Verschlüsseln Ihres Data Catalog

So aktivieren Sie die Verschlüsselung über die Konsole

1. Melden Sie sich bei der AWS Management Console an und öffnen Sie die AWS Glue-Konsole unter https://console.aws.amazon.com/glue/.

2. Wählen Sie im Navigationsbereich die Option Datenkatalog.

3. Aktivieren Sie auf der Seite Data-Catalog-Einstellungen das Kontrollkästchen Metadatenverschlüsselung, und wählen Sie einen AWS KMS-Schlüssel aus.

   Wenn Sie die Verschlüsselung aktivieren und keinen vom Kunden verwalteten Schlüssel angeben, wird für die Verschlüsselungseinstellungen ein AWS-verwalteter KMS-Schlüssel verwendet.

4. (Optional) Wenn Sie einen vom Kunden verwalteten Schlüssel zum Verschlüsseln Ihres Datenkatalogs verwenden, haben Sie im Datenkatalog die Möglichkeit, eine IAM-Rolle zum Verschlüsseln und Entschlüsseln von Ressourcen zu registrieren. Sie müssen Ihrer IAM-Rolle Berechtigungen erteilen, die AWS Glue in Ihrem Namen annehmen kann. Dies beinhaltet AWS KMS-Berechtigungen für das Verschlüsseln und Entschlüsseln von Daten.

   Wenn Sie eine neue Ressource im Datenkatalog erstellen, übernimmt AWS Glue die IAM-Rolle, die für das Verschlüsseln der Daten vorgesehen ist. Ähnlich verhält es sich, wenn ein Verbraucher auf die Ressource zugreift. Dann übernimmt AWS Glue die IAM-Rolle zur Entschlüsselung von Daten. Wenn Sie eine IAM-Rolle mit den notwendigen Berechtigungen registrieren, benötigt der aufrufende Principal keine Berechtigungen mehr, um auf den Schlüssel zuzugreifen und die Daten zu entschlüsseln.

   Wichtig

   Sie können KMS-Operationen nur dann an eine IAM-Rolle delegieren, wenn Sie einen kundenverwalteten Schlüssel für die Verschlüsselung der Data-Catalog-Ressourcen verwenden. Die KMS-Rollendelegierungsfunktion unterstützt derzeit nicht die Verwendung von AWS-verwalteten Schlüsseln zum Verschlüsseln von Data-Catalog-Ressourcen.

   Warnung

   Wenn Sie eine IAM-Rolle zum Delegieren von KMS-Operationen aktivieren, können Sie nicht mehr auf die Data-Catalog-Ressourcen zugreifen, die zuvor mit einem AWS-verwalteten Schlüssel verschlüsselt wurden.

   1. Um eine IAM-Rolle zu aktivieren, die AWS Glue übernehmen kann, um Daten in Ihrem Namen zu verschlüsseln und zu entschlüsseln, wählen Sie die Option KMS-Operationen an eine IAM-Rolle delegieren aus.

   2. Wählen Sie als Nächstes eine IAM-Rolle aus.

      Eine Anleitung zum Erstellen einer IAM;-Rolle finden Sie unter Erstellen von IAM-Rollen für AWS Glue.

      Die IAM-Rolle, die AWS Glue übernimmt, um auf den Datenkatalog zuzugreifen, muss die Berechtigungen für das Verschlüsseln und Entschlüsseln von Metadaten im Datenkatalog haben. Sie können eine IAM-Rolle erstellen und die folgenden Inline-Richtlinien anfügen:

      • Fügen Sie die folgende Richtlinie hinzu, um AWS KMS-Berechtigungen zum Verschlüsseln und Entschlüsseln des Datenkatalogs einzubeziehen.

        JSON

        JSON

        {
          "Version":"2012-10-17",		 	 	 
          "Statement": [
            {
              "Effect": "Allow",
              "Action": [
                "kms:Decrypt",
                "kms:Encrypt",
                "kms:GenerateDataKey"
              ],
              "Resource": "arn:aws:kms:us-east-1:111122223333:key/<key-id>"
            }
          ]
        }
        

      • Fügen Sie der Rolle die folgende Vertrauensrichtlinie hinzu, damit der AWS Glue-Service die IAM-Rolle annimmt.

        JSON

        JSON

        {
          "Version":"2012-10-17",		 	 	 
          "Statement": [
            {
              "Sid": "",
              "Effect": "Allow",
              "Principal": {
                "Service": "glue.amazonaws.com"
              },
              "Action": "sts:AssumeRole"
            }
          ]
        }
        

      • Fügen Sie als Nächstes die iam:PassRole-Berechtigung zur IAM-Rolle hinzu.

        JSON

        JSON

        {
          "Version":"2012-10-17",		 	 	 
          "Statement": [
            {
              "Effect": "Allow",
              "Action": [
                "iam:PassRole"
              ],
              "Resource": [
                "arn:aws:iam::111122223333:role/<encryption-role-name>"
              ]
            }
          ]
        }
        

   Wenn Sie die Verschlüsselung aktivieren und keine IAM-Rolle angegeben haben, die AWS Glue übernehmen kann, muss der Principal, der auf den Datenkatalog zugreift, über die erforderlichen Berechtigungen verfügen, um die folgenden API-Operationen auszuführen:

   • kms:Decrypt

   • kms:Encrypt

   • kms:GenerateDataKey

So aktivieren Sie die Verschlüsselung mit dem SDK oder die AWS CLI

• Verwenden Sie die API-Operation PutDataCatalogEncryptionSettings. Wenn kein Schlüssel angegeben ist, verwendet AWS Glue den AWS-verwalteten Verschlüsselungsschlüssel für das Kundenkonto, um den Datenkatalog zu verschlüsseln.

  aws glue put-data-catalog-encryption-settings \
    --data-catalog-encryption-settings '{
        "EncryptionAtRest": {
        "CatalogEncryptionMode": "SSE-KMS-WITH-SERVICE-ROLE",
        "SseAwsKmsKeyId": "arn:aws:kms:<region>:<account-id>:key/<key-id>",
        "CatalogEncryptionServiceRole":"arn:aws:iam::<account-id>:role/<encryption-role-name>"
      }
  
    }'