Crittografia del catalogo dati

Per abilitare la crittografia usando la console

1. Accedi alla AWS Management Console, quindi apri la console AWS Glue all'indirizzo https://console.aws.amazon.com/glue/.

2. Nel pannello di navigazione, seleziona Catalogo dati.

3. Nella pagina Impostazioni del Catalogo dati selezionare la casella di controllo Metadata encryption (Crittografia dei metadati) e scegliere una chiave AWS KMS.

   Quando abiliti la crittografia, se non specifichi una chiave gestita dal cliente, le impostazioni di crittografia utilizzano una AWS chiave KMS gestita.

4. (Facoltativo) Quando utilizzi una chiave gestita dal cliente per crittografare il tuo Catalogo dati, il Catalogo dati offre la possibilità di registrare un ruolo IAM per crittografare e decrittografare le risorse. A questo punto devi concedere le autorizzazioni del ruolo IAM che AWS Glue può assumere per tuo conto. Ciò include AWS KMS le autorizzazioni per crittografare e decrittografare i dati.

   Quando crei una nuova risorsa nel Catalogo dati, AWS Glue assume il ruolo IAM fornito per crittografare i dati. Allo stesso modo, quando un consumatore accede alla risorsa, AWS Glue assume il ruolo IAM per decrittografare i dati. Se registri un ruolo IAM con le autorizzazioni richieste, il principale chiamante non necessita più delle autorizzazioni per accedere alla chiave e decrittografare i dati.

   Importante

   Puoi delegare le operazioni KMS a un ruolo IAM solo quando utilizzi una chiave gestita dal cliente per crittografare le risorse del Catalogo dati. Al momento, la funzionalità di delega dei ruoli KMS non supporta l'utilizzo di AWS chiavi gestite per la crittografia delle risorse del Catalogo dati.

   avvertimento

   Quando abiliti un ruolo IAM per delegare le operazioni KMS, non puoi più accedere alle risorse del Catalogo dati che in precedenza erano crittografate con una AWS chiave gestita.

   1. Per abilitare un ruolo IAM che AWS Glue può pretendere di crittografare e decrittografare i dati per tuo conto, seleziona l'opzione Delega le operazioni KMSa un ruolo IAM.

   2. Successivamente, Scegli un ruolo IAM.

      Per creare un ruolo IAM, consulta l'argomento relativo alla creazione di ruoli IAM per AWS Glue.

      Il ruolo IAM che AWS Glue presuppone l'accesso al Catalogo dati deve disporre delle autorizzazioni per crittografare e decrittografare i metadati nel catalogo dati. Puoi creare un ruolo IAM e collegare le seguenti policy in linea:

      • Aggiungi la seguente policy per includere le AWS KMS autorizzazioni per crittografare e decrittografare il Catalogo dati.

        JSON

        JSON

        {
          "Version":"2012-10-17",		 	 	 
          "Statement": [
            {
              "Effect": "Allow",
              "Action": [
                "kms:Decrypt",
                "kms:Encrypt",
                "kms:GenerateDataKey"
              ],
              "Resource": "arn:aws:kms:us-east-1:111122223333:key/<key-id>"
            }
          ]
        }
        

      • In seguito, aggiungi la seguente policy di attendibilità al ruolo per il servizio AWS Glue per assumere il ruolo IAM.

        JSON

        JSON

        {
          "Version":"2012-10-17",		 	 	 
          "Statement": [
            {
              "Sid": "",
              "Effect": "Allow",
              "Principal": {
                "Service": "glue.amazonaws.com"
              },
              "Action": "sts:AssumeRole"
            }
          ]
        }
        

      • Quindi, aggiungi l'autorizzazione iam:PassRole al ruolo IAM.

        JSON

        JSON

        {
          "Version":"2012-10-17",		 	 	 
          "Statement": [
            {
              "Effect": "Allow",
              "Action": [
                "iam:PassRole"
              ],
              "Resource": [
                "arn:aws:iam::111122223333:role/<encryption-role-name>"
              ]
            }
          ]
        }
        

   Quando abiliti la crittografia, se non hai specificato un ruolo IAM AWS Glue da assumere, il principale che accede al Catalogo dati deve disporre delle autorizzazioni per eseguire le seguenti operazioni API:

   • kms:Decrypt

   • kms:Encrypt

   • kms:GenerateDataKey

Abilitazione della crittografia usando l'SDK o AWS CLI

• Usa l'operazione API PutDataCatalogEncryptionSettings. Se non viene specificata alcuna chiave, AWS Glue utilizza la AWS chiave di crittografia gestita per l'account del cliente per crittografare il Catalogo dati.

  aws glue put-data-catalog-encryption-settings \
    --data-catalog-encryption-settings '{
        "EncryptionAtRest": {
        "CatalogEncryptionMode": "SSE-KMS-WITH-SERVICE-ROLE",
        "SseAwsKmsKeyId": "arn:aws:kms:<region>:<account-id>:key/<key-id>",
        "CatalogEncryptionServiceRole":"arn:aws:iam::<account-id>:role/<encryption-role-name>"
      }
  
    }'