Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Cifrado de datos en reposo para Amazon OpenSearch Service

OpenSearch Los dominios de servicio ofrecen el cifrado de los datos en reposo, una función de seguridad que ayuda a evitar el acceso no autorizado a los datos. La función utiliza AWS Key Management Service (AWS KMS) para almacenar y administrar las claves de cifrado y el algoritmo del estándar de cifrado avanzado con claves de 256 bits (AES-256) para realizar el cifrado. Si está habilitada, la característica cifra los siguientes aspectos de un dominio:

Los siguientes elementos no se cifran cuando habilita el cifrado de datos en reposo, pero puede realizar pasos adicionales para protegerlos:

OpenSearch El servicio solo admite KMS claves de cifrado simétricas, no asimétricas. Para conocer cómo crear claves simétricas, consulte Creación de claves en la Guía para desarrolladores de AWS Key Management Service .

Independientemente de si el cifrado en reposo está habilitado, todos los dominios cifran automáticamente los paquetes personalizados mediante claves administradas por el servicio y AES -256. OpenSearch

Permisos

Para usar la consola de OpenSearch servicio para configurar el cifrado de los datos en reposo, debe tener permisos de lectura AWS KMS, como la siguiente política basada en la identidad:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:List*",
        "kms:Describe*"
      ],
      "Resource": "*"
    }
  ]
}

Si desea utilizar una clave distinta de la AWS clave propia, también debe tener permisos para crear concesiones para la clave. Estos permisos normalmente suelen adoptar la forma de una política con base en recursos que especifica al crear la clave.

Si quieres que tu clave sea exclusiva de OpenSearch Service, puedes añadir la ViaService condición kms: a esa política clave:

"Condition": {
  "StringEquals": {
    "kms:ViaService": "es.us-west-1.amazonaws.com"
  },
  "Bool": {
    "kms:GrantIsForAWSResource": "true"
  }
}

Para obtener más información, consulte Uso de políticas clave AWS KMS en la Guía para AWS Key Management Service desarrolladores.

Habilitar el cifrado de datos en reposo

El cifrado de los datos inactivos en dominios nuevos requiere Elasticsearch 5.1 OpenSearch o una versión posterior. Para habilitarlo en los dominios existentes, se requiere Elasticsearch OpenSearch 6.7 o una versión posterior.

También puedes habilitar el cifrado a través de la configuraciónAPI. La siguiente solicitud permite el cifrado de datos en reposo en un dominio existente:

{
   "ClusterConfig":{
      "EncryptionAtRestOptions":{
         "Enabled": true,
         "KmsKeyId":"arn:aws:kms:us-east-1:123456789012:alias/my-key"
      }
   }
}

KMSClave desactivada o eliminada

Si deshabilitas o eliminas la clave que usaste para cifrar un dominio, el dominio deja de estar accesible. OpenSearch El servicio te envía una notificación informándote de que no puede acceder a la KMS clave. Vuelva a habilitar la clave inmediatamente para acceder a su dominio.

El equipo del OpenSearch Servicio no puede ayudarte a recuperar tus datos si se elimina tu clave. AWS KMS elimina las claves solo después de un período de espera de al menos siete días. Si su clave está pendiente de eliminación, cancele la eliminación o tome una instantánea manual del dominio para evitar la pérdida de datos.

Deshabilitar el cifrado de datos en reposo

Después de configurar un dominio para cifrar los datos en reposo, no puede desactivar la configuración. En su lugar, puede realizar una instantánea manual del dominio existente, crear otro dominio, migrar los datos y eliminar el dominio antiguo.

Monitorear dominios que cifran los datos en reposo

Los dominios que cifran los datos en reposo tienen dos métricas adicionales: KMSKeyError y KMSKeyInaccessible. Estas métricas solo aparecen si el dominio se encuentra con un problema con la clave de cifrado. Para obtener una descripción completa de estas métricas, consulte Métricas de clúster. Puede verlos mediante la consola de OpenSearch servicio o la consola de Amazon CloudWatch .

Otras consideraciones