Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Topik berikut menjelaskan bagaimana Amazon MWAA melindungi data Anda saat istirahat, dan dalam perjalanan. Gunakan informasi ini untuk mempelajari cara Amazon MWAA terintegrasi dengan AWS KMS mengenkripsi data saat istirahat, dan cara data dienkripsi menggunakan protokol Transport Layer Security (TLS) dalam perjalanan.
Enkripsi diam
Di Amazon MWAA, data saat istirahat adalah data yang disimpan layanan ke media persisten.
Anda dapat menggunakan kunci yang AWS dimiliki untuk enkripsi data saat istirahat, atau secara opsional memberikan kunci yang dikelola Pelanggan untuk enkripsi tambahan saat Anda membuat lingkungan. Jika Anda memilih untuk menggunakan kunci KMS yang dikelola pelanggan, itu harus berada di akun yang sama dengan AWS sumber daya dan layanan lain yang Anda gunakan dengan lingkungan Anda.
Untuk menggunakan kunci KMS yang dikelola pelanggan, Anda harus melampirkan pernyataan kebijakan yang diperlukan untuk CloudWatch mengakses kebijakan utama Anda. Saat Anda menggunakan kunci KMS yang dikelola pelanggan untuk lingkungan Anda, Amazon MWAA melampirkan empat hibah atas nama Anda. Untuk informasi selengkapnya tentang hibah yang dilampirkan Amazon MWAA ke kunci KMS yang dikelola pelanggan, lihat Kunci terkelola pelanggan untuk enkripsi data.
Jika Anda tidak menentukan kunci KMS yang dikelola pelanggan, secara default, Amazon MWAA menggunakan kunci KMS yang AWS dimiliki untuk mengenkripsi dan mendekripsi data Anda. Kami merekomendasikan menggunakan kunci KMS yang AWS dimiliki untuk mengelola enkripsi data di Amazon MWAA.
catatan
Anda membayar untuk penyimpanan dan penggunaan kunci KMS yang AWS dimiliki, atau dikelola pelanggan di Amazon MWAA. Untuk informasi selengkapnya, silakan lihat Harga AWS KMS
Artefak enkripsi
Anda menentukan artefak enkripsi yang digunakan untuk enkripsi saat istirahat dengan menentukan kunci yang AWS dimiliki atau kunci yang dikelola Pelanggan saat Anda membuat lingkungan Amazon MWAA Anda. Amazon MWAA menambahkan hibah yang diperlukan ke kunci yang Anda tentukan.
Amazon S3 - Data Amazon S3 dienkripsi pada tingkat objek menggunakan Server-Side Encryption (SSE). Enkripsi dan dekripsi Amazon S3 berlangsung di bucket Amazon S3 tempat kode DAG dan file pendukung Anda disimpan. Objek dienkripsi saat diunggah ke Amazon S3 dan didekripsi saat diunduh ke lingkungan Amazon MWAA Anda. Secara default, jika Anda menggunakan kunci KMS yang dikelola pelanggan, Amazon MWAA menggunakannya untuk membaca dan mendekripsi data di bucket Amazon S3 Anda.
CloudWatch Log — Jika Anda menggunakan kunci KMS yang AWS dimiliki, log Apache Airflow yang dikirim ke CloudWatch Log dienkripsi menggunakan Server-Side Encryption (SSE) dengan kunci KMS milik Log. CloudWatch AWS Jika Anda menggunakan kunci KMS yang dikelola pelanggan, Anda harus menambahkan kebijakan kunci ke kunci KMS Anda untuk mengizinkan CloudWatch Log menggunakan kunci Anda.
Amazon SQS - Amazon MWAA membuat satu antrian Amazon SQS untuk lingkungan Anda. Amazon MWAA menangani enkripsi data yang diteruskan ke dan dari antrian menggunakan Server-Side Encryption (SSE) dengan kunci KMS yang AWS dimiliki, atau kunci KMS yang dikelola pelanggan yang Anda tentukan. Anda harus menambahkan izin Amazon SQS ke peran eksekusi terlepas dari apakah Anda menggunakan kunci KMS yang AWS dimiliki atau dikelola pelanggan.
Aurora PostgreSQL — Amazon MWAA membuat satu cluster PostgreSQL untuk lingkungan Anda. Aurora PostgreSQL mengenkripsi konten dengan kunci KMS yang AWS dimiliki atau dikelola pelanggan menggunakan Server-Side Encryption (SSE). Jika Anda menggunakan kunci KMS yang dikelola pelanggan, Amazon RDS menambahkan setidaknya dua hibah ke kunci: satu untuk cluster dan satu untuk instance database. Amazon RDS dapat membuat hibah tambahan jika Anda memilih untuk menggunakan kunci KMS yang dikelola pelanggan di beberapa lingkungan. Untuk informasi selengkapnya, lihat Perlindungan data di Amazon RDS.
Enkripsi bergerak
Data dalam perjalanan disebut sebagai data yang dapat dicegat saat melakukan perjalanan jaringan.
Transport Layer Security (TLS) mengenkripsi objek Amazon MWAA dalam perjalanan antara komponen Apache Airflow lingkungan Anda dan layanan lain AWS yang terintegrasi dengan Amazon MWAA. seperti Amazon S3. Untuk informasi selengkapnya tentang enkripsi Amazon S3, lihat Melindungi data menggunakan enkripsi.
