As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
# Pilar de segurança Amazon ElastiCache Well-Architected Lens
O foco do pilar Segurança está na proteção de informações e sistemas. Os principais tópicos incluem confidencialidade e integridade dos dados, identificação e gerenciamento de quem pode fazer o quê com o gerenciamento baseado em privilégios, proteção de sistemas e estabelecimento de controles para detectar eventos de segurança.
**Topics**
+ [SEC 1: Quais etapas você está tomando para controlar o acesso autorizado aos ElastiCache dados?](#SecurityPillarSEC1)
+ [SEC 2: Seus aplicativos exigem autorização adicional para além ElastiCache dos controles baseados em rede?](#SecurityPillarSEC2)
+ [SEG 3: Existe o risco de que os comandos possam ser executados acidentalmente, causando perda ou falha de dados?](#SecurityPillarSEC3)
+ [SEC 4: Como você garante a criptografia de dados em repouso com ElastiCache](#SecurityPillarSEC4)
+ [SEC 5: Como você criptografa dados em trânsito? ElastiCache](#SecurityPillarSEC5)
+ [SEG 6: Como restringir o acesso aos recursos do ambiente de gerenciamento?](#SecurityPillarSEC6)
+ [SEG 7: Como detectar e responder a eventos de segurança?](#SecurityPillarSEC7)
## SEC 1: Quais etapas você está tomando para controlar o acesso autorizado aos ElastiCache dados?
**Question-level introdução:** Todos os ElastiCache clusters são projetados para serem acessados a partir de instâncias do Amazon Elastic Compute Cloud em uma VPC, funções sem servidor AWS Lambda() ou contêineres (Amazon Elastic Container Service). O cenário mais encontrado é acessar um ElastiCache cluster de uma instância do Amazon Elastic Compute Cloud dentro da mesma Amazon Virtual Private Cloud (Amazon Virtual Private Cloud). Antes de poder se conectar a um cluster usando uma instância do Amazon EC2, você deve autorizar a instância do Amazon EC2 a acessar o cluster. Para acessar um ElastiCache cluster em execução em uma VPC, é necessário conceder a entrada de rede ao cluster.
**Question-level benefício:** a entrada da rede no cluster é controlada por meio de grupos de segurança da VPC. Um grupo de segurança atua como firewall virtual para as instâncias do Amazon EC2 a fim de controlar o tráfego de entrada e saída. As regras de entrada controlam o tráfego de entrada para a instância e as regras de saída controlam o tráfego de saída da instância. No caso de ElastiCache, ao iniciar um cluster, é necessário associar um grupo de segurança. Isso garante que as regras de tráfego de entrada e saída estejam em vigor para todos os nós que compõem o cluster. Além disso, ElastiCache está configurado para ser implantado exclusivamente em sub-redes privadas, de forma que elas só possam ser acessadas por meio da rede privada da VPC.
+ **[Obrigatório] **O grupo de segurança associado ao seu cluster controla a entrada na rede e o acesso ao cluster. Por padrão, um grupo de segurança não terá nenhuma regra de entrada definida e, portanto, nenhum caminho de entrada para. ElastiCache Para habilitar isso, configure uma regra de entrada no grupo de segurança especificando o IP de origem address/range, o tráfego do tipo TCP e a porta do seu ElastiCache cluster (porta padrão 6379 para Valkey e Redis OSS, ElastiCache por exemplo). Embora seja possível permitir um conjunto muito amplo de fontes de entrada, como todos os recursos em uma VPC (0.0.0). 0/0), é recomendável ser o mais granular possível na definição das regras de entrada, como autorizar somente o acesso de entrada aos clientes Valkey ou Redis OSS executados em instâncias do Amazon Amazon EC2 associadas a um grupo de segurança específico.
**[Recursos]: **
+ [Sub-redes e grupos de sub-redes](SubnetGroups.md)
+ [Acessar um cluster ou grupo de replicação](accessing-elasticache.md)
+ [Controlar o tráfego para recursos usando grupos de segurança](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-security-groups.html#DefaultSecurityGroupdefault%20security%20group)
+ [Grupos de segurança do Amazon Elastic Compute Cloud para instâncias do Linux](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/ec2-security-groups.html#creating-your-own-security-groups)
+ AWS Identity and Access Management As políticas **[obrigatórias]** podem ser atribuídas a AWS Lambda funções que permitem que elas acessem ElastiCache dados. Para ativar esse recurso, crie uma função de execução do IAM com a `AWSLambdaVPCAccessExecutionRole` permissão e atribua a função à AWS Lambda função.
**[Recursos]:** Configurando uma função Lambda para acessar a Amazon em uma ElastiCache Amazon VPC[: Tutorial: Configurando uma função Lambda para acessar a Amazon em uma](https://docs.aws.amazon.com/lambda/latest/dg/services-elasticache-tutorial.html) Amazon VPC ElastiCache
## SEC 2: Seus aplicativos exigem autorização adicional para além ElastiCache dos controles baseados em rede?
**Question-level introdução:** Em cenários em que é necessário restringir ou controlar o acesso aos clusters em um nível de cliente individual, é recomendável autenticar por meio do comando AUTH. ElastiCache os tokens de autenticação, com gerenciamento opcional de usuários e grupos de usuários, ElastiCache permitem exigir uma senha antes de permitir que os clientes executem comandos e chaves de acesso, melhorando assim a segurança do plano de dados.
**Question-level benefício:** para ajudar a manter seus dados seguros, ElastiCache fornece mecanismos de proteção contra o acesso não autorizado aos seus dados. Isso inclui impor a autenticação do Controle de Role-Based Acesso (RBAC) ou o token AUTH (senha) aos quais os clientes devem se conectar antes de executar os comandos autorizados. ElastiCache
+ **[Melhor]** Para a ElastiCache versão 6.x e superior para Redis OSS e ElastiCache versão 7.2 e superior para Valkey, defina controles de autenticação e autorização definindo grupos de usuários, usuários e cadeias de acesso. Atribua usuários a grupos de usuários, depois atribua grupos de usuários a clusters. Para utilizar o RBAC, ele deve ser selecionado na criação do cluster e a criptografia em trânsito deve estar habilitada. Use um cliente Valkey ou Redis OSS compatível com TLS para poder aproveitar o RBAC.
**[Recursos]: **
+ [Aplicando o RBAC a um grupo de replicação para ElastiCache](Clusters.RBAC.md#rbac-using)
+ [Especificação de permissões usando uma string de acesso](Clusters.RBAC.md#Access-string)
+ [ACL](https://valkey.io/topics/acl/)
+ [ ElastiCache Versões suportadas](VersionManagement.md#supported-engine-versions)
+ **[Melhor]** Para ElastiCache versões anteriores à 6.x do Redis OSS, além de definir uma política de senha forte token/password e manter uma política de senha rígida para AUTH, é uma prática recomendada alternar o. password/token ElastiCache pode gerenciar até dois (2) tokens de autenticação a qualquer momento. Você também pode modificar o cluster para exigir explicitamente o uso de tokens de autenticação.
**[Recursos]:** [modificando o token AUTH em um cluster existente ElastiCache](auth.md#auth-modifyng-token)
## SEG 3: Existe o risco de que os comandos possam ser executados acidentalmente, causando perda ou falha de dados?
**Question-level introdução:** Há vários comandos OSS do Valkey ou do Redis que podem ter impactos adversos nas operações se executados por engano ou por agentes mal-intencionados. Esses comandos podem ter consequências não intencionais do ponto de vista da performance e da segurança dos dados. Por exemplo, um desenvolvedor pode chamar rotineiramente o comando FLUSHALL em um ambiente de desenvolvimento e, devido a um erro, pode tentar inadvertidamente chamar esse comando em um sistema de produção, resultando em perda acidental de dados.
**Question-level benefício:** a partir da ElastiCache versão 5.0.3 para Redis OSS, você pode renomear determinados comandos que podem prejudicar sua carga de trabalho. Renomear os comandos pode ajudar a evitar que sejam executados acidentalmente no cluster.
+ **[Obrigatório] **
**[Recursos]: **
+ [ElastiCache versão 5.0.3 para Redis OSS (obsoleta, use a versão 5.0.6)](engine-versions.md#redis-version-5-0.3)
+ [ElastiCache versão 5.0.3 para alterações nos parâmetros do Redis OSS](ParameterGroups.Engine.md#ParameterGroups.Redis.5-0-3)
+ [Segurança do Redis OSS](https://redis.io/docs/management/security/)
## SEC 4: Como você garante a criptografia de dados em repouso com ElastiCache
**Question-level introdução:** Embora ElastiCache seja um armazenamento de dados na memória, é possível criptografar qualquer dado que possa ser persistido (no armazenamento) como parte das operações padrão do cluster. Isso inclui backups programados e manuais gravados no Amazon S3, bem como dados salvos no armazenamento em disco como resultado de operações de sincronização e troca. Os tipos de instância nas famílias M6g e R6g também oferecem criptografia sempre ativa em memória.
**Question-level benefício:** ElastiCache fornece criptografia opcional em repouso para aumentar a segurança dos dados.
+ A At-rest criptografia **[Obrigatória]** só pode ser ativada em um ElastiCache cluster (grupo de replicação) quando é criada. Um cluster existente não pode ser modificado para começar a criptografar dados em repouso. Por padrão, ElastiCache fornecerá e gerenciará as chaves usadas na criptografia em repouso.
**[Recursos]: **
+ [At-Rest Restrições de criptografia](at-rest-encryption.md#at-rest-encryption-constraints)
+ [Ativando a At-Rest criptografia](at-rest-encryption.md#at-rest-encryption-enable)
+ **[Ideal] **Utilize os tipos de instância do Amazon EC2 que criptografam dados enquanto eles estão na memória (como M6g ou R6g). Sempre que possível, considere gerenciar suas próprias chaves para criptografia em repouso. Para ambientes de segurança de dados mais rigorosos, o AWS Key Management Service (KMS) pode ser usado para autogerenciar chaves mestras de cliente (CMK). Por meio da ElastiCache integração com AWS Key Management Service, você pode criar, possuir e gerenciar as chaves usadas para criptografia de dados em repouso para seu ElastiCache cluster.
**[Recursos]: **
+ [Usando chaves gerenciadas pelo cliente de AWS Key Management Service](at-rest-encryption.md#using-customer-managed-keys-for-elasticache-security)
+ [AWS Serviço de gerenciamento de chaves](https://docs.aws.amazon.com/kms/latest/developerguide/overview.html)
+ [Conceitos do AWS KMS](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#master_keys)
## SEC 5: Como você criptografa dados em trânsito? ElastiCache
**Question-level introdução:** É um requisito comum evitar o comprometimento de dados durante o trânsito. Isso representa dados dentro de componentes de um sistema distribuído, bem como entre clientes de aplicativos e nós de cluster. ElastiCache suporta esse requisito ao permitir a criptografia de dados em trânsito entre clientes e cluster e entre os próprios nós do cluster. Os tipos de instância nas famílias M6g e R6g também oferecem criptografia sempre ativa em memória.
**Question-level benefício:** a criptografia ElastiCache em trânsito da Amazon é um recurso opcional que permite aumentar a segurança de seus dados nos pontos mais vulneráveis, quando eles estão em trânsito de um local para outro.
+ **[Obrigatório]** a In-transit criptografia só pode ser habilitada em um cluster (grupo de replicação) após a criação. Observe que, devido ao processamento adicional exigido para encrypting/decrypting os dados, a implementação da criptografia em trânsito terá algum impacto no desempenho. Para entender o impacto, é recomendável comparar a workload antes e depois de ativar a criptografia em trânsito.
**[Recursos]: **
+ [In-transit visão geral da criptografia](in-transit-encryption.md#in-transit-encryption-overview)
## SEG 6: Como restringir o acesso aos recursos do ambiente de gerenciamento?
**Question-level introdução:** as políticas do IAM e o ARN permitem controles de acesso refinados ElastiCache para Valkey e Redis OSS, permitindo um controle mais rígido para gerenciar a criação, modificação e exclusão de clusters.
**Question-level benefício:** o gerenciamento de ElastiCache recursos da Amazon, como grupos de replicação, nós etc. pode ser restrito a AWS contas que tenham permissões específicas com base nas políticas do IAM, melhorando a segurança e a confiabilidade dos recursos.
+ **[Obrigatório]** Gerencie o acesso aos ElastiCache recursos da Amazon atribuindo AWS Identity and Access Management políticas específicas aos AWS usuários, permitindo um controle mais preciso sobre quais contas podem realizar quais ações nos clusters.
**[Recursos]: **
+ [Visão geral do gerenciamento de permissões de acesso aos seus ElastiCache recursos](IAM.Overview.md)
+ [Usando políticas baseadas em identidade (políticas do IAM) para a Amazon ElastiCache](IAM.IdentityBasedPolicies.md)
## SEG 7: Como detectar e responder a eventos de segurança?
**Question-level introdução:**ElastiCache, quando implantado com o RBAC ativado, exporta CloudWatch métricas para notificar os usuários sobre eventos de segurança. Essas métricas ajudam a identificar tentativas fracassadas de autenticação, acesso a chaves ou execução de comandos para os quais os usuários do RBAC não têm autorização.
Além disso, AWS os recursos de produtos e serviços ajudam a proteger sua carga de trabalho geral automatizando as implantações e registrando todas as ações e modificações para uso posterior. review/audit
**Question-level benefício:** ao monitorar eventos, você permite que sua organização responda de acordo com seus requisitos, políticas e procedimentos. Automatizar o monitoramento e as respostas a esses eventos de segurança fortalece sua postura geral de segurança.
+ **[Obrigatório]** Familiarize-se com as CloudWatch métricas publicadas relacionadas às falhas de autenticação e autorização do RBAC.
+ AuthenticationFailures = Tentativas falhadas de autenticação no Valkey ou no Redis OSS
+ KeyAuthorizationFailures = Tentativas fracassadas dos usuários de acessar as chaves sem permissão
+ CommandAuthorizationFailures = Tentativas falhadas dos usuários de executar comandos sem permissão
**[Recursos]: **
+ [Métricas para o Valkey ou Redis OSS](CacheMetrics.Redis.md)
+ **[Ideal] **É recomendável configurar alertas e notificações sobre essas métricas e responder conforme necessário.
**[Recursos]: **
+ [Usando CloudWatch alarmes da Amazon](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/AlarmThatSendsEmail.html)
+ **[Ideal] **Use o comando ACL LOG do Valkey ou Redis OSS para obter mais detalhes
**[Recursos]: **
+ [ACL LOG](https://valkey.io/commands/acl-log/)
+ **[Melhor]** Familiarize-se com os recursos de AWS produtos e serviços relacionados ao monitoramento, registro e análise de ElastiCache implantações e eventos
**[Recursos]: **
+ [Registrando chamadas de ElastiCache API da Amazon com AWS CloudTrail](logging-using-cloudtrail.md)
+ [elasticache-redis-cluster-automatic-backup-check](https://docs.aws.amazon.com/config/latest/developerguide/elasticache-redis-cluster-automatic-backup-check.html)
+ [Monitorando o uso com CloudWatch métricas](CacheMetrics.md)