Verwalten von verschlüsselten Tabellen in DynamoDB

Sie können das AWS Management Console oder das AWS Command Line Interface (AWS CLI) verwenden, um den Verschlüsselungsschlüssel für neue Tabellen anzugeben und die Verschlüsselungsschlüssel für bestehende Tabellen in Amazon DynamoDB zu aktualisieren.

Angeben des Verschlüsselungsschlüssels für eine neue Tabelle

Führen Sie die folgenden Schritte aus, um den Verschlüsselungsschlüssel für eine neue Tabelle mithilfe der Amazon-DynamoDB-Konsole oder AWS CLI.

Erstellen einer verschlüsselten Tabelle (Konsole)

1. Melden Sie sich bei der DynamoDB-Konsole an AWS Management Console und öffnen Sie sie unter https://console.aws.amazon.com/dynamodb/.

2. Klicken Sie im Navigationsbereich auf der linken Seite der Konsole auf Tables (Tabellen).

3. Wählen Sie Create Table (Tabelle erstellen) aus. Geben Sie für Table name (Tabellenname) den Namen Music ein. Geben Sie als Primärschlüssel Artist und als Sortierschlüssel SongTitle ein, beide als Zeichenfolgen.

4. Stellen sie in Einstellungen sicher, dass Einstellungen anpassen ausgewählt ist.

   Anmerkung

   Wenn „Standardeinstellungen verwenden“ ausgewählt ist, werden Tabellen im Ruhezustand ohne zusätzliche AWS-eigener Schlüssel Kosten verschlüsselt.

5. Wählen Sie unter Verschlüsselung im Ruhezustand einen Verschlüsselungstyp - AWS-eigener Schlüssel Von AWS verwalteter Schlüssel, oder einen vom Kunden verwalteten Schlüssel aus.

   • Gehört Amazon DynamoDB. AWS eigener Schlüssel, der speziell DynamoDB gehört und von DynamoDB verwaltet wird. Für die Verwendung dieses Schlüssels wird Ihnen keine zusätzliche Gebühr berechnet.

   • AWS verwalteter Schlüssel. Schlüssel-Alias: aws/dynamodb Der Schlüssel ist in Ihrem Konto gespeichert und wird von AWS Key Management Service (AWS KMS) verwaltet. AWS KMS Es fallen Gebühren an.

   • In Ihrem Konto gespeichert, in Ihrem Besitz und von Ihnen verwaltet. Vom Kunden verwalteter Schlüssel. Der Schlüssel ist in Ihrem Konto gespeichert und wird von AWS Key Management Service (AWS KMS) verwaltet. AWS KMS Es fallen Gebühren an.

     Anmerkung

     Wenn Sie Ihren eigenen Schlüssel besitzen und verwalten möchten, stellen Sie sicher, dass die KMS-Schlüsselrichtlinie ordnungsgemäß festgelegt ist. Weitere Informationen sowie Beispiele finden Sie unter Schlüsselrichtlinie für einen kundenverwalteten Schlüssel.

6. Wählen Sie Create table (Tabelle erstellen) , um die verschlüsselte Tabelle zu erstellen. Um den Verschlüsselungstyp zu bestimmen, wählen Sie die Tabellendetails auf der Registerkarte Übersicht und überprüfen Sie den Abschnitt Weitere Details.

Erstellen einer verschlüsselten Tabelle (AWS CLI)

Verwenden Sie die AWS CLI , um eine Tabelle mit dem Standard- AWS-eigener Schlüssel Von AWS verwalteter Schlüssel, dem oder einem vom Kunden verwalteten Schlüssel für Amazon DynamoDB zu erstellen.

Um eine verschlüsselte Tabelle mit dem Standard zu erstellen AWS-eigener Schlüssel

• Erstellen Sie die verschlüsselte Music-Tabelle folgendermaßen.

  aws dynamodb create-table \
    --table-name Music \
    --attribute-definitions \
        AttributeName=Artist,AttributeType=S \
        AttributeName=SongTitle,AttributeType=S \
    --key-schema \
        AttributeName=Artist,KeyType=HASH \
        AttributeName=SongTitle,KeyType=RANGE \
    --provisioned-throughput \
        ReadCapacityUnits=10,WriteCapacityUnits=5 

  Anmerkung

  Diese Tabelle ist jetzt mit dem Standard AWS-eigener Schlüssel im DynamoDB-Dienstkonto verschlüsselt.

Um eine verschlüsselte Tabelle mit dem Von AWS verwalteter Schlüssel für DynamoDB zu erstellen

• Erstellen Sie die verschlüsselte Music-Tabelle folgendermaßen.

  aws dynamodb create-table \
    --table-name Music \
    --attribute-definitions \
        AttributeName=Artist,AttributeType=S \
        AttributeName=SongTitle,AttributeType=S \
    --key-schema \
        AttributeName=Artist,KeyType=HASH \
        AttributeName=SongTitle,KeyType=RANGE \
    --provisioned-throughput \
        ReadCapacityUnits=10,WriteCapacityUnits=5 \
    --sse-specification Enabled=true,SSEType=KMS 

  Der SSEDescription-Status der Tabellenbeschreibung ist auf ENABLED festgelegt und der SSEType ist KMS.

  "SSEDescription": {
    "SSEType": "KMS",
    "Status": "ENABLED",
    "KMSMasterKeyArn": "arn:aws:kms:us-east-1:123456789012:key/abcd1234-abcd-1234-a123-ab1234a1b234",
  }

So erstellen Sie eine verschlüsselte Tabelle mit einem kundenverwalteten Schlüssel für DynamoDB

• Erstellen Sie die verschlüsselte Music-Tabelle folgendermaßen.

  aws dynamodb create-table \
    --table-name Music \
    --attribute-definitions \
        AttributeName=Artist,AttributeType=S \
        AttributeName=SongTitle,AttributeType=S \
    --key-schema \
        AttributeName=Artist,KeyType=HASH \
        AttributeName=SongTitle,KeyType=RANGE \
    --provisioned-throughput \
        ReadCapacityUnits=10,WriteCapacityUnits=5 \
    --sse-specification Enabled=true,SSEType=KMS,KMSMasterKeyId=abcd1234-abcd-1234-a123-ab1234a1b234

  Der SSEDescription-Status der Tabellenbeschreibung ist auf ENABLED festgelegt und der SSEType ist KMS.

  "SSEDescription": {
    "SSEType": "KMS",
    "Status": "ENABLED",
    "KMSMasterKeyArn": "arn:aws:kms:us-east-1:123456789012:key/abcd1234-abcd-1234-a123-ab1234a1b234",
  }

Aktualisieren eines Verschlüsselungsschlüssels

Sie können auch die DynamoDB-Konsole oder die verwenden AWS CLI , um die Verschlüsselungsschlüssel einer vorhandenen Tabelle zwischen einem AWS-eigener Schlüssel Von AWS verwalteter Schlüssel, und einem vom Kunden verwalteten Schlüssel jederzeit zu aktualisieren.

Aktualisieren eines Verschlüsselungsschlüssels (Konsole)

1. Melden Sie sich bei der DynamoDB-Konsole an AWS Management Console und öffnen Sie sie unter https://console.aws.amazon.com/dynamodb/.

2. Klicken Sie im Navigationsbereich auf der linken Seite der Konsole auf Tables (Tabellen).

3. Wählen Sie die Tabelle, die Sie aktualisieren möchten.

4. Wählen Sie Aktionen aus dem Dropdown-Menü und wählen Sie dann die Option Aktualisieren von Einstellungen.

5. Wechseln Sie zur Registerkarte Zusätzliche Einstellungen.

6. Wählen Sie unter Verschlüsselung Verwalten der Verschlüsselung aus.

7. Wählen Sie einen Verschlüsselungstyp aus:

   • Im Besitz von Amazon DynamoDB. Der AWS KMS Schlüssel gehört DynamoDB und wird von DynamoDB verwaltet. Für die Verwendung dieses Schlüssels wird Ihnen keine zusätzliche Gebühr berechnet.

   • AWS verwalteter Schlüssel Schlüsselalias:. aws/dynamodb Der Schlüssel ist in Ihrem Konto gespeichert und wird von verwaltet AWS Key Management Service. (AWS KMS). AWS KMS Gebühren fallen an.

   • In Ihrem Konto gespeichert, in Ihrem Besitz und von Ihnen verwaltet. Der Schlüssel ist in Ihrem Konto gespeichert und wird von verwaltet AWS Key Management Service. (AWS KMS). AWS KMS Gebühren fallen an.

     Anmerkung

     Wenn Sie Ihren eigenen Schlüssel besitzen und verwalten möchten, stellen Sie sicher, dass die KMS-Schlüsselrichtlinie ordnungsgemäß festgelegt ist. Weitere Informationen finden Sie unter Schlüsselrichtlinie für einen kundenverwalteten Schlüssel.

   Wählen Sie dann Save (Speichern) um die verschlüsselte Tabelle zu aktualisieren. Um den Verschlüsselungstyp zu bestimmen, überprüfen Sie die Tabellendetails auf der Registerkarte Overview (Übersicht).

Aktualisieren eines Verschlüsselungsschlüssels (AWS CLI)

Das folgende Beispiel zeigt das Aktualisieren einer verschlüsselten Tabelle mit der AWS CLI.

Um eine verschlüsselte Tabelle mit dem Standard zu aktualisieren AWS-eigener Schlüssel

• Aktualisieren Sie die verschlüsselte Music-Tabelle wie im folgenden Beispiel.

  aws dynamodb update-table \
    --table-name Music \
    --sse-specification Enabled=false

  Anmerkung

  Diese Tabelle ist jetzt mit dem Standard AWS-eigener Schlüssel im DynamoDB-Dienstkonto verschlüsselt.

Um eine verschlüsselte Tabelle mit dem Von AWS verwalteter Schlüssel für DynamoDB zu aktualisieren

• Aktualisieren Sie die verschlüsselte Music-Tabelle wie im folgenden Beispiel.

  aws dynamodb update-table \
    --table-name Music \
    --sse-specification Enabled=true  

  Der SSEDescription-Status der Tabellenbeschreibung ist auf ENABLED festgelegt und der SSEType ist KMS.

  "SSEDescription": {
    "SSEType": "KMS",
    "Status": "ENABLED",
    "KMSMasterKeyArn": "arn:aws:kms:us-east-1:123456789012:key/abcd1234-abcd-1234-a123-ab1234a1b234",
  }

Um eine verschlüsselte Tabelle mit einem kundenverwalteten Schlüssel für DynamoDB zu aktualisieren

• Aktualisieren Sie die verschlüsselte Music-Tabelle wie im folgenden Beispiel.

  aws dynamodb update-table \
    --table-name Music \
    --sse-specification Enabled=true,SSEType=KMS,KMSMasterKeyId=abcd1234-abcd-1234-a123-ab1234a1b234

  Der SSEDescription-Status der Tabellenbeschreibung ist auf ENABLED festgelegt und der SSEType ist KMS.

  "SSEDescription": {
    "SSEType": "KMS",
    "Status": "ENABLED",
    "KMSMasterKeyArn": "arn:aws:kms:us-east-1:123456789012:key/abcd1234-abcd-1234-a123-ab1234a1b234",
  }