As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Opções de criptografia para a Amazon EMR

Com as EMR versões 4.8.0 e superiores da Amazon, você pode usar uma configuração de segurança para especificar configurações para criptografar dados em repouso, dados em trânsito ou ambos. Ao habilitar a criptografia de dados em repouso, você pode optar por criptografar EMRFS dados no Amazon S3, dados em discos locais ou ambos. Cada configuração de segurança que você cria é armazenada na Amazon e EMR não na configuração do cluster, para que você possa facilmente reutilizar uma configuração para especificar as configurações de criptografia de dados sempre que criar um cluster. Para obter mais informações, consulte Crie uma configuração de segurança com o EMR console da Amazon ou com o AWS CLI.

O diagrama a seguir mostra as diferentes opções de criptografia de dados disponíveis com as configurações de segurança.

As seguintes opções de criptografia também estão disponíveis e não são configuradas usando uma configuração de segurança:

A criptografia de dados requer chaves e certificados. Uma configuração de segurança oferece a flexibilidade de escolher entre várias opções, incluindo chaves gerenciadas por AWS Key Management Service, chaves gerenciadas pelo Amazon S3 e chaves e certificados de fornecedores personalizados fornecidos por você. Ao usar AWS KMS como seu provedor de chaves, cobranças se aplicam pelo armazenamento e uso de chaves de criptografia. Para obter mais informações, consulte Definição de preço do AWS KMS.

Antes de especificar opções de criptografia, decida quais sistemas de gerenciamento de chaves e certificados você deseja usar, para poder primeiro criar as chaves e os certificados ou os provedores personalizados especificados como parte das configurações de criptografia.

Criptografia em repouso para EMRFS dados no Amazon S3

A criptografia do Amazon S3 funciona com os objetos EMR do Amazon File System (EMRFS) lidos e gravados no Amazon S3. Você especifica a criptografia do lado do servidor (SSE) ou do cliente () do Amazon S3 como o modo de criptografia padrão ao ativar a criptografia em repouso. CSE Opcionalmente, você pode especificar diferentes métodos de criptografia para buckets individuais usando Per bucket encryption overrides (Substituições de criptografia por bucket). Independentemente de a criptografia do Amazon S3 estar habilitada, o Transport Layer Security (TLS) criptografa os EMRFS objetos em trânsito entre os nós do EMR cluster e o Amazon S3. Para obter mais informações sobre criptografia no Amazon S3, consulte Protecting data using encryption no Guia do usuário do Amazon Simple Storage Service.

Criptografia do lado do servidor do Amazon S3

Quando você configura a criptografia do lado do servidor do Amazon S3, o Amazon S3 criptografa os dados no nível do objeto à medida que os grava no disco e os descriptografa quando são acessados. Para obter mais informações sobre issoSSE, consulte Proteção de dados usando criptografia do lado do servidor no Guia do usuário do Amazon Simple Storage Service.

Você pode escolher entre dois sistemas diferentes de gerenciamento de chaves ao especificar SSE na AmazonEMR:

SSEcom chaves fornecidas pelo cliente (SSE-C) não está disponível para uso com a Amazon. EMR

Criptografia do lado do cliente do Amazon S3

Com a criptografia do lado do cliente do Amazon S3, a criptografia e a descriptografia do Amazon S3 ocorrem no cliente em seu cluster. EMRFS Os objetos são criptografados antes de serem carregados no Amazon S3 e descriptografados após serem baixados. O provedor especificado por você fornece a chave de criptografia que o cliente usa. O cliente pode usar chaves fornecidas por AWS KMS (CSE-KMS) ou uma classe Java personalizada que fornece a chave raiz do lado do cliente (CSE-C). As especificações da criptografia são ligeiramente diferentes entre CSE - KMS e CSE -C, dependendo do provedor especificado e dos metadados do objeto que está sendo descriptografado ou criptografado. Para obter mais informações sobre essas diferenças, consulte Proteger dados usando a criptografia do lado do cliente no Guia do usuário do Amazon Simple Storage Service.

Criptografia em repouso para dados na Amazon EMR WAL

Quando você configura a criptografia do lado do servidor (SSE) para registro antecipado de gravação ()WAL, a Amazon EMR criptografa os dados em repouso. Você pode escolher entre dois sistemas diferentes de gerenciamento de chaves ao especificar SSE na AmazonEMR:

Você não pode usar sua própria chave SSE ao habilitar WAL com a AmazonEMR. Para obter mais informações, consulte Write-ahead logs (WAL) para a Amazon. EMR

Criptografia de disco local

Os mecanismos a seguir trabalham juntos para criptografar discos locais quando você ativa a criptografia de disco local usando uma configuração de EMR segurança da Amazon.

Criptografia de código aberto HDFS

HDFStroca dados entre instâncias de cluster durante o processamento distribuído. Ele também lê e grava dados nos volumes de armazenamento de instâncias e nos EBS volumes anexados às instâncias. As seguintes opções de criptografia Hadoop de código-fonte aberto são ativadas quando você habilita a criptografia do disco local:

Criptografia de armazenamento de instância

Para tipos de EC2 instância que usam NVMe based SSDs como volume de armazenamento de instâncias, a NVMe criptografia é usada independentemente das configurações de EMR criptografia da Amazon. Para obter mais informações, consulte NVMeSSDos volumes no Guia EC2 do usuário da Amazon. Para outros volumes de armazenamento de instâncias, a Amazon EMR usa LUKS para criptografar o volume de armazenamento de instâncias quando a criptografia de disco local está ativada, independentemente de EBS os volumes serem criptografados usando EBS criptografia ouLUKS.

EBScriptografia de volume

Se você criar um cluster em uma região em que a EC2 criptografia de EBS volumes da Amazon esteja habilitada por padrão para sua conta, EBS os volumes serão criptografados mesmo que a criptografia de disco local não esteja habilitada. Para obter mais informações, consulte Criptografia por padrão no Guia EC2 do usuário da Amazon. Com a criptografia de disco local ativada em uma configuração de segurança, as EMR configurações da Amazon têm precedência sobre EC2 encryption-by-default as configurações da Amazon para EC2 instâncias de cluster.

As opções a seguir estão disponíveis para criptografar EBS volumes usando uma configuração de segurança:

Criptografia em trânsito

Vários mecanismos de criptografia estão habilitados com a criptografia em trânsito. Esses são recursos de código aberto, são específicos do aplicativo e podem variar de acordo com o lançamento da Amazon. EMR Para habilitar a criptografia em trânsito, use Crie uma configuração de segurança com o EMR console da Amazon ou com o AWS CLI na AmazonEMR. Para EMR clusters com criptografia em trânsito ativada, a Amazon configura EMR automaticamente as configurações do aplicativo de código aberto para permitir a criptografia em trânsito. Para casos de uso avançados, você pode configurar diretamente as configurações de aplicativos de código aberto para substituir o comportamento padrão na Amazon. EMR Para obter mais informações, consulte a In-transit encryption support matrix e Configuração de aplicações.

Consulte as seguintes informações para saber mais detalhes específicos sobre aplicações de código aberto relevantes à criptografia em trânsito:

Você especifica os artefatos de criptografia usados para a criptografia em trânsito de uma destas duas maneiras: fornecendo um arquivo compactado de certificados, que é carregado no Amazon S3, ou referenciando uma classe Java personalizada, que fornece artefatos de criptografia. Para obter mais informações, consulte Fornecendo certificados para criptografar dados em trânsito com a criptografia da Amazon EMR.