Administración de tablas de cifrado en DynamoDB

Puede utilizar AWS Management Console o AWS Command Line Interface (AWS CLI) para especificar la clave de cifrado en las tablas nuevas y actualizar las claves de cifrado en las tablas existentes en Amazon DynamoDB.

Especificación de la clave de cifrado para una tabla nueva

Siga estos pasos para especificar la clave de cifrado en una tabla nueva mediante la consola de Amazon DynamoDB o la AWS CLI.

Creación de una tabla cifrada (consola)

1. Inicie sesión en la consola de DynamoDB AWS Management Console y ábrala en https://console.aws.amazon.com/dynamodb/.

2. En el panel de navegación del lado izquierdo de la consola, elija Tables (Tablas).

3. Seleccione Create Table (Crear tabla). En Nombre de la tabla, escriba Music. Como clave principal, introduzca Artist y como clave de ordenación, introduzca SongTitle, ambas como cadenas.

4. En Settings (Ajustes), asegúrese de que Customize settings (Personalizar ajustes) esté seleccionado.

   nota

   Si selecciona Usar la configuración predeterminada, las tablas se cifran en Clave propiedad de AWS reposo sin coste adicional.

5. En Cifrado en reposo, elija un tipo de cifrado: Clave propiedad de AWS Clave administrada de AWS, o una clave gestionada por el cliente.

   • Propiedad de Amazon DynamoDB. AWS clave propia, propiedad específica de DynamoDB y gestionada por ella. No se cobrará ningún cargo adicional por el uso de esta clave.

   • AWS clave gestionada. Alias de clave: aws/dynamodb. La clave se guarda en su cuenta y es gestionada por AWS Key Management Service (AWS KMS). AWS KMS se aplican cargos.

   • Además de estar almacenada en su cuenta, es de su propiedad y está administrada por usted. Clave administrada por clientes. La clave se guarda en su cuenta y es gestionada por AWS Key Management Service (AWS KMS). AWS KMS se aplican cargos.

     nota

     Si decide ser propietario y administrar su propia clave, asegúrese de que la política de claves KMS esté configurada correctamente. Para obtener más información, incluidos ejemplos, consulte Política de claves para una clave administrada por el cliente.

6. Elija Create table (Crear tabla) para crear la tabla cifrada. Para confirmar el tipo de cifrado, seleccione los detalles de la tabla en la pestaña Overview (Resumen) y revise la sección Additional details (Detalles adicionales).

Creación de una tabla cifrada (AWS CLI)

Use la AWS CLI para crear una tabla con la clave predeterminada Clave propiedad de AWS Clave administrada de AWS, la clave o una clave administrada por el cliente para Amazon DynamoDB.

Para crear una tabla cifrada con la predeterminada Clave propiedad de AWS

• Cree la tabla cifrada Music como sigue:

  aws dynamodb create-table \
    --table-name Music \
    --attribute-definitions \
        AttributeName=Artist,AttributeType=S \
        AttributeName=SongTitle,AttributeType=S \
    --key-schema \
        AttributeName=Artist,KeyType=HASH \
        AttributeName=SongTitle,KeyType=RANGE \
    --provisioned-throughput \
        ReadCapacityUnits=10,WriteCapacityUnits=5 

  nota

  Esta tabla ahora se cifra con el valor predeterminado de la Clave propiedad de AWS cuenta de servicio de DynamoDB.

Para crear una tabla cifrada con Clave administrada de AWS para DynamoDB

• Cree la tabla cifrada Music como sigue:

  aws dynamodb create-table \
    --table-name Music \
    --attribute-definitions \
        AttributeName=Artist,AttributeType=S \
        AttributeName=SongTitle,AttributeType=S \
    --key-schema \
        AttributeName=Artist,KeyType=HASH \
        AttributeName=SongTitle,KeyType=RANGE \
    --provisioned-throughput \
        ReadCapacityUnits=10,WriteCapacityUnits=5 \
    --sse-specification Enabled=true,SSEType=KMS 

  El estado SSEDescription de la descripción de la tabla se establece en ENABLED y SSEType es KMS.

  "SSEDescription": {
    "SSEType": "KMS",
    "Status": "ENABLED",
    "KMSMasterKeyArn": "arn:aws:kms:us-east-1:123456789012:key/abcd1234-abcd-1234-a123-ab1234a1b234",
  }

Creación de una tabla cifrada mediante la clave administrada por el cliente para DynamoDB

• Cree la tabla cifrada Music como sigue:

  aws dynamodb create-table \
    --table-name Music \
    --attribute-definitions \
        AttributeName=Artist,AttributeType=S \
        AttributeName=SongTitle,AttributeType=S \
    --key-schema \
        AttributeName=Artist,KeyType=HASH \
        AttributeName=SongTitle,KeyType=RANGE \
    --provisioned-throughput \
        ReadCapacityUnits=10,WriteCapacityUnits=5 \
    --sse-specification Enabled=true,SSEType=KMS,KMSMasterKeyId=abcd1234-abcd-1234-a123-ab1234a1b234

  El estado SSEDescription de la descripción de la tabla se establece en ENABLED y SSEType es KMS.

  "SSEDescription": {
    "SSEType": "KMS",
    "Status": "ENABLED",
    "KMSMasterKeyArn": "arn:aws:kms:us-east-1:123456789012:key/abcd1234-abcd-1234-a123-ab1234a1b234",
  }

Configuración de una clave de cifrado

También puede utilizar la consola de DynamoDB o AWS CLI la para actualizar las claves de cifrado de una tabla existente entre una Clave administrada de AWS, y Clave propiedad de AWS una clave gestionada por el cliente en cualquier momento.

Actualización de una clave de cifrado (consola)

1. Inicie sesión en la consola de DynamoDB AWS Management Console y ábrala en https://console.aws.amazon.com/dynamodb/.

2. En el panel de navegación del lado izquierdo de la consola, elija Tables (Tablas).

3. Elija la tabla que desea actualizar.

4. Seleccione el menú desplegable Actions (Acciones) y, a continuación, seleccione la opción Update settings (Actualizar ajustes).

5. Vaya a la pestaña Additional settings (Ajustes adicionales).

6. En Encryption (Cifrado), elija Manage encryption (Administración del cifrado).

7. Elija un tipo de cifrado:

   • Propiedad de Amazon DynamoDB. La AWS KMS clave es propiedad de DynamoDB y está gestionada por ella. No se cobrará ningún cargo adicional por el uso de esta clave.

   • AWS clave administrada Alias clave:. aws/dynamodb La clave se almacena en su cuenta y es administrada por AWS Key Management Service. (AWS KMS). AWS KMS se aplican cargos.

   • Además de estar almacenada en su cuenta, es de su propiedad y está administrada por usted. La clave se guarda en su cuenta y es gestionada por AWS Key Management Service. (AWS KMS). AWS KMS se aplican cargos.

     nota

     Si decide ser propietario y administrar su propia clave, asegúrese de que la política de claves KMS esté configurada correctamente. Para obtener más información, consulte Política de claves para una clave administrada por el cliente.

   A continuación, elija Save (Guardar) para actualizar la tabla cifrada. Para confirmar el tipo de cifrado, verifique los detalles de la tabla en la pestaña Overview (Información general).

Actualización de una clave de cifrado (AWS CLI)

Los siguientes ejemplos muestran cómo actualizar una tabla cifrada con la AWS CLI.

Para actualizar una tabla cifrada con la predeterminada Clave propiedad de AWS

• Actualice la tabla cifrada Music, como en el siguiente ejemplo.

  aws dynamodb update-table \
    --table-name Music \
    --sse-specification Enabled=false

  nota

  Esta tabla ahora se cifra con el valor predeterminado de la Clave propiedad de AWS cuenta de servicio de DynamoDB.

Para actualizar una tabla cifrada con el Clave administrada de AWS para DynamoDB

• Actualice la tabla cifrada Music, como en el siguiente ejemplo.

  aws dynamodb update-table \
    --table-name Music \
    --sse-specification Enabled=true  

  El estado SSEDescription de la descripción de la tabla se establece en ENABLED y SSEType es KMS.

  "SSEDescription": {
    "SSEType": "KMS",
    "Status": "ENABLED",
    "KMSMasterKeyArn": "arn:aws:kms:us-east-1:123456789012:key/abcd1234-abcd-1234-a123-ab1234a1b234",
  }

Actualización de una tabla cifrada con una clave administrada por el cliente para DynamoDB

• Actualice la tabla cifrada Music, como en el siguiente ejemplo.

  aws dynamodb update-table \
    --table-name Music \
    --sse-specification Enabled=true,SSEType=KMS,KMSMasterKeyId=abcd1234-abcd-1234-a123-ab1234a1b234

  El estado SSEDescription de la descripción de la tabla se establece en ENABLED y SSEType es KMS.

  "SSEDescription": {
    "SSEType": "KMS",
    "Status": "ENABLED",
    "KMSMasterKeyArn": "arn:aws:kms:us-east-1:123456789012:key/abcd1234-abcd-1234-a123-ab1234a1b234",
  }