Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Protection des données dans Amazon Data Firehose

Amazon Data Firehose chiffre toutes les données en transit à l'aide d'un protocole. TLS En outre, pour les données stockées dans un espace de stockage intermédiaire pendant le traitement, Amazon Data Firehose chiffre les données à l'aide de la vérification par somme de contrôle AWS Key Management Serviceet vérifie leur intégrité.

Si vous avez des données sensibles, vous pouvez activer le chiffrement des données côté serveur lorsque vous utilisez Amazon Data Firehose. La méthode utilisée dépend de la source de vos données.

Chiffrement côté serveur avec Kinesis Data Streams

Lorsque vous envoyez des données de vos producteurs de données vers votre flux de données, Kinesis Data Streams chiffre vos données à l'aide AWS Key Management Service d'une cléAWS KMS() avant de les stocker au repos. Lorsque votre flux Firehose lit les données de votre flux de données, Kinesis Data Streams déchiffre d'abord les données, puis les envoie à Amazon Data Firehose. Amazon Data Firehose met en mémoire tampon les données en mémoire en fonction des indications de mise en mémoire tampon que vous spécifiez. Il diffuse ensuite à vos destinations sans avoir à stocker les données non chiffrées au repos.

Pour plus d'informations sur l'activation du chiffrement côté serveur pour Kinesis Data Streams, consultez Using Server-Side Encryption dans le Guide du développeur Amazon Kinesis Data Streams.

Chiffrement côté serveur avec Direct PUT ou d'autres sources de données

Si vous envoyez des données vers votre flux Firehose en utilisant PutRecordou PutRecordBatch, ou si vous envoyez les données en utilisant AWS IoT Amazon CloudWatch Logs ou CloudWatch Events, vous pouvez activer le chiffrement côté serveur à l'aide de cette opération. StartDeliveryStreamEncryption

Pour arrêter server-side-encryption, utilisez l'StopDeliveryStreamEncryptionopération.

Vous pouvez également l'activer SSE lorsque vous créez le stream Firehose. Pour ce faire, spécifiez à DeliveryStreamEncryptionConfigurationInputquel moment vous invoquez CreateDeliveryStream.

Lorsque CMK c'est le casCUSTOMER_MANAGED_CMK, si le service Amazon Data Firehose n'est pas en mesure de déchiffrer les enregistrements à cause de aKMSNotFoundException, aKMSInvalidStateException, a KMSDisabledException ou aKMSAccessDeniedException, le service attend jusqu'à 24 heures (période de conservation) pour que vous résolviez le problème. Si le problème persiste au-delà de la période de rétention, le service ignore les enregistrements qui ont dépassé la période de rétention et n'ont pas pu être déchiffrés, puis supprime les données. Amazon Data Firehose fournit les quatre CloudWatch indicateurs suivants que vous pouvez utiliser pour suivre les quatre AWS KMS exceptions :

Pour plus d'informations sur ces quatre métriques, consultez Surveillez Amazon Data Firehose à l'aide de métriques CloudWatch .