Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verschlüsselung ruhender Neptune-Ressourcen

Data-at-rest Verschlüsselung ist die Empfehlung. AWS Weitere Informationen finden Sie unter Data-at-Rest und Data-in-Transit Verschlüsselung. Die Verschlüsselung wird in der AWS Konsole durchgesetzt, wenn Sie einen neuen Neptune DB-Cluster oder eine neue Neptune Global-DB erstellen. Dies bietet eine zusätzliche Datenschutzebene. Es schützt Ihre Daten vor unbefugtem Zugriff auf den zugrunde liegenden Speicher und hilft dabei, die Compliance-Anforderungen für die Verschlüsselung von Daten im Ruhezustand zu erfüllen.

Um die Schlüssel zu verwalten, die zum Verschlüsseln und Entschlüsseln Ihrer Neptune-Ressourcen verwendet werden, verwenden Sie (). AWS Key Management ServiceAWS KMS AWS KMS kombiniert sichere, hochverfügbare Hard- und Software zu einem für die Cloud skalierten Schlüsselverwaltungssystem. Mithilfe AWS KMS können Sie Verschlüsselungsschlüssel erstellen und die Richtlinien definieren, die steuern, wie diese Schlüssel verwendet werden können. AWS KMS unterstützt AWS CloudTrail, sodass Sie die Verwendung von Schlüsseln überprüfen können, um sicherzustellen, dass die Schlüssel ordnungsgemäß verwendet werden.

Im Ruhezustand werden alle zugehörigen Logs, Backups und Snapshots für alle verschlüsselten Neptune-DB-Cluster verschlüsselt. Die Neptune-Verschlüsselung gilt nicht für Logs, die nach Amazon exportiert werden. CloudWatch

Verschlüsselung von Neptune-Ressourcen

Wenn Sie einen Neptune DB-Cluster oder eine Neptune Global DB erstellen, können Sie die Schlüssel-ID für Ihren AWS KMS Verschlüsselungsschlüssel angeben. Wenn Sie keine AWS KMS Schlüssel-ID angeben, verwendet Neptune Ihren standardmäßigen Amazon RDS-Verschlüsselungsschlüssel () in der Region. aws/rds AWS KMS erstellt einen Standard-Verschlüsselungsschlüssel für jede Region in Ihrem AWS Konto. Für einen Neptune Global-Cluster gibt es so viele AWS KMS Schlüssel wie Regionen darin.

Nachdem Sie eine Neptune-Ressource erstellt haben, können Sie den Verschlüsselungsschlüssel für diese Ressource nicht mehr ändern. Stellen Sie daher sicher, dass Sie die Anforderungen an Ihren Verschlüsselungsschlüssel ermitteln, bevor Sie Ihre Neptune-Ressource erstellen. Wenn ein anderer AWS KMS Schlüssel erforderlich ist, können Sie einen Snapshot des vorhandenen Neptune-DB-Clusters verwenden, um einen neuen mit einem anderen AWS KMS Schlüssel zu erstellen (siehe). Wiederherstellen aus einem DB-Cluster-Snapshot

Sie können den Amazon-Ressourcennamen (ARN) eines Schlüssels aus einem anderen Konto verwenden, um eine Neptune-Ressource zu verschlüsseln. Wenn Sie eine Neptune-Ressource mit demselben AWS Konto erstellen, dem der AWS KMS Verschlüsselungsschlüssel gehört, kann die von Ihnen AWS KMS übergebene Schlüssel-ID der Schlüsselalias statt der ARN des AWS KMS Schlüssels sein.

Wichtige Berechtigungen für die Aktivierung der Verschlüsselung

Der IAM-Benutzer oder die IAM-Rolle, die einen Neptune DB-Cluster erstellen, muss mindestens über die folgenden Berechtigungen für den KMS-Schlüssel verfügen:

Hier ist ein Beispiel (für eine us-east-1 Region) für eine wichtige Richtlinie, die die erforderlichen Berechtigungen beinhaltet:

JSON

{
  "Version":"2012-10-17",
  "Id": "key-consolepolicy-3",
  "Statement": [
    {
      "Sid": "Enable Permissions for root principal",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "Allow use of the key for Neptune",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/NeptuneFullAccess"
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey",
        "kms:ReEncryptTo",
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:CreateGrant",
        "kms:ReEncryptFrom",
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "rds.us-east-1.amazonaws.com"
        }
      }
    },
    {
      "Sid": "Deny use of the key for non Neptune",
      "Effect": "Deny",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/NeptuneFullAccess"
      },
      "Action": [
        "kms:*"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "kms:ViaService": "rds.us-east-1.amazonaws.com"
        }
      }
    }
  ]
}

Sie könnten die createGrant-Berechtigungen weiter einschränken, indem Sie Folgendes hinzufügen:

"Condition": {
  "Bool": {
    "kms:GrantIsForAWSResource": true
  }
}

Einschränkungen der Neptune-Verschlüsselung

Für Neptune Encryption gelten die folgenden Einschränkungen: