

Cuando la entidad principal de una instrucción de política de claves es una entidad principal de servicio de AWS, puede utilizar las claves de condición global aws:SourceArn o aws:SourceAccount para protegerse del escenario del suplente confuso. Para usar estas claves de condición, defina el valor en el nombre del recurso de Amazon (ARN) del recurso que se está cifrando. Si no conoce el ARN recurso, utilícelo aws:SourceAccount en su lugar.

En esta política KMS clave, un recurso específico de un servicio que sea propiedad de la cuenta 111122223333 puede KMS solicitar Decrypt y GenerateDataKey realizar acciones durante el SSE uso de AmazonSQS.

{
	"Version": "2012-10-17",
	"Statement": [{
		"Effect": "Allow",
		"Principal": {
            "Service": "<replaceable>service</replaceable>.amazonaws.com"
		},
		"Action": [
			"kms:GenerateDataKey",
			"kms:Decrypt"
		],
		"Resource": "*",
		"Condition": {
			"ArnEquals": {
				"aws:SourceArn": [
					"arn:aws:service::111122223333:resource"
				]
			}
		}
	}]
}

Cuando se utilizan las SQS colas de Amazon SSE habilitadas, se admiten aws:SourceArn los siguientes servicios:

Descripción del período de reutilización de la clave de datos

El período de reutilización de la clave de datos define la duración máxima para SQS que Amazon vuelva a utilizar la misma clave de datos. Cuando finaliza el período de reutilización de la clave de datos, Amazon SQS genera una nueva clave de datos. Tenga en cuenta las siguientes directrices sobre el periodo de reutilización.

Estimación de costes AWS KMS

Para predecir los costes y entender mejor tu AWS factura, quizá te interese saber con qué frecuencia Amazon SQS utiliza tu KMS clave.

Para calcular el número de API solicitudes (R) por cola, usa la siguiente fórmula:

R = (B / D) * (2 * P + C)

B es el período de facturación (en segundos).

D es el período de reutilización de claves de datos (en segundos).

Pes el número de directores productores que envían a la SQS cola de Amazon.

Ces el número de clientes principales que reciben de la SQS cola de Amazon.

A continuación se muestran algunos cálculos de ejemplo. Para obtener información exacta sobre precios, consulte Precios de AWS Key Management Service.

Ejemplo 1: Calcular el número de AWS KMS API llamadas para 2 directores y 1 cola

Este ejemplo presupone lo siguiente:

(2,678,400 / 300) * (2 * 1 + 1) = 26,784

Ejemplo 2: Calcular el número de AWS KMS API llamadas para varios productores y consumidores y 2 colas

Este ejemplo presupone lo siguiente:

(2,419,200 / 86,400 * (2 * 3 + 1)) + (2,419,200 / 86,400 * (2 * 5 + 2)) = 532

AWS KMS errores

Cuando trabajas con Amazon SQS AWS KMS, es posible que encuentres errores. Las siguientes referencias describen los errores y sus posibles soluciones.