Verschlüsselung im Ruhezustand - Amazon Athena
Unterstützte Verschlüsselungsoptionen der Amazon S3Berechtigungen für verschlüsselte Daten in Amazon S3Berechtigungen für verschlüsselte Metadaten im AWS Glue -Datenkatalog

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verschlüsselung im Ruhezustand

Sie können in Amazon Athena Abfragen zu verschlüsselten Daten in Amazon S3 in derselben Region und in einer begrenzten Anzahl von Regionen ausführen. Sie können auch die Abfrageergebnisse in Amazon S3 und die Daten im AWS Glue Datenkatalog verschlüsseln.

Sie können die folgenden Ressourcen in Athena verschlüsseln:

Anmerkung

Wenn Sie Athena verwenden, um eine verschlüsselte Tabelle zu lesen, verwendet Athena die für die Tabellendaten angegebenen Verschlüsselungsoptionen, nicht die Verschlüsselungsoption für die Abfrageergebnisse. Wenn separate Verschlüsselungsmethoden oder Schlüssel für Abfrageergebnisse und Tabellendaten konfiguriert sind, liest Athena die Tabellendaten, ohne die Verschlüsselungsoption und den Schlüssel zu verwenden, die zum Verschlüsseln oder Entschlüsseln der Abfrageergebnisse verwendet werden.

Wenn Sie jedoch Athena verwenden, um Daten in eine Tabelle einzufügen, die verschlüsselte Daten enthält, verwendet Athena die Verschlüsselungskonfiguration, die für die Abfrageergebnisse angegeben wurde, um die eingefügten Daten zu verschlüsseln. Wenn Sie beispielsweise CSE_KMS Verschlüsselung für Abfrageergebnisse angeben, verwendet Athena dieselbe AWS KMS Schlüssel-ID, die Sie für die Verschlüsselung der Abfrageergebnisse verwendet haben, um die eingefügten Tabellendaten zu verschlüsseln. CSE_KMS

Themen

Unterstützte Verschlüsselungsoptionen der Amazon S3

Athena unterstützt die folgenden Verschlüsselungsoptionen für Datasets und Abfrageergebnisse in Amazon S3.

Verschlüsselungstyp Beschreibung Regionsübergreifende Unterstützung
SSE-S3 Serverseitige Verschlüsselung (SSE) mit einem von Amazon S3 verwalteten Schlüssel. Ja
SSE-KMS Serverseitige Verschlüsselung (SSE) mit einem vom AWS Key Management Service Kunden verwalteten Schlüssel.
Anmerkung

Bei diesem Verschlüsselungstyp müssen Sie beim Erstellen einer Tabelle in Athena nicht angeben, dass Daten verschlüsselt sind.

 Ja
CSE-KMS

Clientseitige Verschlüsselung (CSE) mit einem vom AWS KMS Kunden verwalteten Schlüssel. In Athena erfordert diese Option, dass Sie eine CREATE TABLE-Anweisung mit einer TBLPROPERTIES-Klausel verwenden, die 'has_encrypted_data'='true' angibt. Weitere Informationen finden Sie unter Erstellen von Tabellen basierend auf verschlüsselten Datensätzen in Amazon S3.

 Nein

Weitere Informationen zur AWS KMS Verschlüsselung mit Amazon S3 finden Sie unter Was ist AWS Key Management Service und wie Amazon Simple Storage Service (Amazon S3) verwendet wird AWS KMS im AWS Key Management Service Entwicklerhandbuch. Weitere Informationen zur Verwendung SSE — KMS oder CSE — KMS mit Athena finden Sie unter Launch: Amazon Athena unterstützt jetzt das Abfragen verschlüsselter Daten aus dem AWS Big Data-Blog.

Nicht unterstützte Optionen

Die folgenden Verschlüsselungsoptionen werden nicht unterstützt:

  • SSEmit vom Kunden bereitgestellten Schlüsseln (-C). SSE

  • Clientseitige Verschlüsselung mit einem clientseitigen verwalteten Schlüssel.

  • Asymmetrische Schlüssel.

Einen Vergleich der Verschlüsselungsoptionen von Amazon S3 finden Sie unter Daten durch Verschlüsselung schützen im Benutzerhandbuch für Amazon Simple Storage Service.

Tools für die clientseitige Verschlüsselung

Beachten Sie für die clientseitige Verschlüsselung, dass zwei Tools verfügbar sind:

  • Amazon-S3-Verschlüsselungs-Client – Dies verschlüsselt Daten nur für Amazon S3 und wird von Athena unterstützt.

  • AWS Encryption SDK— Das SDK kann überall verwendet werden, um Daten zu verschlüsseln, wird AWS aber nicht direkt von Athena unterstützt.

Diese Tools sind nicht kompatibel und Daten, die mit einem Tool verschlüsselt wurden, können nicht vom anderen entschlüsselt werden. Athena unterstützt den Amazon-S3-Verschlüsselungs-Client nur direkt. Wenn Sie die verwenden, SDK um Ihre Daten zu verschlüsseln, können Sie Abfragen von Athena ausführen, aber die Daten werden als verschlüsselter Text zurückgegeben.

Wenn Sie Athena verwenden möchten, um Daten abzufragen, die mit der AWS Verschlüsselung verschlüsselt wurdenSDK, müssen Sie Ihre Daten herunterladen und entschlüsseln und sie dann erneut mit dem Amazon S3 Encryption Client verschlüsseln.

Berechtigungen für verschlüsselte Daten in Amazon S3

Abhängig von der Art der in Amazon S3 verwendeten Verschlüsselung müssen Sie möglicherweise Berechtigungen, auch „Allow“-Aktionen (Zulassen) genannt, zu Ihren in Athena verwendeten Richtlinien hinzufügen:

  • SSE-S3 — Wenn Sie SSE -S3 für die Verschlüsselung verwenden, benötigen Athena-Benutzer keine zusätzlichen Berechtigungen in ihren Richtlinien. Es reicht, wenn die entsprechenden Amazon-S3-Berechtigungen für den jeweiligen Amazon-S3-Speicherort und für Athena-Aktionen vorhanden sind. Weitere Informationen zu Richtlinien, die entsprechende Athena- und Amazon-S3-Berechtigungen erlauben, finden Sie unter AWS verwaltete Richtlinien für Amazon Athena und Zugriff auf Amazon S3 von Athena.

  • AWS KMS— Wenn Sie die Verschlüsselung verwenden AWS KMS , müssen Athena-Benutzer zusätzlich zu den Athena- und Amazon S3 S3-Berechtigungen bestimmte AWS KMS Aktionen ausführen dürfen. Sie ermöglichen diese Aktionen, indem Sie die Schlüsselrichtlinie für die vom AWS KMS Kunden verwalteten Richtlinien bearbeitenCMKs, die zur Verschlüsselung von Daten in Amazon S3 verwendet werden. Um Schlüsselbenutzer zu den entsprechenden AWS KMS Schlüsselrichtlinien hinzuzufügen, können Sie die AWS KMS Konsole unter https://console.aws.amazon.com/kms verwenden. Informationen zum Hinzufügen eines Benutzers zu einer AWS KMS Schlüsselrichtlinie finden Sie unter Erlaubt Schlüsselbenutzern die Verwendung von CMK im AWS Key Management Service Entwicklerhandbuch.

    Anmerkung

    Erfahrene Schlüsselrichtlinien-Administratoren können die Schlüsselrichtlinien anpassen. kms:Decrypt ist die minimal erlaubte Aktion für einen Athena-Benutzer, um mit einem verschlüsselten Datensatz arbeiten zu können. Zur Nutzung von verschlüsselten Abfrageergebnissen sind Berechtigungen für die Aktionen kms:GenerateDataKey und kms:Decrypt notwendig.

    Wenn Sie Athena verwenden, um Datensätze in Amazon S3 mit einer großen Anzahl von Objekten abzufragen, die mit verschlüsselt sind AWS KMS, AWS KMS kann dies zu einer Drosselung der Abfrageergebnisse führen. Bei einer hohen Zahl kleiner Objekte ist dies noch wahrscheinlicher. Wiederholte Anforderungen werden von Athena unterbunden, dennoch kann ein Drosselungsfehler auftreten. Wenn Sie mit einer großen Anzahl verschlüsselter Objekte arbeiten und dieses Problem auftritt, besteht eine Möglichkeit darin, Amazon S3 S3-Bucket-Keys zu aktivieren, um die Anzahl der Aufrufe zu reduzierenKMS. Weitere Informationen finden Sie unter Senkung der Kosten von SSE — KMS mit Amazon S3 S3-Bucket-Schlüsseln im Amazon Simple Storage Service-Benutzerhandbuch. Eine weitere Möglichkeit besteht darin, Ihre Servicekontingente für AWS KMS zu erhöhen. Weitere Informationen finden Sie unter Kontingente im AWS Key Management Service -Entwicklerhandbuch.

Informationen zur Fehlerbehebung bei Berechtigungen bei der Verwendung von Amazon S3 mit Athena finden Sie im Abschnitt Berechtigungen des Themas Probleme in Athena beheben.

Berechtigungen für verschlüsselte Metadaten im AWS Glue -Datenkatalog

Wenn Sie Metadaten in der verschlüsseln AWS Glue Data Catalog, müssen Sie den Richtlinien "kms:GenerateDataKey""kms:Decrypt", die Sie für den Zugriff auf Athena verwenden, "kms:Encrypt" Aktionen hinzufügen. Weitere Informationen finden Sie unter Zugriff von Athena auf verschlüsselte Metadaten in der AWS Glue Data Catalog.