Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengenkripsi sumber daya Neptunus saat diam

Data-at-rest Enkripsi adalah AWS rekomendasinya. Untuk informasi lebih lanjut, lihat Data-at-Rest dan Data-in-Transit enkripsi. Enkripsi diberlakukan di Kon AWS sol saat Anda membuat Cluster DB Neptune baru atau Neptune Global DB baru. Ini memberikan lapisan perlindungan data tambahan. Ini mengamankan data Anda dari akses tidak sah ke penyimpanan yang mendasarinya dan membantu memenuhi persyaratan kepatuhan untuk enkripsi data-at-rest.

Untuk mengelola kunci yang digunakan untuk mengenkripsi dan mendekripsi sumber daya Neptunus Anda, Anda menggunakan AWS Key Management Service ()AWS KMS. AWS KMS menggabungkan perangkat keras dan perangkat lunak yang aman dan sangat tersedia untuk menyediakan sistem manajemen kunci yang diskalakan untuk cloud. Dengan menggunakan AWS KMS, Anda dapat membuat kunci enkripsi dan menentukan kebijakan yang mengontrol bagaimana kunci ini dapat digunakan. AWS KMS mendukung AWS CloudTrail, sehingga Anda dapat mengaudit penggunaan kunci untuk memverifikasi bahwa kunci digunakan dengan tepat.

Saat istirahat, semua log, cadangan, dan snapshot terkait dienkripsi untuk setiap cluster Neptune DB terenkripsi. Enkripsi Neptunus tidak berlaku untuk log yang diekspor ke Amazon CloudWatch.

Enkripsi sumber daya Neptunus

Saat Anda membuat Cluster DB Neptune atau Neptune Global DB, Anda dapat memberikan pengenal AWS KMS kunci untuk kunci enkripsi Anda. Jika Anda tidak menentukan pengidentifikasi AWS KMS kunci, Neptunus menggunakan kunci enkripsi Amazon RDS default Anda (aws/rds) di Wilayah. AWS KMS membuat kunci enkripsi default untuk setiap Wilayah di AWS akun Anda. Untuk cluster Global Neptunus, akan ada AWS KMS kunci sebanyak Wilayah di dalamnya.

Setelah Anda membuat sumber daya Neptunus, Anda tidak dapat mengubah kunci enkripsi untuk sumber daya tersebut. Jadi, pastikan untuk menentukan persyaratan kunci enkripsi Anda sebelum Anda membuat sumber daya Neptunus Anda. Jika AWS KMS kunci yang berbeda diperlukan, Anda dapat menggunakan snapshot dari Cluster DB Neptune yang ada untuk membuat yang baru dengan AWS KMS kunci yang berbeda (lihatMelakukan pemulihan dari Snapshot Klaster DB).

Anda dapat menggunakan Amazon Resource Name (ARN) dari kunci dari akun lain untuk mengenkripsi sumber daya Neptunus. Jika Anda membuat sumber daya Neptune dengan AWS akun yang sama yang memiliki kunci AWS KMS enkripsi, ID AWS KMS kunci yang Anda berikan dapat menjadi alias AWS KMS kunci, bukan ARN kunci.

Izin kunci yang dibutuhkan saat mengaktifkan enkripsi

Pengguna atau peran IAM yang membuat Cluster DB Neptune harus memiliki setidaknya izin berikut untuk kunci KMS:

Berikut adalah contoh (untuk us-east-1 wilayah) dari kebijakan utama yang mencakup izin yang diperlukan:

JSON

{
  "Version":"2012-10-17",
  "Id": "key-consolepolicy-3",
  "Statement": [
    {
      "Sid": "Enable Permissions for root principal",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "Allow use of the key for Neptune",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/NeptuneFullAccess"
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey",
        "kms:ReEncryptTo",
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:CreateGrant",
        "kms:ReEncryptFrom",
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "rds.us-east-1.amazonaws.com"
        }
      }
    },
    {
      "Sid": "Deny use of the key for non Neptune",
      "Effect": "Deny",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/NeptuneFullAccess"
      },
      "Action": [
        "kms:*"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "kms:ViaService": "rds.us-east-1.amazonaws.com"
        }
      }
    }
  ]
}

Anda juga dapat menurunkan izin createGrant lebih lanjut dengan menambahkan:

"Condition": {
  "Bool": {
    "kms:GrantIsForAWSResource": true
  }
}

Keterbatasan Enkripsi Neptune

Batasan berikut ada untuk Enkripsi Neptunus: