Criptografia em repouso em ElastiCache

Para ajudar a manter seus dados seguros, a Amazon ElastiCache e o Amazon S3 oferecem maneiras diferentes de restringir o acesso aos dados em seu cache. Para ter mais informações, consulte Amazon VPCs e ElastiCache segurança e Identity and Access Management para Amazon ElastiCache.

ElastiCache a criptografia em repouso é um recurso para aumentar a segurança dos dados criptografando dados em disco. Ela está sempre habilitada em um cache sem servidor. Quando habilitada, ela criptografa os seguintes aspectos:

Os dados armazenados em SSDs (unidades de estado sólido) em clusters habilitados para armazenamento de dados em camadas são sempre criptografados.

ElastiCache oferece criptografia padrão (gerenciada pelo serviço) em repouso, bem como a capacidade de usar suas próprias AWS KMS chaves simétricas gerenciadas pelo cliente no AWS Key Management Service (KMS). Quando o backup do cache for feito, em opções de criptografia, escolha se você deseja usar a chave de criptografia padrão ou uma chave gerenciada pelo cliente. Para obter mais informações, consulte Ativar criptografia em repouso.

A criptografia em repouso só pode ser habilitada em um cache quando é criada. Como a criptografia e a descriptografia dos dados requerem processamento, a ativação da criptografia em repouso pode afetar o desempenho durante essas operações. Compare seus dados com e sem criptografia em repouso para determinar o impacto no desempenho para seus casos de uso.

Condições da criptografia em repouso

As seguintes restrições sobre a criptografia em ElastiCache repouso devem ser lembradas ao planejar sua implementação da ElastiCache criptografia em repouso:

A implementação de criptografia em repouso pode reduzir o desempenho durante as operações de backup e sincronização de nós. Compare seus dados com criptografia em repouso e sem criptografia para determinar o impacto no desempenho da sua implementação.

Usando chaves gerenciadas pelo cliente de AWS KMS

ElastiCache suporta AWS KMS chaves simétricas gerenciadas pelo cliente (KMSchave) para criptografia em repouso. KMSAs chaves gerenciadas pelo cliente são chaves de criptografia que você cria, possui e gerencia em sua AWS conta. Para obter mais informações, consulte AWS KMSas chaves no Guia do desenvolvedor do AWS Key Management Service. As chaves devem ser criadas AWS KMS antes que possam ser usadas com ElastiCache.

Para saber como criar chaves AWS KMS raiz, consulte Criação de chaves no Guia do desenvolvedor do AWS Key Management Service.

ElastiCache permite que você se integre com AWS KMS. Para obter mais informações, consulte Uso de concessões no Guia do desenvolvedor do serviço de gerenciamento de chaves da AWS . Nenhuma ação do cliente é necessária para permitir a ElastiCache integração da Amazon com AWS KMS.

A chave de kms:ViaService condição limita o uso de uma AWS KMS chave (KMSchave) às solicitações de AWS serviços especificados. Para usar kms:ViaService com ElastiCache, inclua os dois ViaService nomes no valor da chave de condição: elasticache.AWS_region.amazonaws.com dax.AWS_region.amazonaws.com e. Para maiores informações, veja kms: ViaService.

Você pode usar AWS CloudTrailpara rastrear as solicitações que a Amazon ElastiCache envia AWS Key Management Service em seu nome. Todas as API chamadas AWS Key Management Service relacionadas às chaves gerenciadas pelo cliente têm CloudTrail registros correspondentes. Você também pode ver as concessões ElastiCache criadas ao ligar para a ListGrantsKMSAPIchamada.

Assim que um grupo de replicação é criptografado usando a chave gerenciada pelo cliente, todos os backups do grupo de replicação são criptografados da seguinte maneira:

Ativar criptografia em repouso

Todos os caches sem servidor têm criptografia em repouso habilitada.

Ao criar um cluster autoprojetado, você pode habilitar a criptografia em repouso definindo o parâmetro AtRestEncryptionEnabled como true. Não é possível ativar a criptografia em repouso em grupos de replicação existentes.

Você pode ativar a criptografia em repouso ao criar um ElastiCache cache. Você pode fazer isso usando o AWS Management Console AWS CLI, o ou ElastiCache API o.

Ao criar um cache, você pode escolher uma das seguintes opções:

Para saber como criar chaves AWS KMS raiz, consulte Criar chaves no Guia do desenvolvedor do AWS Key Management Service

Habilitando a criptografia em repouso usando o AWS Management Console

Habilitando a criptografia em repouso usando o AWS CLI

Para habilitar a criptografia em repouso ao criar um OSS cluster Valkey ou Redis usando o AWS CLI, use o at-rest-encryption-enabled parâmetro -- ao criar um grupo de replicação.

aws elasticache create-replication-group \
    --replication-group-id my-classic-rg \
    --replication-group-description "3 node replication group" \
    --cache-node-type cache.m4.large \
    --engine redis \    
    --at-rest-encryption-enabled \  
    --num-cache-clusters 3 

aws elasticache create-replication-group ^
    --replication-group-id my-classic-rg ^
    --replication-group-description "3 node replication group" ^
    --cache-node-type cache.m4.large ^
    --engine redis ^    
    --at-rest-encryption-enabled ^  
    --num-cache-clusters 3 ^

aws elasticache create-replication-group \
   --replication-group-id my-clustered-rg \
   --replication-group-description "redis clustered cluster" \
   --cache-node-type cache.m3.large \
   --num-node-groups 3 \
   --replicas-per-node-group 2 \
   --engine redis \
   --engine-version 6.2 \
   --at-rest-encryption-enabled \
   --cache-parameter-group default.redis6.x.cluster.on

aws elasticache create-replication-group ^
   --replication-group-id my-clustered-rg ^
   --replication-group-description "redis clustered cluster" ^
   --cache-node-type cache.m3.large ^
   --num-node-groups 3 ^
   --replicas-per-node-group 2 ^
   --engine redis ^
   --engine-version 6.2 ^
   --at-rest-encryption-enabled ^
   --cache-parameter-group default.redis6.x.cluster.on

Consulte também