Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Cifrado de datos en reposo
Todos los sistemas de archivos y copias de seguridad de Amazon FSx para NetApp ONTAP se cifran en reposo y las claves se administran mediante (). AWS Key Management Service AWS KMS Los datos se cifran de manera automática antes de escribirse en el sistema de archivos y se descifran de la misma manera a medida que se leen. Todas las copias de seguridad se cifran automáticamente al crearlas y se descifran automáticamente cuando se restaura la copia de seguridad en un volumen nuevo. Estos procesos los administra Amazon FSx de forma transparente, por lo que no tiene que modificar las aplicaciones.
Amazon FSx utiliza un algoritmo de AES-256 cifrado estándar del sector para cifrar los datos y metadatos de Amazon FSx en reposo. Para obtener más información, consulte los Conceptos básicos de la criptografía en la Guía del desarrollador de AWS Key Management Service .
nota
La infraestructura de administración de AWS claves utiliza algoritmos criptográficos aprobados por las normas federales de procesamiento de información (FIPS) 140-2. La infraestructura se adhiere a las recomendaciones del Instituto Nacional de Normas y Tecnología (NIST) 800-57.
Cómo los usa Amazon FSx AWS KMS
Amazon FSx se integra AWS KMS para la administración de claves. Amazon FSx utiliza claves KMS para cifrar su sistema de archivos y cualquier copia de seguridad del volumen. Usted elige la clave de KMS que se utiliza para cifrar y descifrar los sistemas de archivos y copias de seguridad del volumen (tanto de datos como de metadatos). Puede habilitar, deshabilitar o revocar concesiones en esta clave de KMS. Esta clave de KMS puede ser de uno de los dos siguientes tipos:
-
clave de KMS gestionada por AWS: Esta es la clave de KMS por defecto y su uso es gratuito.
-
Customer-managed Clave de KMS: es la clave de KMS más flexible que se puede utilizar, ya que puede configurar sus políticas y concesiones de claves para varios usuarios o servicios. Para obtener más información sobre la creación de claves de KMS, consulte Creación de claves en la Guía para AWS Key Management Service desarrolladores.
importante
Amazon FSx solo admite claves KMS de cifrado simétricas. No puede utilizar claves KMS asimétricas con Amazon FSx.
Si utiliza una clave de KMS gestionada por el cliente como clave de KMS para el cifrado y descifrado de datos de archivo, puede activar la rotación de claves. Cuando se activa la rotación de claves, AWS KMS rota automáticamente su clave una vez al año. Además, una clave administrada por el cliente le permite elegir el momento en que desea deshabilitar, volver a habilitar, eliminar o revocar el acceso a su clave de KMS. Para más información, consulte la sección sobre Rotar AWS KMS keys y Habilitar y deshabilitar claves en la Guía del desarrollador de AWS Key Management Service .
Políticas de claves de Amazon FSx para AWS KMS
Las políticas de claves son la forma principal de controlar el acceso a las claves KMS. Para obtener más información sobre las políticas de claves, consulte Uso de las políticas de claves en AWS KMS en la Guía para desarrolladores de AWS Key Management Service . En la siguiente lista se describen todos los permisos AWS KMS relacionados que Amazon FSx admite para sistemas de archivos en reposo cifrados y copias de seguridad:
-
kms:Encrypt - (opcional): cifra texto plano en texto cifrado. Este permiso está incluido en la política de claves predeterminada.
-
kms: Decrypt - (obligatorio): descifra texto cifrado. El texto cifrado es texto plano que se ha cifrado previamente. Este permiso está incluido en la política de claves predeterminada.
-
kms: ReEncrypt — (Opcional) Cifra los datos del lado del servidor con uno nuevo AWS KMS key, sin exponer el texto plano de los datos del lado del cliente. Los datos se descifran en primer lugar y luego se vuelven a cifrar. Este permiso está incluido en la política de claves predeterminada.
-
kms: GenerateDataKeyWithoutPlaintext — (Obligatorio) Devuelve una clave de cifrado de datos cifrada con una clave KMS. Este permiso se incluye en la política de claves predeterminada, en kms: GenerateDataKey *.
-
kms: CreateGrant — (Obligatorio) Añade una concesión a una clave para especificar quién puede usarla y en qué condiciones. Las concesiones son mecanismos de permiso alternativo para las políticas de claves. Para obtener más información sobre las concesiones, consulte Uso de concesiones en la Guía para desarrolladores de AWS Key Management Service . Este permiso está incluido en la política de claves predeterminada.
-
kms: DescribeKey — (Obligatorio) Proporciona información detallada sobre la clave de KMS especificada. Este permiso está incluido en la política de claves predeterminada.
-
kms: ListAliases — (Opcional) Muestra todos los alias clave de la cuenta. Si utiliza la consola para crear un sistema de archivos cifrados, este permiso rellena la lista de claves KMS. Le recomendamos que utilice este permiso para proporcionar la mejor experiencia de usuario. Este permiso está incluido en la política de claves predeterminada.
