Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Enkripsi data saat istirahat untuk OpenSearch Layanan Amazon

OpenSearch Domain layanan menawarkan enkripsi data saat istirahat, fitur keamanan yang membantu mencegah akses tidak sah ke data Anda. Fitur ini menggunakan AWS Key Management Service (AWS KMS) untuk menyimpan dan mengelola kunci enkripsi Anda dan algoritma Advanced Encryption Standard dengan kunci 256-bit (AES-256) untuk melakukan enkripsi. Jika diaktifkan, fitur mengenkripsi aspek-aspek domain berikut:

Berikut ini tidak dienkripsi saat Anda mengaktifkan enkripsi data saat tidak digunakan, namun Anda dapat mengambil langkah tambahan untuk melindunginya:

OpenSearch Layanan hanya mendukung KMS kunci enkripsi simetris, bukan kunci asimetris. Untuk mempelajari cara membuat kunci simetris, lihat Membuat kunci di Panduan AWS Key Management Service Pengembang.

Terlepas dari apakah enkripsi saat istirahat diaktifkan, semua domain secara otomatis mengenkripsi paket khusus menggunakan AES -256 dan OpenSearch kunci yang dikelola Layanan.

Izin

Untuk menggunakan konsol OpenSearch Layanan untuk mengonfigurasi enkripsi data saat istirahat, Anda harus memiliki izin membaca AWS KMS, seperti kebijakan berbasis identitas berikut:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:List*",
        "kms:Describe*"
      ],
      "Resource": "*"
    }
  ]
}

Jika Anda ingin menggunakan kunci selain kunci yang AWS dimiliki, Anda juga harus memiliki izin untuk membuat hibah untuk kunci tersebut. Izin ini biasanya mengambil bentuk kebijakan berbasis sumber daya yang Anda tentukan ketika Anda membuat kunci.

Jika Anda ingin menjaga kunci Anda tetap eksklusif untuk OpenSearch Layanan, Anda dapat menambahkan ViaService kondisi kms: ke kebijakan kunci tersebut:

"Condition": {
  "StringEquals": {
    "kms:ViaService": "es.us-west-1.amazonaws.com"
  },
  "Bool": {
    "kms:GrantIsForAWSResource": "true"
  }
}

Untuk informasi selengkapnya, lihat Menggunakan kebijakan utama AWS KMS di Panduan AWS Key Management Service Pengembang.

Mengaktifkan enkripsi data saat tidak digunakan

Enkripsi data saat istirahat pada domain baru memerlukan salah satu OpenSearch atau Elasticsearch 5.1 atau yang lebih baru. Mengaktifkannya di domain yang ada memerlukan salah satu OpenSearch atau Elasticsearch 6.7 atau yang lebih baru.

Anda juga dapat mengaktifkan enkripsi melalui konfigurasiAPI. Permintaan berikut memungkinkan enkripsi data saat istirahat pada domain yang ada:

{
   "ClusterConfig":{
      "EncryptionAtRestOptions":{
         "Enabled": true,
         "KmsKeyId":"arn:aws:kms:us-east-1:123456789012:alias/my-key"
      }
   }
}

KMSKunci dinonaktifkan atau dihapus

Jika Anda menonaktifkan atau menghapus kunci yang Anda gunakan untuk mengenkripsi domain, domain menjadi tidak dapat diakses. OpenSearch Layanan mengirimi Anda pemberitahuan yang memberi tahu Anda bahwa itu tidak dapat mengakses KMS kunci. Aktifkan kembali kunci segera untuk mengakses domain Anda.

Tim OpenSearch Layanan tidak dapat membantu memulihkan data Anda jika kunci Anda dihapus. AWS KMS menghapus kunci hanya setelah masa tunggu setidaknya tujuh hari. Jika kunci Anda tertunda penghapusan, batalkan penghapusan atau ambil snapshot manual domain untuk mencegah hilangnya data.

Menonaktifkan enkripsi data saat tidak digunakan

Setelah mengonfigurasi domain untuk mengenkripsi data saat tidak digunakan, Anda tidak dapat menonaktifkan pengaturan. Sebagai gantinya, Anda dapat mengambil Snapshot manual dari domain yang sudah ada, membuat domain lain, memigrasikan data Anda, dan menghapus domain lama.

Memantau domain yang mengenkripsi data saat tidak digunakan

Domain yang mengenkripsi data saat tidak digunakan memiliki dua metrik tambahan: KMSKeyError dan KMSKeyInaccessible. Metrik ini hanya muncul jika domain mengalami masalah dengan kunci enkripsi Anda. Untuk deskripsi lengkap metrik ini, lihat Metrik klaster. Anda dapat melihatnya menggunakan konsol OpenSearch Layanan atau CloudWatch konsol Amazon.

Pertimbangan lainnya