Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Opciones de cifrado para Amazon EMR

Con las EMR versiones 4.8.0 y posteriores de Amazon, puede usar una configuración de seguridad para especificar los ajustes de cifrado de los datos en reposo, los datos en tránsito o ambos. Cuando habilita el cifrado de datos en reposo, puede optar por cifrar EMRFS los datos en Amazon S3, los datos en discos locales o ambos. Cada configuración de seguridad que cree se almacena en Amazon en EMR lugar de en la configuración del clúster, por lo que puede reutilizar fácilmente una configuración para especificar los ajustes de cifrado de datos siempre que cree un clúster. Para obtener más información, consulte Cree una configuración de seguridad con la EMR consola de Amazon o con AWS CLI.

En el siguiente diagrama se muestran las distintas opciones de cifrado de datos disponibles con las configuraciones de seguridad.

Las siguientes opciones de cifrado también están disponibles y no se configuran utilizando una configuración de seguridad:

El cifrado de datos requiere las claves y los certificados. Una configuración de seguridad le brinda la flexibilidad de elegir entre varias opciones, incluidas las claves administradas por AWS Key Management Service, las claves administradas por Amazon S3 y las claves y certificados de los proveedores personalizados que usted suministre. Si AWS KMS lo utiliza como proveedor de claves, se aplican cargos por el almacenamiento y el uso de las claves de cifrado. Para obtener más información, consulte Precios de AWS KMS.

Antes de especificar las opciones de cifrado, decida los sistemas de administración de clave y certificado que desee utilizar, para poder crear primero las claves y los certificados o los proveedores personalizados que especifique como parte de la configuración de cifrado.

Cifrado en reposo para EMRFS datos en Amazon S3

El cifrado de Amazon S3 funciona con los objetos del Amazon EMR File System (EMRFS) leídos y escritos en Amazon S3. Debe especificar el cifrado del lado del servidor (SSE) o el cifrado del lado del cliente (CSE) de Amazon S3 como modo de cifrado predeterminado cuando habilita el cifrado en reposo. También puede especificar métodos de cifrado diferentes para buckets individuales utilizando Per bucket encryption overrides (Reemplazos de cifrado por bucket). Independientemente de si el cifrado de Amazon S3 está activado, Transport Layer Security (TLS) cifra los EMRFS objetos en tránsito entre los nodos EMR del clúster y Amazon S3. Para obtener más información acerca del cifrado de Amazon S3, consulte Protección de datos mediante cifrado en la Guía del usuario de Amazon Simple Storage Service.

Cifrado del servidor de Amazon S3

Cuando configura el cifrado del servidor de Amazon S3, Amazon S3 cifra los datos del objeto a medida que escribe los datos en el disco y descifra los datos cuando se accede. Para obtener más informaciónSSE, consulte Protección de datos mediante cifrado del lado del servidor en la Guía del usuario de Amazon Simple Storage Service.

Puedes elegir entre dos sistemas de gestión de claves diferentes cuando lo especifiques SSE en AmazonEMR:

SSEcon claves proporcionadas por el cliente (SSE-C) no está disponible para su uso en Amazon. EMR

Cifrado del cliente de Amazon S3

Con el cifrado del lado del cliente de Amazon S3, el cifrado y el descifrado de Amazon S3 se llevan a cabo en el EMRFS cliente de su clúster. Los objetos se cifran antes de cargarlos en Amazon S3 y se descifran después de que se descarguen. El proveedor que especifique proporciona la clave de cifrado que utiliza el cliente. El cliente puede usar las claves proporcionadas por AWS KMS (CSE-KMS) o una clase Java personalizada que proporcione la clave raíz del lado del cliente (-C). CSE Las especificaciones de cifrado varían ligeramente entre CSE - KMS y CSE -C, según el proveedor especificado y los metadatos del objeto que se va a descifrar o cifrar. Para obtener más información sobre estas diferencias, consulte Protección de los datos con el cifrado del cliente en la Guía del usuario de Amazon Simple Storage Service.

Cifrado en reposo para datos en Amazon EMR WAL

Al configurar el cifrado del lado del servidor (SSE) para el registro anticipado ()WAL, Amazon EMR cifra los datos en reposo. Puedes elegir entre dos sistemas de gestión de claves diferentes cuando lo especifiques SSE en AmazonEMR:

No puedes usar tu propia clave SSE cuando la habilitas WAL con AmazonEMR. Para obtener más información, consulta Write-ahead logs (WAL) para Amazon. EMR

Cifrado de disco local

Los siguientes mecanismos funcionan juntos para cifrar los discos locales cuando se habilita el cifrado de discos locales mediante una configuración de EMR seguridad de Amazon.

Cifrado de código abierto HDFS

HDFSintercambia datos entre instancias del clúster durante el procesamiento distribuido. También lee y escribe datos en los volúmenes del almacén de instancias y en los EBS volúmenes adjuntos a las instancias. Las siguientes opciones de cifrado de Hadoop de código abierto se activan cuando se habilita el cifrado de disco local:

Cifrado del almacén de instancias

En el EC2 caso de los tipos que utilizan el volumen del almacén de instancias NVMe basadoSSDs, el NVMe cifrado se utiliza independientemente de la configuración de EMR cifrado de Amazon. Para obtener más información, consulta NVMeSSDlos volúmenes de la Guía del EC2 usuario de Amazon. Para otros volúmenes de almacenamiento de instancias, Amazon lo EMR utiliza LUKS para cifrar el volumen del almacén de instancias cuando el cifrado del disco local está habilitado, independientemente de si EBS los volúmenes se cifran mediante EBS cifrado oLUKS.

EBScifrado de volúmenes

Si crea un clúster en una región en la que el EC2 cifrado de EBS volúmenes de Amazon está habilitado de forma predeterminada para su cuenta, EBS los volúmenes se cifran incluso si el cifrado del disco local no está habilitado. Para obtener más información, consulte Cifrado predeterminado en la Guía del EC2 usuario de Amazon. Con el cifrado de disco local activado en una configuración de seguridad, la EMR configuración de Amazon tiene prioridad sobre la EC2 encryption-by-default configuración de Amazon para las EC2 instancias de clúster.

Están disponibles las siguientes opciones para cifrar EBS volúmenes mediante una configuración de seguridad:

Cifrado en tránsito

Hay habilitados diversos mecanismos de cifrado con el cifrado en tránsito. Estas funciones son de código abierto, son específicas de la aplicación y pueden variar según la versión de Amazon. EMR Para habilitar el cifrado en tránsito, utilízalo Cree una configuración de seguridad con la EMR consola de Amazon o con AWS CLI en AmazonEMR. Para EMR los clústeres con el cifrado en tránsito habilitado, Amazon configura EMR automáticamente las configuraciones de las aplicaciones de código abierto para habilitar el cifrado en tránsito. Para los casos de uso avanzados, puede configurar las configuraciones de las aplicaciones de código abierto directamente para anular el comportamiento predeterminado en Amazon. EMR Para obtener más información, consulte la matriz de compatibilidad de cifrado en tránsito y Configuración de aplicaciones.

Consulte lo siguiente para obtener información más específica sobre las aplicaciones de código abierto relacionadas con el cifrado en tránsito:

Tiene que especificar los artefactos de cifrado utilizados para el cifrado en tránsito de una de estas dos maneras: facilitando un archivo comprimido con los certificados que carga en Amazon S3, o bien, haciendo referencia a una clase de Java personalizada que proporcione artefactos de cifrado. Para obtener más información, consulte Proporcionar certificados para cifrar los datos en tránsito con el cifrado de Amazon EMR.