Crittografia dei dati per Amazon Aurora DSQL

Amazon Aurora DSQL crittografa tutti i dati a riposo degli utenti. Per una maggiore sicurezza, questa crittografia utilizza AWS Key Management Service (AWS KMS). Questa funzionalità consente di ridurre gli oneri operativi e la complessità associati alla protezione dei dati sensibili. La crittografia dei dati a riposo permette di:

La crittografia dei dati a risposo consente di creare applicazioni ad alto livello di sicurezza che rispettano rigorosi requisiti normativi e di conformità per la crittografia. Le sezioni seguenti spiegano come configurare la crittografia per i database Aurora DSQL nuovi ed esistenti e gestire le chiavi di crittografia.

Tipi di chiave KMS per Aurora DSQL

Aurora DSQL si integra con la gestione delle chiavi di crittografia AWS KMS per i cluster. Per maggiori informazioni sui tipi e gli stati delle chiavi, consulta Concetti di AWS Key Management Service nella Guida per gli sviluppatori di AWS Key Management Service . Quando si crea un nuovo cluster, è possibile selezionare tra i seguenti tipi di chiave KMS per crittografare il cluster:

La crittografia a riposo utilizzando il Chiave di proprietà di AWS è disponibile senza costi aggiuntivi. Tuttavia, per le chiavi gestite dal cliente vengono AWS KMS addebitati dei costi. Per maggiori informazioni, consulta la pagina Prezzi di AWS KMS.

È possibile passare da un tipo di chiave all’altro in qualsiasi momento. Per maggiori informazioni sui tipi di chiave, consulta Chiavi gestite dal cliente e Chiavi di proprietà di AWS nella Guida per gli sviluppatori di AWS Key Management Service .

Crittografia dei dati a riposo in Aurora DSQL

Amazon Aurora DSQL utilizza Advanced Encryption Standard a 256 bit (AES-256) per crittografare i dati a riposo. Questa crittografia aiuta a proteggere i dati dall'accesso non autorizzato allo storage sottostante. AWS KMS gestisce le chiavi di crittografia per i cluster. È possibile utilizzare l’impostazione predefinita Chiavi di proprietà di AWS o scegliere di utilizzare la propria Chiavi gestite dal cliente AWS KMS . Per maggiori informazioni sulla specificazione e la gestione delle chiavi per i cluster Aurora DSQL, consulta Creazione di un cluster Aurora DSQL crittografato e Rimozione o aggiornamento di una chiave per il cluster Aurora DSQL.

Chiavi di proprietà di AWS

Aurora DSQL crittografa tutti i cluster per impostazione predefinita con. Chiavi di proprietà di AWS Queste chiavi possono essere utilizzate gratuitamente e ruotano ogni anno per proteggere le risorse degli account. Non è necessario visualizzare, gestire, utilizzare o controllare queste chiavi, quindi non è necessaria alcuna azione per la protezione dei dati. Per ulteriori informazioni in merito Chiavi di proprietà di AWS, consulta la Guida per gli Chiavi di proprietà di AWSsviluppatori.AWS Key Management Service

Chiavi gestite dal cliente

È possibile creare, possedere e gestire chiavi gestite dal cliente in Account AWS. L’utente mantiene il pieno controllo su queste chiavi KMS, comprese le relative policy, il materiale di crittografia, i tag e gli alias. Per maggiori informazioni sulla gestione delle autorizzazioni, consulta Chiavi gestite dal cliente nella Guida per gli sviluppatori di AWS Key Management Service .

Quando si specifica una chiave gestita dal cliente per la crittografia a livello di cluster, Aurora DSQL crittografa il cluster e tutti i relativi dati regionali con quella chiave. Per prevenire la perdita di dati e mantenere l’accesso al cluster, Aurora DSQL deve accedere alla chiave di crittografia. Se si disabilita la chiave gestita dal cliente, se ne pianifica l’eliminazione o si impone una policy che limita l’accesso al servizio, lo stato di crittografia del cluster diventa KMS_KEY_INACCESSIBLE. Quando Aurora DSQL non è in grado di accedere alla chiave, gli utenti non possono connettersi al cluster, lo stato di crittografia del cluster diventa KMS_KEY_INACCESSIBLE e il servizio perde l’accesso ai dati del cluster.

Per i cluster multiregionali, i clienti possono configurare la chiave di AWS KMS crittografia di ciascuna regione separatamente e ogni cluster regionale utilizza la propria chiave di crittografia a livello di cluster. Se Aurora DSQL non è in grado di accedere alla chiave di crittografia per un peer in un cluster multi-Regione, lo stato di quel peer diventa KMS_KEY_INACCESSIBLE e non è più disponibile per le operazioni di lettura e scrittura. Gli altri peer continuano con la normale operatività.

Utilizzo AWS KMS e chiavi dati con Aurora DSQL

La funzionalità di crittografia a riposo di Aurora DSQL utilizza una AWS KMS key e una gerarchia di chiavi di dati per proteggere i dati del cluster.

Consigliamo di pianificare la strategia di crittografia prima di implementare il cluster in Aurora DSQL. Se si archiviano dati sensibili o riservati in Aurora DSQL, prendere in considerazione l’inclusione della crittografia lato client nel piano. In questo modo è possibile crittografare i dati il più vicino possibile alla loro origine e garantirne la protezione per tutto il ciclo di vita.

Usare AWS KMS key s con Aurora DSQL

La crittografia dei dati a riposo protegge il cluster Aurora DSQL con una AWS KMS key. Per impostazione predefinita, Aurora DSQL utilizza una Chiave di proprietà di AWS chiave di crittografia multi-tenant creata e gestita in un account del servizio Aurora DSQL. È però possibile crittografare i cluster Aurora DSQL con una chiave gestita dal cliente nel proprio Account AWS. È possibile selezionare una chiave KMS differente per ogni cluster, anche se fa parte di una configurazione multi-Regione.

Quando si crea o si aggiorna il cluster si seleziona la chiave KMS relativa. È possibile modificare la chiave KMS per un cluster in qualsiasi momento, nella console di Aurora DSQL oppure utilizzando l’operazione UpdateCluster. Il processo di scambio di chiavi non richiede tempo di inattività e non comporta alcun calo delle prestazioni del servizio.

Una chiave gestita dal cliente fornisce i seguenti vantaggi.

Tuttavia, Chiave di proprietà di AWS è gratuito e il suo utilizzo non influisce sulle quote di risorse o richieste. AWS KMS Le chiavi gestite dal cliente sono soggette a un addebito per ogni chiamata API e a tali chiavi KMS vengono applicate le quote di AWS KMS .

Utilizzo delle chiavi del cluster con Aurora DSQL

Aurora DSQL utilizza for the cluster AWS KMS key per generare e crittografare una chiave dati univoca per il cluster, nota come chiave del cluster.

La chiave del cluster viene utilizzata come chiave di crittografia. Aurora DSQL utilizza questa chiave del cluster per proteggere le chiavi di crittografia dei dati utilizzate per crittografare i dati del cluster. Aurora DSQL genera una chiave di crittografia dei dati univoca per ogni struttura sottostante in un cluster, ma più di un elemento della cluster potrebbe essere protetto dalla stessa chiave di crittografia dei dati.

Per decrittografare la chiave del cluster, Aurora DSQL invia una richiesta al primo accesso a un cluster AWS KMS crittografato. Per mantenere il cluster disponibile, Aurora DSQL verifica periodicamente l’accesso del sistema di decrittazione alla chiave KMS, anche quando non si accede attivamente al cluster.

Aurora DSQL archivia e utilizza la chiave del cluster e le chiavi di crittografia dei dati all'esterno di. AWS KMS Protegge tutte le chiavi con la crittografia Advanced Encryption Standard (AES) e le chiavi di crittografia a 256 bit. Quindi, archivia le chiavi crittografate con i dati crittografati, in modo che siano disponibili per decrittografare i dati del cluster on demand.

Quando si modifica la chiave KMS per il cluster, Aurora DSQL crittografa nuovamente la chiave del cluster esistente con la nuova chiave KMS.

Caching della chiave del cluster

Per evitare di chiamare AWS KMS per ogni operazione Aurora DSQL, Aurora DSQL memorizza nella cache le chiavi del cluster in testo semplice per ogni chiamante in memoria. Se Aurora DSQL riceve una richiesta per la chiave del cluster memorizzata nella cache dopo 15 minuti di inattività, invia una nuova richiesta per AWS KMS decrittografare la chiave del cluster. Questa chiamata acquisirà tutte le modifiche apportate alle politiche di accesso di AWS KMS key in AWS KMS o AWS Identity and Access Management (IAM) dopo l'ultima richiesta di decrittografia della chiave del cluster.

Autorizzazione all'uso del tuo AWS KMS key per Aurora DSQL

Se si utilizza una chiave gestita dal cliente nel proprio account per proteggere il cluster Aurora DSQL, è necessario che le policy su tale chiave forniscano ad Aurora DSQL l’autorizzazione per usarla per conto dell’utente.

L’utente ha il pieno controllo sulle policy di una chiave gestita dal cliente. Aurora DSQL non necessita di autorizzazioni aggiuntive per utilizzare l'impostazione predefinita per proteggere i Chiave di proprietà di AWS cluster Aurora DSQL nel tuo. Account AWS

Policy della chiave per una chiave gestita dal cliente

Quando si seleziona una chiave gestita dal cliente per proteggere un cluster Aurora DSQL, Aurora DSQL necessita dell'autorizzazione per utilizzarla per AWS KMS key conto del principale che effettua la selezione. Tale principale, un utente o un ruolo, deve disporre delle autorizzazioni richieste da Aurora DSQL. AWS KMS key È possibile fornire queste autorizzazioni in una policy della chiave o in una policy IAM.

Le autorizzazioni minime richieste da Aurora DSQL per una chiave gestita dal cliente sono:

Ad esempio, la policy della chiave di esempio riportata di seguito fornisce solo le autorizzazioni necessarie. La policy ha i seguenti effetti:

Prima di utilizzare una politica chiave di esempio, sostituisci i principi di esempio con i principali effettivi del tuo. Account AWS

{
  "Sid": "Enable dsql IAM User Permissions",
  "Effect": "Allow",
  "Principal": {
    "Service": "dsql.amazonaws.com"
  },
  "Action": [
    "kms:Decrypt",
    "kms:GenerateDataKey",
    "kms:Encrypt",
    "kms:ReEncryptFrom",
    "kms:ReEncryptTo"
  ],
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:EncryptionContext:aws:dsql:ClusterId": "w4abucpbwuxx",
      "aws:SourceArn": "arn:aws:dsql:us-east-2:111122223333:cluster/w4abucpbwuxx"
    }
  }
},
{
  "Sid": "Enable dsql IAM User Describe Permissions",
  "Effect": "Allow",
  "Principal": {
    "Service": "dsql.amazonaws.com"
  },
  "Action": "kms:DescribeKey",
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "aws:SourceArn": "arn:aws:dsql:us-east-2:111122223333:cluster/w4abucpbwuxx"
    }
  }
}
      

Contesto di crittografia di Aurora DSQL

Un contesto di crittografia è un set di coppie chiave-valore che contiene dati arbitrari non segreti. Quando includi un contesto di crittografia in una richiesta di crittografia dei dati, associa AWS KMS crittograficamente il contesto di crittografia ai dati crittografati. lo stesso contesto di crittografia sia necessario per decrittografare i dati.

Aurora DSQL utilizza lo stesso contesto di crittografia in tutte le AWS KMS operazioni crittografiche. Se si utilizza una chiave gestita dal cliente per proteggere il cluster Aurora DSQL, è possibile utilizzare il contesto di crittografia per identificare l'utilizzo di tale chiave nei record e AWS KMS key nei log di controllo. Viene inoltre visualizzato come testo in chiaro nei log, ad esempio quelli di AWS CloudTrail.

Il contesto di crittografia può anche essere usato come una condizione per le autorizzazioni nelle policy.

Nelle sue richieste a AWS KMS, Aurora DSQL utilizza un contesto di crittografia con una coppia chiave-valore:

"encryptionContext": {
  "aws:dsql:ClusterId": "w4abucpbwuxx"
},
    

La coppia chiave-valore identifica il cluster che Aurora DSQL sta crittografando. La chiave è aws:dsql:ClusterId. Il valore è l’identificativo del cluster.

Monitoraggio dell’interazione di Aurora DSQL con AWS KMS

Se utilizzi una chiave gestita dal cliente per proteggere i tuoi cluster Aurora DSQL, puoi utilizzare i AWS CloudTrail log per tenere traccia delle richieste a cui Aurora DSQL invia per tuo conto. AWS KMS

Espandi le seguenti sezioni per scoprire come Aurora DSQL utilizza le AWS KMS operazioni e. GenerateDataKey Decrypt

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AWSService",
        "invokedBy": "dsql.amazonaws.com"
    },
    "eventTime": "2025-05-16T18:41:24Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "GenerateDataKey",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "dsql.amazonaws.com",
    "userAgent": "dsql.amazonaws.com",
    "requestParameters": {
        "encryptionContext": {
            "aws:dsql:ClusterId": "w4abucpbwuxx"
        },
        "keySpec": "AES_256",
        "keyId": "arn:aws:kms:us-east-1:982127530226:key/8b60dd9f-2ff8-4b1f-8a9c-bf570cbfdb5e"
    },
    "responseElements": null,
    "requestID": "2da2dc32-d3f4-4d6c-8a41-aff27cd9a733",
    "eventID": "426df0a6-ba56-3244-9337-438411f826f4",
    "readOnly": true,
    "resources": [
        {
            "accountId": "AWS Internal",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-east-1:982127530226:key/8b60dd9f-2ff8-4b1f-8a9c-bf570cbfdb5e"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "sharedEventID": "f88e0dd8-6057-4ce0-b77d-800448426d4e",
    "vpcEndpointId": "AWS Internal",
    "vpcEndpointAccountId": "vpce-1a2b3c4d5e6f1a2b3",
    "eventCategory": "Management"
}
      

{
  "eventVersion": "1.05",
  "userIdentity": {
    "type": "AWSService",
    "invokedBy": "dsql.amazonaws.com"
  },
  "eventTime": "2018-02-14T16:42:39Z",
  "eventSource": "kms.amazonaws.com",
  "eventName": "Decrypt",
  "awsRegion": "us-east-1",
  "sourceIPAddress": "dsql.amazonaws.com",
  "userAgent": "dsql.amazonaws.com",
  "requestParameters": {
    "keyId": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "encryptionContext": {
      "aws:dsql:ClusterId": "w4abucpbwuxx"
    },
    "encryptionAlgorithm": "SYMMETRIC_DEFAULT"
  },
  "responseElements": null,
  "requestID": "11cab293-11a6-11e8-8386-13160d3e5db5",
  "eventID": "b7d16574-e887-4b5b-a064-bf92f8ec9ad3",
  "readOnly": true,
  "resources": [
    {
      "ARN": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
      "accountId": "AWS Internal",
      "type": "AWS::KMS::Key"
    }
  ],
  "eventType": "AwsApiCall",
  "managementEvent": true,
  "recipientAccountId": "111122223333",
  "sharedEventID": "d99f2dc5-b576-45b6-aa1d-3a3822edbeeb",
  "vpcEndpointId": "AWS Internal",
  "vpcEndpointAccountId": "vpce-1a2b3c4d5e6f1a2b3",
  "eventCategory": "Management"
}
      

Creazione di un cluster Aurora DSQL crittografato

Tutti i cluster Aurora DSQL sono crittografati a riposo. Per impostazione predefinita, i cluster utilizzano una chiave Chiave di proprietà di AWS gratuita oppure è possibile specificare una chiave personalizzata. AWS KMS Segui questi passaggi per creare il tuo cluster crittografato da Console di gestione AWS o da. AWS CLI

Rimozione o aggiornamento di una chiave per il cluster Aurora DSQL

Puoi usare Console di gestione AWS o the AWS CLI per aggiornare o rimuovere le chiavi di crittografia sui cluster esistenti in Amazon Aurora DSQL. Se rimuovi una chiave senza sostituirla, Aurora DSQL utilizza l’impostazione predefinita Chiave di proprietà di AWS. Segui questi passaggi per aggiornare le chiavi di crittografia di un cluster esistente dalla console Aurora DSQL o dalla AWS CLI.

Considerazioni sulla crittografia con Aurora DSQL