Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Actualización de un recurso para que utilice su clave de KMS con la consola
En la consola de AWS CloudTrail, actualice un registro de seguimiento o un almacén de datos de eventos para que utilicen una clave de AWS Key Management Service. Tenga en cuenta que el uso de su propia clave de KMS implica costos de cifrado y descifrado de AWS KMS. Para más información, consulte Precios de AWS Key Management Service
Temas
Actualizar un registro de seguimiento para que utilice una clave de KMS
Para actualizar un registro de seguimiento para utilizar la AWS KMS key que ha modificado para CloudTrail, siga los pasos que se describen a continuación en la consola de CloudTrail.
nota
La actualización de un registro de seguimiento mediante el siguiente procedimiento cifra los archivos de log, pero no los archivos de resumen, con SSE-KMS. Los archivos de resumen se cifran con claves de cifrado administradas por Amazon S3 (SSE-S3).
Si está utilizando un bucket de S3 existente con una clave de bucket de S3, CloudTrail debe tener permiso en la política de claves para utilizar las acciones GenerateDataKey y DescribeKey de AWS KMS. Si cloudtrail.amazonaws.com no tiene estos permisos en la política de claves, no se puede crear ni actualizar un registro de seguimiento.
Para actualizar un registro de seguimiento utilizando la AWS CLI, consulte Habilitar y deshabilitar el cifrado de archivos de registros de CloudTrail con la AWS CLI.
Para actualizar un registro de seguimiento a fin de utilizar su clave de KMS
Inicie sesión en la AWS Management Console y abra la consola de CloudTrail en https://console.aws.amazon.com/cloudtrail/
. -
Elija Trails (Registros de seguimiento) y, a continuación, elija un nombre de registro de seguimiento.
-
En General details (Detalles generales), elijaEdit (Editar).
-
En Log file SSE-KMS encryption (Cifrado SSE-KMS de archivos de registro), elija Enabled (Habilitado) si desea cifrar sus archivos de registro con cifrado SSE-KMS en vez de SSE-S3. El valor predeterminado es Enabled (Habilitado). Si no habilita el cifrado SSE-KMS, los registros se cifrarán mediante el cifrado SSE-S3. Para obtener más información sobre el cifrado SSE-KMS, consulte Uso del cifrado del lado del servidor con AWS Key Management Service (SSE-KMS). Para obtener más información sobre el cifrado SSE-S3, consulte Uso de cifrado del lado del servidor con claves de cifrado administradas por Amazon S3 (SSE-S3).
Elija Existing (Existente) para actualizar el registro de seguimiento con su AWS KMS key. Elija una clave de KMS que esté en la misma región que el bucket de S3 que recibe sus archivos de registros. Para verificar la región a la que pertenece un bucket de S3, consulte sus propiedades en la consola de S3.
nota
También puede escribir el ARN de una clave de otra cuenta. Para obtener más información, consulte Actualización de un recurso para que utilice su clave de KMS con la consola. La política de claves debe permitir que CloudTrail utilice la clave para cifrar los archivos de registros y que los usuarios especificados lean archivos de registros en formato no cifrado. Para obtener más información sobre cómo editar manualmente la política de claves, consulte Configurar políticas AWS KMS clave para CloudTrail.
En Alias de AWS KMS, especifique el alias para el que cambió la política para utilizarla con CloudTrail en el formato
alias/MiAlias. Para obtener más información, consulte Actualización de un recurso para que utilice su clave de KMS con la consola.Puede escribir el nombre del alias, el ARN o el ID de clave único global. Si la clave de KMS pertenece a otra cuenta, compruebe que la política de claves tenga los permisos que le permiten utilizarla. El valor puede tener uno de los siguientes formatos:
-
Nombre del alias:
alias/MyAliasName -
ARN del alias:
arn:aws:kms:region:123456789012:alias/MyAliasName -
ARN de la clave:
arn:aws:kms:region:123456789012:key/12345678-1234-1234-1234-123456789012 -
ID de la clave único global:
12345678-1234-1234-1234-123456789012
-
-
Elija Update trail (Actualizar registro de seguimiento).
nota
Si la clave de KMS que eligió está deshabilitada o pendiente de eliminación, no podrá guardar el registro de seguimiento con dicha clave de KMS. Puede habilitar la clave de KMS o elegir otra. Para obtener más información, consulte Estado de la clave: efecto en su clave de KMS en la Guía para desarrolladoresAWS Key Management Service.
Actualizar un almacén de datos de eventos para que utilice una clave de KMS
Para actualizar un almacén de datos de eventos para que utilice la AWS KMS key que se modificó para CloudTrail, siga los pasos que se describen a continuación en la consola de CloudTrail.
Para actualizar un almacén de datos de eventos con la AWS CLI, consulte Actualice un banco de datos de eventos con el AWS CLI.
importante
Si deshabilita o elimina la clave de KMS, o elimina los permisos de CloudTrail en la clave, evitará que CloudTrail incorpore eventos en el almacén de datos de eventos y que los usuarios consulten los datos del almacén que se cifró con la clave. Después de asociar un almacén de datos de eventos a una clave de KMS, esta no se podrá eliminar ni cambiar. Antes de deshabilitar o eliminar una clave de KMS que se esté utilizando con un almacén de datos de eventos, elimínelo o haga una copia de seguridad de este.
Para actualizar un almacén de datos de eventos para que utilice su clave de KMS
Inicie sesión en la AWS Management Console y abra la consola de CloudTrail en https://console.aws.amazon.com/cloudtrail/
. -
En el panel de navegación, elija Event data stores (Almacenes de datos de eventos) en Lake. Elija un almacén de datos de eventos para actualizarlo.
-
En General details (Detalles generales), elijaEdit (Editar).
-
Si la opción Cifrado aún no está habilitada, seleccione Utilizar mi propia AWS KMS key para cifrar los archivos de registro con su propia clave de KMS.
Elija Existing (Existente) para actualizar el almacén de datos de eventos con su clave de KMS. Seleccione una clave de KMS que esté en la misma región que el almacén de datos de eventos. No se admite el uso de una clave de otra cuenta.
En Introduzca el alias de AWS KMS, especifique el alias para el que cambió la política para utilizarla con CloudTrail en el formato
alias/MiAlias. Para obtener más información, consulte Actualización de un recurso para que utilice su clave de KMS con la consola.Puede elegir un alias o utilizar el ID global único de la clave. El valor puede tener uno de los siguientes formatos:
-
Nombre del alias:
alias/MyAliasName -
ARN del alias:
arn:aws:kms:region:123456789012:alias/MyAliasName -
ARN de la clave:
arn:aws:kms:region:123456789012:key/12345678-1234-1234-1234-123456789012 -
ID de la clave único global:
12345678-1234-1234-1234-123456789012
-
-
Elija Guardar cambios.
nota
Si la clave de KMS que eligió está deshabilitada o pendiente de eliminación, no podrá guardar la configuración del almacén de datos de eventos con dicha clave de KMS. Puede habilitar la clave de KMS o elegir una diferente. Para obtener más información, consulte Estado de la clave: efecto en su clave de KMS en la Guía para desarrolladoresAWS Key Management Service.
