Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Crittografia dei dati inattivi per Amazon Service OpenSearch

OpenSearch I domini di servizio offrono la crittografia dei dati inattivi, una funzionalità di sicurezza che aiuta a prevenire l'accesso non autorizzato ai tuoi dati. La funzionalità utilizza AWS Key Management Service (AWS KMS) per archiviare e gestire le chiavi di crittografia e l'algoritmo Advanced Encryption Standard con chiavi a 256 bit (AES-256) per eseguire la crittografia. Se abilitata, la funzionalità crittografa gli elementi seguenti di un dominio:

Gli elementi seguenti non vengono crittografati quando abiliti la crittografia dei dati a riposo, ma puoi eseguire operazioni aggiuntive per proteggerli:

OpenSearch Il servizio supporta solo chiavi KMS di crittografia simmetrica, non asimmetriche. Per informazioni su come creare chiavi simmetriche, consulta Create a KMS nella Developer Guide. AWS Key Management Service

Indipendentemente dal fatto che la crittografia a riposo sia abilitata, tutti i domini crittografano automaticamente i pacchetti personalizzati utilizzando chiavi e. AES-256 OpenSearch Service-managed

Permissions

Per utilizzare la console di OpenSearch servizio per configurare la crittografia dei dati inattivi, è necessario disporre delle autorizzazioni di lettura per AWS KMS, ad esempio la seguente politica basata sull'identità:

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:List*",
        "kms:Describe*"
      ],
      "Resource": "*"
    }
  ]
}

Se desideri utilizzare una chiave diversa da quella di AWS proprietà, devi disporre anche delle autorizzazioni per creare concessioni per la chiave. Queste autorizzazioni in genere hanno la forma di una policy basata su risorse specificata quando crei la chiave.

Se desideri mantenere la tua chiave esclusiva per OpenSearch Service, puoi aggiungere la ViaService condizione kms: a quella policy chiave:

"Condition": {
  "StringEquals": {
    "kms:ViaService": "es.us-west-1.amazonaws.com"
  },
  "Bool": {
    "kms:GrantIsForAWSResource": "true"
  }
}

Per ulteriori informazioni, consulta Policy delle chiavi in AWS KMS nella Guida per gli sviluppatori di AWS Key Management Service .

Abilitazione della crittografia dei dati a riposo

La crittografia dei dati inattivi su nuovi domini richiede Elasticsearch OpenSearch 5.1 o versioni successive. Per abilitarla su domini esistenti è necessario utilizzare Elasticsearch 6.7 OpenSearch o versioni successive.

Puoi abilitare la crittografia anche tramite l'API di configurazione. La seguente richiesta abilita la crittografia dei dati a riposo su un dominio esistente:

{
   "ClusterConfig":{
      "EncryptionAtRestOptions":{
         "Enabled": true,
         "KmsKeyId":"arn:aws:kms:us-east-1:123456789012:alias/my-key"
      }
   }
}

Chiave KMS disabilitata o eliminata

Se disabiliti o elimini la chiave utilizzata per crittografare un dominio, il dominio diventa inaccessibile. OpenSearch Il servizio ti invia una notifica per informarti che non può accedere alla chiave KMS. Re-enable la chiave per accedere immediatamente al tuo dominio.

Il team OpenSearch di assistenza non può aiutarti a recuperare i tuoi dati se la tua chiave viene eliminata. AWS KMS elimina le chiavi solo dopo un periodo di attesa di almeno sette giorni. Se la tua chiave è in attesa di cancellazione, annulla la cancellazione o prendi uno Snapshot manuale del dominio per evitare la perdita di dati.

Disabilitazione della crittografia dei dati a riposo

Dopo aver configurato un dominio per crittografare i dati a riposo, non puoi disabilitare l'impostazione. Puoi invece acquisire una snapshot manuale del dominio esistente, creare un altro dominio, migrare i dati ed eliminare il dominio precedente.

Monitoraggio dei domini che crittografano dati a riposo

I domini che crittografano i dati a riposo hanno due parametri aggiuntivi: KMSKeyError e KMSKeyInaccessible. Questi parametri vengono visualizzati solo se il dominio rileva un problema con la chiave di crittografia. Per una descrizione completa di questi parametri, consulta Parametri cluster. Puoi visualizzarli utilizzando la console OpenSearch di servizio o la CloudWatch console Amazon.

Altre considerazioni