Cifrado en reposo

De forma predeterminada, Amazon Managed Service for Prometheus te proporciona automáticamente el cifrado en reposo y lo hace con las claves de AWS cifrado propias.

El cifrado de datos en reposo ayuda a reducir la sobrecarga operativa y la complejidad que implica la protección de los datos confidenciales de los clientes, como la información de identificación personal. Le permite crear aplicaciones seguras que cumplen con los estrictos requisitos normativos y de conformidad del cifrado.

Cuando cree su espacio de trabajo, también puede optar por utilizar una clave administrada por el cliente:

Elige si deseas utilizar con cuidado las claves gestionadas por el cliente o las AWS propias. Los espacios de trabajo creados con claves administradas por el cliente no se pueden convertir para usar claves AWS propias más adelante (y viceversa).

Para obtener más información AWS KMS, consulte ¿Qué es AWS Key Management Service?

Cómo utiliza Amazon Managed Service for Prometheus las subvenciones en AWS KMS

Amazon Managed Service para Prometheus necesita tres concesiones para utilizar la clave administrada por el cliente.

Al crear un espacio de trabajo de Amazon Managed Service for Prometheus cifrado con una clave gestionada por el cliente, Amazon Managed Service for Prometheus crea las tres subvenciones en tu nombre y envía las solicitudes a. CreateGrant AWS KMS Las concesiones se AWS KMS utilizan para permitir que Amazon Managed Service for Prometheus acceda a la clave de KMS de su cuenta, incluso cuando no se haya llamado directamente en su nombre (por ejemplo, al almacenar datos de métricas extraídos de un clúster de Amazon EKS).

Amazon Managed Service para Prometheus necesita las concesiones para utilizar la clave administrada por el cliente para las siguientes operaciones internas:

Amazon Managed Service for Prometheus crea tres concesiones para AWS KMS la clave que permiten a Amazon Managed Service for Prometheus utilizar la clave en tu nombre. Puede eliminar el acceso a la clave cambiando la política de claves, deshabilitando la clave o revocando la concesión. Debe comprender las consecuencias de estas acciones antes de llevarlas a cabo. Esto puede provocar la pérdida de datos en su espacio de trabajo.

Si elimina el acceso a alguna de las concesiones de alguna forma, Amazon Managed Service para Prometheus no podrá acceder a ninguno de los datos cifrados por la clave administrada por el cliente ni almacenar los nuevos datos que se envíen al espacio de trabajo, lo que afectará a las operaciones que dependen de esos datos. No se podrá acceder a los nuevos datos que se envíen al espacio de trabajo y es posible que se pierdan definitivamente.

Paso 1: Crear una clave administrada por el cliente

Puede crear una clave simétrica gestionada por el cliente utilizando el, o el. AWS Management Console AWS KMS APIs No es necesario que la clave esté en la misma cuenta que el espacio de trabajo de Amazon Managed Service para Prometheus, siempre y cuando proporcione el acceso correcto a través de la política, tal como se describe a continuación.

Para crear una clave simétrica administrada por el cliente

Siga los pasos para crear una clave simétrica gestionada por el cliente que se indican en la Guía para desarrolladores de AWS Key Management Service .

Política de claves

Las políticas de clave controlan el acceso a la clave administrada por el cliente. Cada clave administrada por el cliente debe tener exactamente una política de clave, que contiene instrucciones que determinan quién puede usar la clave y cómo puede utilizarla. Cuando crea la clave administrada por el cliente, puede especificar una política de clave. Para obtener más información, consulte Administración del acceso a las claves en la Guía para desarrolladores de AWS Key Management Service .

Para utilizar su clave administrada por el cliente con sus espacios de trabajo de Amazon Managed Service para Prometheus, en la política de claves deben permitirse las siguientes operaciones de API:

A continuación se muestran ejemplos de declaraciones de política que puede agregar para Amazon Managed Service para Prometheus:

  "Statement" : [ 
    {
      "Sid" : "Allow access to Amazon Managed Service for Prometheus principal within your account",
      "Effect" : "Allow",
      "Principal" : {
        "AWS" : "*"
      },
      "Action" : [ 
        "kms:DescribeKey", 
        "kms:CreateGrant",
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource" : "*",
      "Condition" : {
        "StringEquals" : {
          "kms:ViaService" : "aps.region.amazonaws.com",
          "kms:CallerAccount" : "111122223333"
        }
    },
    {
      "Sid": "Allow access for key administrators - not required for Amazon Managed Service for Prometheus",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:root"
       },
      "Action" : [ 
        "kms:*"
       ],
      "Resource": "arn:aws:kms:region:111122223333:key/key_ID"
    },
    <other statements needed for other non-Amazon Managed Service for Prometheus scenarios>
  ]

Paso 2: especificar una clave administrada por el cliente para Amazon Managed Service para Prometheus

Al crear un espacio de trabajo, puede especificar la clave administrada por el cliente introduciendo un ARN de clave de KMS, que Amazon Managed Service para Prometheus utiliza para cifrar los datos almacenados en el espacio de trabajo.

Paso 3: acceder a los datos de otros servicios, como Amazon Managed Grafana

Este paso es opcional y solo es obligatorio si necesita acceder a los datos de Amazon Managed Service para Prometheus desde otro servicio.

No se puede acceder a sus datos cifrados desde otros servicios, a menos que ellos también tengan acceso para usar la AWS KMS clave. Por ejemplo, si desea usar Amazon Managed Grafana para crear un panel o una alerta de los datos, debe permitir que Amazon Managed Grafana acceda a la clave.

El espacio de trabajo de Amazon Managed Grafana ya puede acceder a los datos del espacio de trabajo de Amazon Managed Service para Prometheus. Puede agregar otros usuarios o roles a los usuarios de claves para permitir que otros servicios accedan al espacio de trabajo.

Contexto de cifrado de Amazon Managed Service para Prometheus

Un contexto de cifrado es un conjunto opcional de pares clave-valor que pueden contener información contextual adicional sobre los datos.

AWS KMS utiliza el contexto de cifrado como datos autenticados adicionales para respaldar el cifrado autenticado. Al incluir un contexto de cifrado en una solicitud de cifrado de datos, AWS KMS vincula el contexto de cifrado a los datos cifrados. Para descifrar los datos, debe incluir el mismo contexto de cifrado en la solicitud.

Contexto de cifrado de Amazon Managed Service para Prometheus

Amazon Managed Service for Prometheus utiliza el mismo contexto de cifrado en AWS KMS todas las operaciones criptográficas, donde la clave aws:amp:arn es y el valor es el nombre del recurso de Amazon (ARN) del espacio de trabajo.

"encryptionContext": {
    "aws:aps:arn": "arn:aws:aps:us-west-2:111122223333:workspace/ws-sample-1234-abcd-56ef-7890abcd12ef"
}

Uso del contexto de cifrado para la supervisión

Si utiliza una clave simétrica administrada por el cliente para cifrar los datos de su espacio de trabajo, también puede utilizar el contexto de cifrado en los registros y registros de auditoría para identificar cómo se está utilizando la clave administrada por el cliente. El contexto de cifrado también aparece en los registros generados por AWS CloudTrail Amazon CloudWatch Logs.

Utilizar el contexto de cifrado para controlar el acceso a la clave administrada por el cliente

Puede utilizar el contexto de cifrado en las políticas de claves y las políticas de IAM como conditions para controlar el acceso a la clave simétrica administrada por el cliente. Puede usar también una restricción de contexto de cifrado en una concesión.

Amazon Managed Service para Prometheus utiliza el contexto de cifrado para restringir las concesiones que permiten el acceso a la clave administrada por el cliente o a en su cuenta y región. La restricción de concesión requiere que las operaciones que permite la concesión utilicen el contexto de cifrado especificado.

{
    "Sid": "Enable DescribeKey",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/ExampleReadOnlyRole"
     },
     "Action": "kms:DescribeKey",
     "Resource": "*"
},
{
     "Sid": "Enable CreateGrant",
     "Effect": "Allow",
     "Principal": {
         "AWS": "arn:aws:iam::111122223333:role/ExampleReadOnlyRole"
     },
     "Action": "kms:CreateGrant",
     "Resource": "*",
     "Condition": {
         "StringEquals": {
             "kms:EncryptionContext:aws:aps:arn": "arn:aws:aps:us-west-2:111122223333:workspace/ws-sample-1234-abcd-56ef-7890abcd12ef"
          }
     }
}

Supervisión de las claves de cifrado para Amazon Managed Service para Prometheus

Si utilizas una clave gestionada por el AWS KMS cliente en tus espacios de trabajo de Amazon Managed Service for Prometheus, puedes utilizar AWS CloudTrailAmazon Logs para realizar un seguimiento de las solicitudes que CloudWatch Amazon Managed Service for Prometheus envía. AWS KMS

Los siguientes ejemplos son AWS CloudTrail eventos para CreateGrant GenerateDataKeyDecrypt, y DescribeKey para monitorear las operaciones de KMS solicitadas por Amazon Managed Service para que Prometheus acceda a los datos cifrados por su clave administrada por el cliente:

Más información

Los siguientes recursos proporcionan más información sobre cifrado de datos en reposo.