As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Ao usar um cluster do Amazon EMR
Importante
O Amazon EMR oferece suporte somente a chaves do KMS simétricas. Não é possível usar uma chave do KMS assimétrica para criptografar dados em repouso em um cluster do Amazon EMR. Para obter ajuda para determinar se uma chave do KMS é simétrica ou assimétrica, consulte Identificar diferentes tipos de chaves.
Os clusters do Amazon EMR também criptografam dados em trânsito, o que significa que o cluster criptografa os dados antes de enviá-los por meio da rede. Não é possível usar uma chave do KMS para criptografar dados em trânsito. Para obter mais informações, consulte Criptografia de dados em trânsito, no Guia de gerenciamento do Amazon EMR.
Para obter mais informações sobre todas as opções de criptografia disponíveis no Amazon EMR, consulte Opções de criptografia, noGuia de gerenciamento do Amazon EMR.
Tópicos
Criptografar dados no EMR File System (EMRFS)
Os clusters do Amazon EMR usam dois sistemas de arquivos distribuídos:
-
O Hadoop Distributed File System (HDFS). A criptografia do HDFS não usa uma chave do KMS no AWS KMS.
-
O EMR File System (EMRFS). O EMRFS é uma implementação do HDFS que permite que os clusters do Amazon EMR armazenem dados no Amazon Simple Storage Service (Amazon S3). O EMRFS oferece suporte a quatro opções de criptografia, duas das quais usam uma chave do KMS no AWS KMS. Para obter mais informações sobre todas as quatro opções de criptografia do EMRFS, consulte Opções de criptografia, no Guia de gerenciamento do Amazon EMR.
As duas opções de criptografia do EMRFS que usam uma chave do KMS usam os seguintes recursos de criptografia oferecidos pelo Amazon S3:
-
Protegendo dados usando criptografia do lado do servidor com AWS Key Management Service (SSE-KMS). O cluster do Amazon EMR envia dados ao Amazon S3. O Amazon S3 usa uma chave do KMS para criptografar os dados antes de enviá-los a um bucket do S3. Para obter mais informações sobre como isso funciona, consulte Processo para criptografar dados no EMRFS com o SSE-KMS.
-
Proteger dados usando a criptografia no lado do cliente (CSE-KMS). Os dados em um Amazon EMR são criptografados sob um AWS KMS key antes de serem enviados ao Amazon S3 para armazenamento. Para obter mais informações sobre como isso funciona, consulte Processo para criptografar dados no EMRFS com o CSE-KMS.
Ao configurar um cluster do Amazon EMR para criptografar dados no EMRFS com uma chave do KMS, escolha a chave do KMS que deseja que o Amazon S3 ou o cluster do Amazon EMR use. Com o SSE-KMS, é possível escolher a Chave gerenciada pela AWS para o Amazon S3 com o alias aws/s3 ou uma chave simétrica gerenciada pelo cliente criada por você. Com a criptografia no lado do cliente, é necessário escolher uma chave simétrica gerenciada pelo cliente criada por você. Ao escolher uma chave gerenciada pelo cliente, é necessário garantir que o cluster do Amazon EMR tenha permissão para usar a chave do KMS. Para obter mais informações, consulte Uso AWS KMS keys para criptografia no Guia de gerenciamento do Amazon EMR.
Para a criptografia do lado do servidor e a criptografia do lado do cliente, a chave do KMS que você escolhe é a chave raiz em um fluxo de trabalho de criptografia de envelope. Os dados são criptografados com uma chave de dados exclusiva que é criptografada sob a chave KMS em AWS KMS. Os dados criptografados e uma cópia criptografada de sua chave de dados são armazenados em conjunto como um único objeto criptografado em um bucket do S3. Para obter mais informações sobre como isso funciona, consulte os tópicos a seguir.
Tópicos
Processo para criptografar dados no EMRFS com o SSE-KMS
Quando você configura um cluster do Amazon EMR para usar o SSE-KMS, o processo de criptografia funciona da seguinte forma:
-
O cluster envia os dados ao Amazon S3 para armazenamento em um bucket do S3.
-
O Amazon S3 envia uma GenerateDataKeysolicitação para AWS KMS, especificando o ID da chave KMS que você escolheu ao configurar o cluster para usar o SSE-KMS. A solicitação inclui o contexto de criptografia, para obter mais informações, consulte Contexto de criptografia.
-
AWS KMS gera uma chave de criptografia de dados exclusiva (chave de dados) e, em seguida, envia duas cópias dessa chave de dados para o Amazon S3. Uma cópia é não criptografada (texto simples), e a outra cópia é criptografada com a chave do KMS.
-
O Amazon S3 usa a chave de dados de texto não criptografado para criptografar os dados que ela recebeu na etapa 1 e remove a chave de dados de texto não criptografado da memória, assim que possível, após o uso.
-
O Amazon S3 armazena os dados criptografados e a cópia criptografada da chave de dados em conjunto como um único objeto criptografado em um bucket do S3.
O processo de descriptografia funciona desta forma:
-
O cluster solicita um objeto de dados criptografado de um bucket do S3.
-
O Amazon S3 extrai a chave de dados criptografada do objeto S3 e, em seguida, envia a chave de dados criptografada para AWS KMS com uma solicitação Decrypt. A solicitação inclui um contexto de criptografia.
-
AWS KMS descriptografa a chave de dados criptografada usando a mesma chave KMS usada para criptografá-la e, em seguida, envia a chave de dados descriptografada (texto sem formatação) para o Amazon S3.
-
O Amazon S3 usa a chave de dados de texto não criptografado para descriptografar os dados criptografados e, em seguida, remove a chave de dados de texto não criptografado da memória, assim que possível, após o uso.
-
O Amazon S3 envia os dados descriptografados ao cluster.
Processo para criptografar dados no EMRFS com o CSE-KMS
Quando você configura um cluster do Amazon EMR para usar o CSE-KMS, o processo de criptografia funciona da seguinte forma:
-
Quando estiver pronto para armazenar dados no Amazon S3, o cluster envia uma GenerateDataKeysolicitação para AWS KMS, especificando o ID da chave KMS que você escolheu ao configurar o cluster para usar o CSE-KMS. A solicitação inclui o contexto de criptografia, para obter mais informações, consulte Contexto de criptografia.
-
AWS KMS gera uma chave de criptografia de dados exclusiva (chave de dados) e, em seguida, envia duas cópias dessa chave de dados para o cluster. Uma cópia é não criptografada (texto simples), e a outra cópia é criptografada com a chave do KMS.
-
O cluster usa a chave de dados de texto simples para criptografar os dados e remove a chave de dados de texto simples da memória, assim que possível após o uso.
-
O cluster combina os dados criptografados e a cópia criptografada da chave de dados em conjunto em um único objeto criptografado.
-
O cluster envia o objeto criptografado para o Amazon S3 para armazenamento.
O processo de descriptografia funciona desta forma:
-
O cluster solicita o objeto de dados criptografado de um bucket do S3.
-
O Amazon S3 envia o objeto criptografado ao cluster.
-
O cluster extrai a chave de dados criptografada do objeto criptografado e, em seguida, envia a chave de dados criptografada para AWS KMS com uma solicitação Decrypt. A solicitação inclui o contexto de criptografia.
-
AWS KMS descriptografa a chave de dados criptografada usando a mesma chave KMS usada para criptografá-la e, em seguida, envia a chave de dados descriptografada (texto sem formatação) para o cluster.
-
O cluster usa a chave de dados de texto simples para descriptografar os dados criptografados e remove a chave de dados de texto simples da memória, assim que possível após o uso.
Criptografar dados nos volumes de armazenamento dos nós de cluster
Um cluster do Amazon EMR é uma coleção de instâncias do Amazon Elastic Compute Cloud (Amazon EC2). Cada instância no cluster é chamada de um nó de cluster ou nó. Cada nó pode ter dois tipos de volumes de armazenamento: volumes de armazenamento de instância e volumes do Amazon Elastic Block Store (Amazon EBS). Você pode configurar o cluster para usar Linux Unified Key Setup (LUKS)
Ao habilitar a criptografia de disco local para um cluster, você pode optar por criptografar a chave LUKS com uma chave do KMS no AWS KMS. É necessário selecionar uma chave gerenciada pelo cliente criada por você. Não é possível usar uma Chave gerenciada pela AWS. Se você escolher uma chave gerenciada pelo cliente, será necessário garantir que o cluster do Amazon EMR tenha permissão para usar a chave do KMS. Para obter mais informações, consulte Uso AWS KMS keys para criptografia no Guia de gerenciamento do Amazon EMR.
Quando você habilita a criptografia de disco local usando uma chave do KMS, o processo de criptografia funciona desta forma:
-
Quando cada nó do cluster é iniciado, ele envia uma GenerateDataKeysolicitação para AWS KMS, especificando o ID da chave KMS que você escolheu ao habilitar a criptografia de disco local para o cluster.
-
AWS KMS gera uma chave de criptografia de dados exclusiva (chave de dados) e, em seguida, envia duas cópias dessa chave de dados para o nó. Uma cópia é não criptografada (texto simples), e a outra cópia é criptografada com a chave do KMS.
-
O nó usa uma versão codificada em base64 da chave de dados em texto simples como a senha que protege a chave LUKS. O nó salva a cópia criptografada da chave de dados em seu volume de inicialização.
-
AWS KMS descriptografa a chave de dados criptografada usando a mesma chave KMS usada para criptografá-la e, em seguida, envia a chave de dados descriptografada (texto sem formatação) para o nó.
-
O nó usa uma versão codificada em base64 da chave de dados de texto simples como a senha para desbloquear a chave LUKS.
Contexto de criptografia
Cada AWS serviço integrado ao AWS KMS pode especificar um contexto de criptografia quando usado AWS KMS para gerar chaves de dados ou para criptografar ou descriptografar dados. O contexto de criptografia é uma informação adicional autenticada AWS KMS usada para verificar a integridade dos dados. Quando um serviço especifica um contexto de criptografia para uma operação de criptografia, ele deve especificar o mesmo contexto de criptografia para a operação de descriptografia correspondente ou a descriptografia não terá êxito. O contexto de criptografia também é gravado em arquivos de AWS CloudTrail log, o que pode ajudar você a entender por que uma chave KMS específica foi usada.
A seção a seguir explica o contexto de criptografia usado em cada cenário de criptografia do Amazon EMR que usa uma chave do KMS.
Contexto de criptografia para criptografia EMRFS com o SSE-KMS
Com o SSE-KMS, o cluster Amazon EMR; envia dados ao Amazon S3 e, em seguida, o Amazon S3 usa uma chave do KMS para criptografar esses dados antes de enviá-los a um bucket do S3. Nesse caso, o Amazon S3 usa o Amazon Resource Name (ARN) do objeto S3 como contexto de criptografia com cada solicitação GenerateDataKeye Decrypt para a qual ele envia. AWS KMS O exemplo a seguir mostra uma representação JSON do contexto de criptografia usado pelo Amazon S3.
{ "aws:s3:arn" : "arn:aws:s3:::S3_bucket_name/S3_object_key" }
Contexto de criptografia para criptografia EMRFS com o CSE-KMS
Com o CSE-KMS, o cluster do Amazon EMR usa uma chave do KMS para criptografar os dados antes de os enviar ao Amazon S3 para armazenamento. Nesse caso, o cluster usa o Amazon Resource Name (ARN) da chave KMS como contexto de criptografia com cada solicitação GenerateDataKeye Decrypt para a qual ele envia. AWS KMS O exemplo a seguir mostra uma representação JSON do contexto de criptografia que o cluster usa.
{ "kms_cmk_id" : "arn:aws:kms:us-east-2:111122223333:key/0987ab65-43cd-21ef-09ab-87654321cdef" }
Contexto de criptografia para criptografia de disco local com LUKS
Quando um cluster do Amazon EMR usa criptografia de disco local com LUKS, os nós do cluster não especificam o contexto de criptografia com as solicitações GenerateDataKeye Decrypt para as quais eles enviam. AWS KMS
