Criptografia em repouso em ElastiCache

Para ajudar a manter seus dados seguros, a Amazon ElastiCache e o Amazon S3 oferecem maneiras diferentes de restringir o acesso aos dados em seu cache. Para obter mais informações, consulte Segurança do Amazon VPCs e do ElastiCache e Identity and Access Management para Amazon ElastiCache.

ElastiCache a criptografia em repouso é um recurso para aumentar a segurança dos dados criptografando dados em disco. Ela está sempre habilitada em um cache sem servidor. Quando habilitada, ela criptografa os seguintes aspectos:

Os dados armazenados em unidades de estado sólido (SSDs) em clusters habilitados para divisão de dados em camada são sempre criptografados por padrão.

ElastiCache oferece criptografia padrão (gerenciada pelo serviço) em repouso, bem como a capacidade de usar suas próprias chaves AWS KMS simétricas gerenciadas pelo cliente no AWS Key Management Service (KMS). Quando o backup do cache for feito, em opções de criptografia, escolha se você deseja usar a chave de criptografia padrão ou uma chave gerenciada pelo cliente. Para ter mais informações, consulte Ativar criptografia em repouso.

A criptografia em repouso só pode ser habilitada em um cache quando é criada. Como a criptografia e a descriptografia dos dados requerem processamento, a ativação da criptografia em repouso pode afetar o desempenho durante essas operações. Compare seus dados com e sem criptografia em repouso para determinar o impacto no desempenho para seus casos de uso.

Condições da criptografia em repouso

As seguintes restrições sobre a criptografia em ElastiCache repouso devem ser lembradas ao planejar sua implementação da ElastiCache criptografia em repouso:

A implementação de criptografia em repouso pode reduzir o desempenho durante as operações de backup e sincronização de nós. Compare seus dados com criptografia em repouso e sem criptografia para determinar o impacto no desempenho da sua implementação.

Usando chaves gerenciadas pelo cliente do AWS KMS

ElastiCache suporta chaves AWS KMS simétricas gerenciadas pelo cliente (chave KMS) para criptografia em repouso. As chaves KMS gerenciadas pelo cliente são chaves de criptografia que você cria, possui e gerencia em sua conta. AWS Para obter mais informações, consulte Chaves KMS da AWS no Guia do desenvolvedor do serviço de gerenciamento de chaves da AWS . As chaves devem ser criadas no AWS KMS antes de poderem ser usadas com ElastiCache.

Para saber como criar chaves raiz do AWS KMS, consulte Criação de chaves no Guia do desenvolvedor do AWS Key Management Service.

ElastiCache permite a integração com o AWS KMS. Para obter mais informações, consulte Uso de concessões no Guia do desenvolvedor do serviço de gerenciamento de chaves da AWS . Nenhuma ação do cliente é necessária para permitir a ElastiCache integração da Amazon com o AWS KMS.

A chave de kms:ViaService condição limita o uso de uma chave AWS KMS (chave KMS) às solicitações de serviços especificados AWS . Para usar kms:ViaService com ElastiCache, inclua os dois ViaService nomes no valor da chave de condição: elasticache.AWS_region.amazonaws.com dax.AWS_region.amazonaws.com e. Para maiores informações, veja kms: ViaService.

Você pode usar AWS CloudTrailpara rastrear as solicitações que a Amazon ElastiCache envia AWS Key Management Service em seu nome. Todas as chamadas de API AWS Key Management Service relacionadas às chaves gerenciadas pelo cliente têm CloudTrail registros correspondentes. Você também pode ver as concessões ElastiCache criadas ao chamar a chamada da API ListGrantsKMS.

Assim que um grupo de replicação é criptografado usando a chave gerenciada pelo cliente, todos os backups do grupo de replicação são criptografados da seguinte maneira:

Ativar criptografia em repouso

Todos os caches sem servidor têm criptografia em repouso habilitada.

Ao criar um cluster autoprojetado, você pode habilitar a criptografia em repouso definindo o parâmetro AtRestEncryptionEnabled como true. Não é possível ativar a criptografia em repouso em grupos de replicação existentes.

Você pode ativar a criptografia em repouso ao criar um ElastiCache cache. Você pode fazer isso usando a AWS Management Console AWS CLI, a ou a ElastiCache API.

Ao criar um cache, você pode escolher uma das seguintes opções:

Para saber como criar chaves raiz do AWS KMS, consulte Criar chaves no Guia do desenvolvedor do AWS Key Management Service

Habilitando a criptografia em repouso usando o AWS Management Console

Habilitando a criptografia em repouso usando o AWS CLI

Para habilitar a criptografia em repouso ao criar um cluster Redis OSS usando o AWS CLI, use o at-rest-encryption-enabled parâmetro -- ao criar um grupo de replicação.

aws elasticache create-replication-group \
    --replication-group-id my-classic-rg \
    --replication-group-description "3 node replication group" \
    --cache-node-type cache.m4.large \
    --engine redis \    
    --at-rest-encryption-enabled \  
    --num-cache-clusters 3 

aws elasticache create-replication-group ^
    --replication-group-id my-classic-rg ^
    --replication-group-description "3 node replication group" ^
    --cache-node-type cache.m4.large ^
    --engine redis ^    
    --at-rest-encryption-enabled ^  
    --num-cache-clusters 3 ^

aws elasticache create-replication-group \
   --replication-group-id my-clustered-rg \
   --replication-group-description "redis clustered cluster" \
   --cache-node-type cache.m3.large \
   --num-node-groups 3 \
   --replicas-per-node-group 2 \
   --engine redis \
   --engine-version 6.2 \
   --at-rest-encryption-enabled \
   --cache-parameter-group default.redis6.x.cluster.on

aws elasticache create-replication-group ^
   --replication-group-id my-clustered-rg ^
   --replication-group-description "redis clustered cluster" ^
   --cache-node-type cache.m3.large ^
   --num-node-groups 3 ^
   --replicas-per-node-group 2 ^
   --engine redis ^
   --engine-version 6.2 ^
   --at-rest-encryption-enabled ^
   --cache-parameter-group default.redis6.x.cluster.on

Consulte também