Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Cifrado en reposo: Cómo utilizar claves administradas por el cliente para cifrar tablas en Amazon Keyspacess.

Puede utilizar la consola o instrucciones CQL para especificar la AWS KMS key para las tablas nuevas y actualizar las claves de cifrado de las tablas existentes en Amazon Keyspaces. En el siguiente tema se describe cómo implementar claves administradas por el cliente para tablas nuevas y existentes.

Requisitos previos: Crear una clave administrada por el cliente utilizando AWS KMS y conceder permisos a Amazon Keyspaces

Para poder proteger una tabla de Amazon Keyspaces con una clave administrada por el cliente, primero debe crear la clave en AWS Key Management Service (AWS KMS) y, a continuación, autorizar a Amazon Keyspaces para que utilice dicha clave.

Paso 1: Crear una clave administrada por el cliente utilizando AWS KMS

Para crear una clave administrada por el cliente a fin de utilizarla para proteger una tabla de Amazon Keyspaces, puede seguir los pasos indicados en Creación de claves KMS de cifrado simétrico con la consola o la API de AWS.

Paso 2: Autorizar el uso de su clave administrada por el cliente

Para que pueda elegir una clave administrada por el cliente para proteger una tabla de Amazon Keyspaces, las políticas de dicha clave administrada por el cliente deben conceder a Amazon Keyspaces permiso para utilizarla en su nombre. Usted tiene el control total sobre las políticas y concesiones de la clave administrada por el cliente. Puede proporcionar estos permisos en una política de claves, una política de IAM o una concesión.

Amazon Keyspaces no necesita autorización adicional para utilizar la Clave propiedad de AWS predeterminada para proteger las tablas de Amazon Keyspaces en su cuenta de AWS.

En los siguientes temas se muestra cómo configurar los permisos necesarios mediante las políticas de IAM y las concesiones que permiten que las tablas de Amazon Keyspaces utilicen una clave administrada por el cliente.

Política de claves para claves administradas por el cliente

Al seleccionar una clave administrada por el cliente para proteger una tabla de Amazon Keyspaces, Amazon Keyspaces obtiene permiso para utilizar la clave administrada por el cliente en nombre de la entidad principal que realiza la selección. Esa entidad principal, un usuario o rol debe tener en la clave administrada por el cliente los permisos que Amazon Keyspaces requiere.

Como mínimo, Amazon Keyspaces requiere los siguientes permisos en una clave administrada por el cliente:

Política de claves de ejemplo

Por ejemplo, la política de claves de ejemplo siguiente proporciona solo los permisos necesarios. La política tiene las siguientes consecuencias:

Antes de utilizar una política de claves de ejemplo, sustituya las entidades principales de ejemplo por las entidades principales reales de su cuenta de Cuenta de AWS.

{
  "Id": "key-policy-cassandra",
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid" : "Allow access through Amazon Keyspaces for all principals in the account that are authorized to use Amazon Keyspaces",
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::111122223333:user/db-lead"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey",
        "kms:CreateGrant"
      ],
      "Resource": "*",      
      "Condition": { 
         "StringLike": {
           "kms:ViaService" : "cassandra.*.amazonaws.com"
         }
      }
    },
    {
      "Sid":  "Allow administrators to view the customer managed key and revoke grants",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/db-team"
       },
      "Action": [
        "kms:Describe*",
        "kms:Get*",
        "kms:List*",
        "kms:RevokeGrant"
      ],
      "Resource": "*"
    }
  ]
}

Uso de concesiones para autorizar a Amazon Keyspaces

Además de las políticas de claves, Amazon Keyspaces utiliza concesiones para establecer permisos en una clave administrada por el cliente. Para ver las concesiones de una clave administrada por el cliente en su cuenta, utilice la operación ListGrants. Amazon Keyspaces no necesita concesiones, ni ningún permiso adicional, para utilizar la Clave propiedad de AWS para proteger su tabla.

Amazon Keyspaces utiliza los permisos de concesión cuando realiza tareas de mantenimiento del sistema en segundo plano y de protección continua de datos. También utiliza las concesiones para generar las claves de la tabla.

Cada concesión es específica de una tabla. Si la cuenta incluye múltiples tablas cifradas bajo la misma clave administrada por el cliente, existe una concesión de cada tipo para cada tabla. La concesión está limitada por el contexto de cifrado de Amazon Keyspaces, que incluye el nombre de la tabla y el ID de la Cuenta de AWS. La concesión incluye el permiso para retirar la concesión si ya no fuera necesaria.

Para crear las concesiones, Amazon Keyspaces debe tener permiso para llamar a CreateGrant en nombre del usuario que creó la tabla cifrada.

La política de claves también puede permitir a la cuenta revocar la concesión en la clave administrada por el cliente. Sin embargo, si revoca la concesión en una tabla cifrada activa, Amazon Keyspaces no podrá proteger ni mantener la tabla.

Paso 3: Especificar una clave administrada por el cliente para una tabla nueva

Siga estos pasos para especificar la clave administrada por el cliente en una tabla nueva mediante la consola de Amazon Keyspaces o CQL.

Creación de una tabla cifrada utilizando una clave administrada por el cliente (consola)

Creación de una tabla nueva mediante una clave administrada por el cliente para el cifrado en reposo (CQL)

Para crear una nueva tabla que utilice una clave administrada por el cliente para el cifrado en reposo, puede utilizar la instrucción CREATE TABLE como se muestra en el siguiente ejemplo. Asegúrese de sustituir el ARN de la clave por el ARN de una clave válida con permisos concedidos a Amazon Keyspaces.

CREATE TABLE my_keyspace.my_table(id bigint, name text, place text STATIC, PRIMARY KEY(id, name)) WITH CUSTOM_PROPERTIES = {
        'encryption_specification':{
                'encryption_type': 'CUSTOMER_MANAGED_KMS_KEY', 
                'kms_key_identifier':'arn:aws:kms:eu-west-1:5555555555555:key/11111111-1111-111-1111-111111111111'
            }
    };

Si recibe una Invalid Request Exception, debe confirmar que la clave administrada por el cliente sea válida y que Amazon Keyspaces disponga de los permisos necesarios. Para confirmar que la clave se haya configurado correctamente, consulte Solución de problemas de acceso a la clave en la Guía para desarrolladores de AWS Key Management Service.

Paso 4: Actualizar la clave de cifrado de una tabla existente

También puede utilizar la consola de Amazon Keyspaces o CQL para cambiar las claves de cifrado de una tabla existente entre una Clave propiedad de AWS y una clave KMS administrada por el cliente en cualquier momento.

Actualización de una tabla existente con la nueva clave administrada por el cliente (consola)

Actualización de la clave de cifrado utilizada en una tabla existente

Para cambiar la clave de cifrado de una tabla existente, utilice la instrucción ALTER TABLE para especificar una clave administrada por el cliente para el cifrado en reposo. Asegúrese de sustituir el ARN de la clave por el ARN de una clave válida con permisos concedidos a Amazon Keyspaces.

ALTER TABLE my_keyspace.my_table WITH CUSTOM_PROPERTIES = {     
              'encryption_specification':{ 
                      'encryption_type': 'CUSTOMER_MANAGED_KMS_KEY', 
                      'kms_key_identifier':'arn:aws:kms:eu-west-1:5555555555555:key/11111111-1111-111-1111-111111111111'     
                  } 
         };

Si recibe una Invalid Request Exception, debe confirmar que la clave administrada por el cliente sea válida y que Amazon Keyspaces disponga de los permisos necesarios. Para confirmar que la clave se haya configurado correctamente, consulte Solución de problemas de acceso a la clave en la Guía para desarrolladores de AWS Key Management Service.

Para volver a cambiar la clave de cifrado a la opción predeterminada de cifrado en reposo con las Claves propiedad de AWS, puede utilizar la instrucción ALTER TABLE como se muestra en el siguiente ejemplo.

ALTER TABLE my_keyspace.my_table WITH CUSTOM_PROPERTIES = {
                'encryption_specification':{
                      'encryption_type' : 'AWS_OWNED_KMS_KEY' 
                    } 
         };

Paso 5: Utilizar el contexto de cifrado de Amazon Keyspaces en los registros

Un contexto de cifrado es un conjunto de pares de clave-valor que contienen datos no secretos arbitrarios. Cuando se incluye un contexto de cifrado en una solicitud para cifrar datos, AWS KMS vincula criptográficamente el contexto de cifrado a los datos cifrados. Para descifrar los datos, es necesario pasar el mismo contexto de cifrado.

Amazon Keyspaces utiliza el mismo contexto de cifrado en todas las operaciones de cifrado de AWS KMS. Si utiliza una clave administrada por el cliente para proteger su tabla de Amazon Keyspaces, puede utilizar el contexto de cifrado para identificar el uso de la clave administrada por el cliente en los registros de auditoría y en los registros. También aparece en texto sin formato en los registros, como en los registros de AWS CloudTrail y en los Registros de Amazon CloudWatch.

En su solicitudes a AWS KMS, Amazon Keyspaces utiliza un contexto de cifrado con tres pares clave-valor.

"encryptionContextSubset": {
    "aws:cassandra:keyspaceName": "my_keyspace",
    "aws:cassandra:tableName": "mytable"
    "aws:cassandra:subscriberId": "111122223333"
}

Paso 6: Configurar el monitoreo con AWS CloudTrail

Si utiliza una clave administrada por el cliente para proteger sus tablas de Amazon Keyspaces, puede utilizar los registros de AWS CloudTrail para realizar un seguimiento de las solicitudes que Amazon Keyspaces envía a AWS KMS en su nombre.

Las solicitudes GenerateDataKey, DescribeKey, Decrypt y CreateGrant se tratan en esta sección. Además, Amazon Keyspaces utiliza una operación RetireGrant para eliminar una concesión cuando usted elimina una tabla.