Crittografia dei dati per Amazon Aurora DSQL

Amazon Aurora DSQL crittografa tutti i dati utente inattivi. Per una maggiore sicurezza, questa crittografia utilizza AWS Key Management Service ().AWS KMS Questa funzionalità consente di ridurre gli oneri operativi e la complessità associati alla protezione dei dati sensibili. Encryption at rest ti aiuta a:

Con Aurora DSQL, puoi creare applicazioni sensibili alla sicurezza che soddisfano rigorosi requisiti normativi e di conformità alla crittografia. Le sezioni seguenti spiegano come configurare la crittografia per i database Aurora DSQL nuovi ed esistenti e gestire le chiavi di crittografia.

Tipi di chiavi KMS per Aurora DSQL

Aurora DSQL si integra con la gestione delle chiavi di crittografia AWS KMS per i cluster. Per ulteriori informazioni sui tipi e gli stati delle chiavi, consulta AWS Key Management Service i concetti nella Guida per gli sviluppatori.AWS Key Management Service Quando crei un nuovo cluster, puoi scegliere tra i seguenti tipi di chiavi KMS per crittografare il cluster:

La crittografia a riposo utilizzando il Chiave di proprietà di AWS è disponibile senza costi aggiuntivi. Tuttavia, per le chiavi gestite dal cliente vengono AWS KMS addebitati dei costi. Per ulteriori informazioni, consulta la pagina dei prezzi di AWS KMS.

Puoi passare da un tipo di chiave all'altro in qualsiasi momento. Per ulteriori informazioni sui tipi di chiave, consulta Customer managed keys e Chiavi di proprietà di AWSnella AWS Key Management Service Developer Guide.

Crittografia inattiva in Aurora DSQL

Amazon Aurora DSQL utilizza Advanced Encryption Standard (AES-256) a 256 bit per crittografare i dati inattivi. Questa crittografia aiuta a proteggere i dati dall'accesso non autorizzato allo storage sottostante. AWS KMS gestisce le chiavi di crittografia per i cluster. È possibile utilizzare l'impostazione predefinita Chiavi di proprietà di AWS o scegliere di utilizzare la propria. AWS KMS Chiavi gestite dal cliente Per ulteriori informazioni sulla specificazione e la gestione delle chiavi per i cluster Aurora DSQL, consulta e. Creazione di un cluster Aurora DSQL crittografato Rimozione o aggiornamento di una chiave per il cluster Aurora DSQL

Chiavi di proprietà di AWS

Aurora DSQL crittografa tutti i cluster per impostazione predefinita con. Chiavi di proprietà di AWS Queste chiavi possono essere utilizzate gratuitamente e ruotano ogni anno per proteggere le risorse del tuo account. Non è necessario visualizzare, gestire, utilizzare o controllare queste chiavi, quindi non è richiesta alcuna azione per la protezione dei dati. Per ulteriori informazioni Chiavi di proprietà di AWSin merito Chiavi di proprietà di AWS, consulta la Guida per AWS Key Management Service gli sviluppatori.

Chiavi gestite dal cliente

Puoi creare, possedere e gestire le chiavi gestite dai clienti nel tuo Account AWS. Hai il pieno controllo su queste chiavi KMS, comprese le relative politiche, il materiale di crittografia, i tag e gli alias. Per ulteriori informazioni sulla gestione delle autorizzazioni, consulta Customer managed keys nella Developer Guide.AWS Key Management Service

Quando si specifica una chiave gestita dal cliente per la crittografia a livello di cluster, Aurora DSQL crittografa il cluster e tutti i relativi dati regionali con quella chiave. Per prevenire la perdita di dati e mantenere l'accesso al cluster, Aurora DSQL deve accedere alla chiave di crittografia. Se disabiliti la chiave gestita dal cliente, ne pianifichi l'eliminazione o disponi di una politica che limita l'accesso al servizio, lo stato di crittografia del cluster cambia a. KMS_KEY_INACCESSIBLE Quando Aurora DSQL non può accedere alla chiave, gli utenti non possono connettersi al cluster, lo stato di crittografia del cluster cambia e il servizio perde l'accesso ai dati del cluster. KMS_KEY_INACCESSIBLE

Per i cluster multiregionali, i clienti possono configurare la chiave di AWS KMS crittografia di ciascuna regione separatamente e ogni cluster regionale utilizza la propria chiave di crittografia a livello di cluster. Se Aurora DSQL non è in grado di accedere alla chiave di crittografia per un peer in un cluster multiregionale, lo stato di quel peer diventa KMS_KEY_INACCESSIBLE e non è più disponibile per le operazioni di lettura e scrittura. Gli altri peer continuano le normali operazioni.

Utilizzo AWS KMS e chiavi dati con Aurora DSQL

La funzionalità di crittografia a riposo di Aurora DSQL utilizza una AWS KMS key e una gerarchia di chiavi di dati per proteggere i dati del cluster.

Ti consigliamo di pianificare la tua strategia di crittografia prima di implementare il cluster in Aurora DSQL. Se memorizzi dati sensibili o riservati in Aurora DSQL, prendi in considerazione l'inclusione della crittografia lato client nel tuo piano. In questo modo puoi crittografare i dati il più vicino possibile alla loro origine e garantirne la protezione per tutto il loro ciclo di vita.

Usare AWS KMS key s con Aurora DSQL

Encryption at rest protegge il cluster Aurora DSQL in un. AWS KMS key Per impostazione predefinita, Aurora DSQL utilizza una Chiave di proprietà di AWS chiave di crittografia multi-tenant creata e gestita in un account del servizio Aurora DSQL. Ma puoi crittografare i tuoi cluster Aurora DSQL con una chiave gestita dal cliente nel tuo. Account AWS Puoi selezionare una chiave KMS diversa per ogni cluster, anche se fa parte di una configurazione multiregionale.

Si seleziona la chiave KMS per un cluster quando si crea o si aggiorna il cluster. È possibile modificare la chiave KMS per un cluster in qualsiasi momento, nella console Aurora DSQL o utilizzando l'operazione. UpdateCluster Il processo di cambio delle chiavi non richiede tempi di inattività o peggioramento del servizio.

Una chiave gestita dal cliente offre i seguenti vantaggi.

Tuttavia, Chiave di proprietà di AWS è gratuito e il suo utilizzo non influisce sulle quote di risorse o richieste. AWS KMS Le chiavi gestite dal cliente comportano un addebito per ogni chiamata API e a queste chiavi si applicano delle AWS KMS quote.

Utilizzo delle chiavi del cluster con Aurora DSQL

Aurora DSQL utilizza for the cluster AWS KMS key per generare e crittografare una chiave dati univoca per il cluster, nota come chiave del cluster.

La chiave del cluster viene utilizzata come chiave di crittografia. Aurora DSQL utilizza questa chiave del cluster per proteggere le chiavi di crittografia dei dati utilizzate per crittografare i dati del cluster. Aurora DSQL genera una chiave di crittografia dei dati unica per ogni struttura sottostante in un cluster, ma più elementi del cluster potrebbero essere protetti dalla stessa chiave di crittografia dei dati.

Per decrittografare la chiave del cluster, Aurora DSQL invia una richiesta a AWS KMS quando si accede per la prima volta a un cluster crittografato. Per mantenere il cluster disponibile, Aurora DSQL verifica periodicamente l'accesso di decrittografia alla chiave KMS, anche quando non si accede attivamente al cluster.

Aurora DSQL archivia e utilizza la chiave del cluster e le chiavi di crittografia dei dati all'esterno di. AWS KMS Protegge tutte le chiavi con la crittografia Advanced Encryption Standard (AES) e le chiavi di crittografia a 256 bit. Quindi, memorizza le chiavi crittografate con i dati crittografati in modo che siano disponibili per decrittografare i dati del cluster su richiesta.

Se si modifica la chiave KMS per il cluster, Aurora DSQL crittografa nuovamente la chiave del cluster esistente con la nuova chiave KMS.

Memorizzazione nella cache delle chiavi del cluster

Per evitare di chiamare AWS KMS per ogni operazione Aurora DSQL, Aurora DSQL memorizza nella cache le chiavi del cluster in testo semplice per ogni chiamante in memoria. Se Aurora DSQL riceve una richiesta per la chiave del cluster memorizzata nella cache dopo 15 minuti di inattività, invia una nuova richiesta per AWS KMS decrittografare la chiave del cluster. Questa chiamata acquisirà tutte le modifiche apportate alle politiche di accesso di AWS KMS key in AWS KMS o AWS Identity and Access Management (IAM) dopo l'ultima richiesta di decrittografia della chiave del cluster.

Autorizzazione all'uso del tuo AWS KMS key per Aurora DSQL

Se utilizzi una chiave gestita dal cliente nel tuo account per proteggere il tuo cluster Aurora DSQL, le policy su quella chiave devono autorizzare Aurora DSQL a utilizzarla per tuo conto.

Hai il pieno controllo sulle politiche di una chiave gestita dal cliente. Aurora DSQL non necessita di autorizzazioni aggiuntive per utilizzare l'impostazione predefinita per proteggere i Chiave di proprietà di AWS cluster Aurora DSQL nel tuo. Account AWS

Policy delle chiavi per una chiave gestita dal cliente

Quando si seleziona una chiave gestita dal cliente per proteggere un cluster Aurora DSQL, Aurora DSQL necessita dell'autorizzazione per utilizzarla per AWS KMS key conto del principale che effettua la selezione. Tale principale, un utente o un ruolo, deve disporre delle autorizzazioni richieste da Aurora DSQL. AWS KMS key Puoi fornire queste autorizzazioni in una policy chiave o in una policy IAM.

Come minimo, Aurora DSQL richiede le seguenti autorizzazioni su una chiave gestita dal cliente:

Ad esempio, la policy di chiave di esempio riportata di seguito fornisce solo le autorizzazioni necessarie. La policy ha i seguenti effetti:

Prima di utilizzare una politica chiave di esempio, sostituisci i principi di esempio con i principali effettivi del tuo. Account AWS

{
  "Sid": "Enable dsql IAM User Permissions",
  "Effect": "Allow",
  "Principal": {
    "Service": "dsql.amazonaws.com"
  },
  "Action": [
    "kms:Decrypt",
    "kms:GenerateDataKey",
    "kms:Encrypt",
    "kms:ReEncryptFrom",
    "kms:ReEncryptTo"
  ],
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:EncryptionContext:aws:dsql:ClusterId": "w4abucpbwuxx",
      "aws:SourceArn": "arn:aws:dsql:us-east-2:111122223333:cluster/w4abucpbwuxx"
    }
  }
},
{
  "Sid": "Enable dsql IAM User Describe Permissions",
  "Effect": "Allow",
  "Principal": {
    "Service": "dsql.amazonaws.com"
  },
  "Action": "kms:DescribeKey",
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "aws:SourceArn": "arn:aws:dsql:us-east-2:111122223333:cluster/w4abucpbwuxx"
    }
  }
}
      

Contesto di crittografia Aurora DSQL

Un contesto di crittografia è un set di coppie chiave-valore che contiene dati arbitrari non segreti. Quando includi un contesto di crittografia in una richiesta di crittografia dei dati, associa AWS KMS crittograficamente il contesto di crittografia ai dati crittografati. lo stesso contesto di crittografia sia necessario per decrittografare i dati.

Aurora DSQL utilizza lo stesso contesto di crittografia in tutte le AWS KMS operazioni crittografiche. Se si utilizza una chiave gestita dal cliente per proteggere il cluster Aurora DSQL, è possibile utilizzare il contesto di crittografia per identificare l'utilizzo di tale chiave nei record e AWS KMS key nei log di controllo. Viene inoltre visualizzato in testo semplice nei log come quelli di. AWS CloudTrail

Il contesto di crittografia può essere utilizzato anche come condizione per l'autorizzazione nelle politiche.

Nelle sue richieste a AWS KMS, Aurora DSQL utilizza un contesto di crittografia con una coppia chiave-valore:

"encryptionContext": {
  "aws:dsql:ClusterId": "w4abucpbwuxx"
},
    

La coppia chiave-valore identifica il cluster crittografato da Aurora DSQL. La chiave è aws:dsql:ClusterId. Il valore è l'identificatore del cluster.

Monitoraggio dell'interazione di Aurora DSQL con AWS KMS

Se utilizzi una chiave gestita dal cliente per proteggere i tuoi cluster Aurora DSQL, puoi utilizzare i AWS CloudTrail log per tenere traccia delle richieste a cui Aurora DSQL invia per tuo conto. AWS KMS

Espandi le seguenti sezioni per scoprire come Aurora DSQL utilizza le AWS KMS operazioni e. GenerateDataKey Decrypt

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AWSService",
        "invokedBy": "dsql.amazonaws.com"
    },
    "eventTime": "2025-05-16T18:41:24Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "GenerateDataKey",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "dsql.amazonaws.com",
    "userAgent": "dsql.amazonaws.com",
    "requestParameters": {
        "encryptionContext": {
            "aws:dsql:ClusterId": "w4abucpbwuxx"
        },
        "keySpec": "AES_256",
        "keyId": "arn:aws:kms:us-east-1:982127530226:key/8b60dd9f-2ff8-4b1f-8a9c-bf570cbfdb5e"
    },
    "responseElements": null,
    "requestID": "2da2dc32-d3f4-4d6c-8a41-aff27cd9a733",
    "eventID": "426df0a6-ba56-3244-9337-438411f826f4",
    "readOnly": true,
    "resources": [
        {
            "accountId": "AWS Internal",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-east-1:982127530226:key/8b60dd9f-2ff8-4b1f-8a9c-bf570cbfdb5e"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "sharedEventID": "f88e0dd8-6057-4ce0-b77d-800448426d4e",
    "vpcEndpointId": "AWS Internal",
    "vpcEndpointAccountId": "vpce-1a2b3c4d5e6f1a2b3",
    "eventCategory": "Management"
}
      

{
  "eventVersion": "1.05",
  "userIdentity": {
    "type": "AWSService",
    "invokedBy": "dsql.amazonaws.com"
  },
  "eventTime": "2018-02-14T16:42:39Z",
  "eventSource": "kms.amazonaws.com",
  "eventName": "Decrypt",
  "awsRegion": "us-east-1",
  "sourceIPAddress": "dsql.amazonaws.com",
  "userAgent": "dsql.amazonaws.com",
  "requestParameters": {
    "keyId": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "encryptionContext": {
      "aws:dsql:ClusterId": "w4abucpbwuxx"
    },
    "encryptionAlgorithm": "SYMMETRIC_DEFAULT"
  },
  "responseElements": null,
  "requestID": "11cab293-11a6-11e8-8386-13160d3e5db5",
  "eventID": "b7d16574-e887-4b5b-a064-bf92f8ec9ad3",
  "readOnly": true,
  "resources": [
    {
      "ARN": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
      "accountId": "AWS Internal",
      "type": "AWS::KMS::Key"
    }
  ],
  "eventType": "AwsApiCall",
  "managementEvent": true,
  "recipientAccountId": "111122223333",
  "sharedEventID": "d99f2dc5-b576-45b6-aa1d-3a3822edbeeb",
  "vpcEndpointId": "AWS Internal",
  "vpcEndpointAccountId": "vpce-1a2b3c4d5e6f1a2b3",
  "eventCategory": "Management"
}
      

Creazione di un cluster Aurora DSQL crittografato

Tutti i cluster Aurora DSQL sono crittografati a riposo. Per impostazione predefinita, i cluster utilizzano una chiave Chiave di proprietà di AWS gratuita oppure è possibile specificare una chiave personalizzata. AWS KMS Segui questi passaggi per creare il tuo cluster crittografato da AWS Management Console o da. AWS CLI

Rimozione o aggiornamento di una chiave per il cluster Aurora DSQL

Puoi usare AWS Management Console o the AWS CLI per aggiornare o rimuovere le chiavi di crittografia sui cluster esistenti in Amazon Aurora DSQL. Se si rimuove una chiave senza sostituirla, Aurora DSQL utilizza l'impostazione predefinita. Chiave di proprietà di AWS Segui questi passaggi per aggiornare le chiavi di crittografia di un cluster esistente dalla console Aurora DSQL o dal. AWS CLI

Considerazioni sulla crittografia con Aurora DSQL