Aviso de fin de soporte: Amazon DevOps Guru dejará de aceptar nuevos clientes el 29 de octubre de 2026. Los clientes actuales no se verán afectados y podrán seguir usando Amazon DevOps Guru hasta el 30 de septiembre de 2027. Después del 30 de septiembre de 2027, ya no podrás acceder a Amazon DevOps Gurú. Para obtener más información, consulte [Fin del soporte de Amazon DevOps Guru](devops-guru-end-of-support.md).
Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
# Protección de datos en Amazon DevOps Gurú
El AWS [modelo de responsabilidad compartida](https://aws.amazon.com/compliance/shared-responsibility-model/) se aplica a la protección de datos en Amazon DevOps Gurú. Como se describe en este modelo, AWS es responsable de proteger la infraestructura global que ejecuta todos los Nube de AWS. Eres responsable de mantener el control sobre el contenido alojado en esta infraestructura. También eres responsable de las tareas de administración y configuración de seguridad para los Servicios de AWS que utiliza. Para obtener más información sobre la privacidad de los datos, consulte [Preguntas frecuentes sobre privacidad de datosTérminos](https://aws.amazon.com/compliance/data-privacy-faq/). Para obtener más información sobre la protección de datos en Europa, consulte el [Centro del Reglamento General de Protección de Datos (RGPD)](https://aws.amazon.com/compliance/gdpr-center/).
Con fines de protección de datos, le recomendamos que proteja Cuenta de AWS credenciales y configurar usuarios individuales con AWS IAM Identity Center o AWS Identity and Access Management (OBJETIVO). De esta manera, solo se otorgan a cada usuario los permisos necesarios para cumplir sus obligaciones laborales. También recomendamos proteger sus datos de la siguiente manera:
+ Utiliza la autenticación multifactor (MFA) en cada cuenta.
+ Utilice SSL/TLS para comunicarse con AWS recursos. Exigimos TLS 1.2 y recomendamos TLS 1.3.
+ Configure el registro de actividad de los usuarios y de la API con AWS CloudTrail. Para obtener información sobre el uso CloudTrail senderos para capturar AWS actividades, consulte [Trabajando con CloudTrail senderos](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html) en el *AWS CloudTrail Guía del usuario*.
+ Usa AWS soluciones de cifrado, junto con todos los controles de seguridad predeterminados Servicios de AWS.
+ Utiliza servicios de seguridad administrados avanzados, como Amazon Macie, que lo ayuden a detectar y proteger la información confidencial almacenada en Amazon S3.
+ Si necesita módulos criptográficos validados por FIPS 140-3 al acceder AWS mediante una interfaz de línea de comandos o una API, utilice un punto final FIPS. Para obtener más información sobre los puntos de conexión de FIPS disponibles, consulte [Estándar de procesamiento de la información federal (FIPS) 140-3](https://aws.amazon.com/compliance/fips/).
Se recomienda encarecidamente no introducir nunca información confidencial o sensible, como por ejemplo, direcciones de correo electrónico de clientes, en etiquetas o campos de formato libre, tales como el campo **Nombre**. Esto incluye cuando trabajas con DevOps Gurú u otro Servicios de AWS usando la consola, la API, AWS CLI, o AWS SDKs. Cualquier dato que introduzca en etiquetas o campos de formato libre utilizados para los nombres se pueden emplear para los registros de facturación o diagnóstico. Si proporciona una URL a un servidor externo, recomendamos encarecidamente que no incluya información de credenciales en la URL a fin de validar la solicitud para ese servidor.
## Cifrado de datos en DevOps Gurú
El cifrado es una parte importante de DevOps Gurú de la seguridad. Algunos cifrados, por ejemplo, para el cifrado de datos en tránsito se proporcionan de forma predeterminada y no es necesario que haga nada. Otros, por ejemplo, para el cifrado de datos en reposo, se pueden configurar cuando cree su proyecto o compilación.
+ **Cifrado de datos en tránsito**: Toda la comunicación entre clientes y DevOps Gurú y entre DevOps Guru y sus dependencias posteriores se protegen mediante TLS y se autentican mediante el proceso de firma Signature Version 4. ¿Todos DevOps Los puntos finales de Guru utilizan certificados gestionados por AWS Autoridad de certificación privada. Para más información, consulte [Proceso de firma de Signature Version 4](https://docs.aws.amazon.com/general/latest/gr/signature-version-4.html) y [¿Qué es PCA de ACM?](https://docs.aws.amazon.com/privateca/latest/userguide/).
+ **Cifrado de datos en reposo**: Para todos AWS recursos analizados por DevOps Guru, la Amazonía CloudWatch métricas y datos, identificadores de recursos y AWS CloudTrail los eventos se almacenan mediante Amazon S3, Amazon DynamoDB y Amazon Kinesis. Si CloudFormation las pilas se utilizan para definir los recursos analizados, también se recopilan los datos de la pila. DevOps Guru usa las políticas de retención de datos de Amazon S3, DynamoDB y Kinesis. Los datos almacenados en Kinesis se pueden conservar durante un año como máximo y dependen de las políticas establecidas. Los datos almacenados en Amazon S3 y DynamoDB se almacenan durante un año.
Los datos almacenados se cifran mediante las capacidades de cifrado de datos en reposo de Amazon S3, DynamoDB y Kinesis.
**Claves administradas por el cliente**: DevOps Guru admite el cifrado del contenido de los clientes y los metadatos confidenciales, como las anomalías de registro generadas por CloudWatch Registros con claves administradas por el cliente. Esta característica le ofrece la opción de añadir una capa de seguridad autogestionada para ayudarle a cumplir los requisitos normativos y de conformidad de su organización. Para obtener información sobre cómo habilitar las claves administradas por los clientes en su DevOps Configuración de Guru, consulte [Actualización de la configuración de cifrado en DevOps Guru](update-settings.md#update-encryption).
Como usted tiene el control total de este cifrado, puede realizar dichas tareas como:
+ Establecer y mantener políticas de claves
+ Establecer y mantener concesiones y políticas de IAM
+ Habilitar y deshabilitar políticas de claves
+ Rotar el material criptográfico
+ Adición de etiquetas de
+ Crear alias de clave
+ Programar la eliminación de claves
Para obtener más información, consulte [Claves administradas por el cliente](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#customer-cmk) en el AWS Key Management Service Guía para desarrolladores.
**nota**
DevOps Guru habilita automáticamente el cifrado en reposo mediante AWS claves propias para proteger los metadatos confidenciales de forma gratuita. Sin embargo, AWS KMS se aplican cargos por el uso de una clave gestionada por el cliente. Para obtener más información sobre los precios, consulte la AWS Key Management Service precios.
## ¿Cómo? DevOps Guru usa subvenciones en AWS KMS
DevOps Guru requiere una concesión para usar la clave gestionada por el cliente.
Cuando eliges habilitar el cifrado con una clave gestionada por el cliente, DevOps Guru crea una subvención en tu nombre enviando un CreateGrant solicitud a AWS KMS. Becas en AWS KMS se utilizan para dar DevOps Acceso del gurú a un AWS KMS clave en una cuenta de cliente.
DevOps Guru requiere que la concesión utilice la clave gestionada por el cliente para las siguientes operaciones internas:
+ Enviar DescribeKey solicitudes a AWS KMS para verificar que la ID de clave de KMS simétrica administrada por el cliente que se ingresó al crear un rastreador o una recopilación de geofences es válida.
+ Enviar GenerateDataKey solicitudes a AWS KMS para generar claves de datos cifradas por su clave gestionada por el cliente.
+ Envíe las solicitudes de descifrado a AWS KMS para descifrar las claves de datos cifradas de modo que puedan usarse para cifrar sus datos.
Puede revocar el acceso a la concesión o eliminar el acceso del servicio a la clave administrada por el cliente en cualquier momento. Si lo hace, DevOps Guru no podrá acceder a ninguno de los datos cifrados por la clave gestionada por el cliente, lo que afecta a las operaciones que dependen de esos datos. Por ejemplo, si intentas obtener información cifrada sobre anomalías en el registro: DevOps El gurú no puede acceder, entonces la operación devolvería un AccessDeniedException error.
## Supervisando sus claves de cifrado en DevOps Gurú
Cuando usas un AWS KMS clave gestionada por el cliente con su DevOps Recursos de Guru, que puedes usar AWS CloudTrail o CloudWatch Registros para rastrear las solicitudes que DevOps Guru envía a AWS KMS.
## Creación de una clave administrada por el cliente
Puede crear una clave simétrica gestionada por el cliente mediante el Consola de administración de AWS o el AWS KMS API.
Para crear una clave simétrica administrada por el cliente, consulte [Creación de clave KMS de cifrado simétrico](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html#create-symmetric-cmk).
### Política de claves
Las políticas de clave controlan el acceso a la clave administrada por el cliente. Cada clave administrada por el cliente debe tener exactamente una política de clave, que contiene instrucciones que determinan quién puede usar la clave y cómo puede utilizarla. Cuando crea la clave administrada por el cliente, puede especificar una política de clave. Para obtener más información, consulte [Autenticación y control de acceso para AWS KMS](https://docs.aws.amazon.com/kms/latest/developerguide/control-access.html) en el AWS Key Management Service Guía para desarrolladores.
Para usar su clave administrada por el cliente con su DevOps Guru resources, la política de claves debe permitir las siguientes operaciones de API:
+ `kms:CreateGrant`: agrega una concesión a una clave administrada por el cliente. Otorga el acceso de control a una persona específica AWS KMS clave, que permite el acceso a las operaciones de subvención DevOps El gurú lo requiere. Para obtener más información sobre el uso de las subvenciones, consulte AWS Key Management Service Guía para desarrolladores.
Esto permite DevOps Gurú para hacer lo siguiente:
+ Llame GenerateDataKey para generar una clave de datos cifrada y almacenarla, ya que la clave de datos no se usa inmediatamente para cifrar.
+ Llame a Decrypt para usar la clave de datos cifrados almacenada para acceder a los datos cifrados.
+ Configurar una entidad principal que se retire para permitir que el servicio RetireGrant.
+ Usa kms:DescribeKey para proporcionar al cliente los detalles clave gestionados para permitir DevOps Gurú para validar la clave.
La siguiente declaración incluye ejemplos de declaraciones de política que puede agregar para DevOps Gurú:
```
"Statement" : [
{
"Sid" : "Allow access to principals authorized to use DevOps Guru",
"Effect" : "Allow",
"Principal" : {
"AWS" : "*"
},
"Action" : [
"kms:DescribeKey",
"kms:CreateGrant"
],
"Resource" : "*",
"Condition" : {
"StringEquals" : {
"kms:ViaService" : "devops-guru.{{Region}}.amazonaws.com",
"kms:CallerAccount" : "111122223333"
}
},
{
"Sid": "Allow access for key administrators",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::111122223333:root"
},
"Action" : [
"kms:*"
],
"Resource": "arn:aws:kms:region:111122223333:key/key_ID"
},
{
"Sid" : "Allow read-only access to key metadata to the account",
"Effect" : "Allow",
"Principal" : {
"AWS" : "arn:aws:iam::111122223333:root"
},
"Action" : [
"kms:Describe*",
"kms:Get*",
"kms:List*"
],
"Resource" : "*"
}
]
```
## Privacidad de tráfico
Puede mejorar la seguridad del análisis de sus recursos y la generación de información configurando DevOps Guru utilizará un punto final de interfaz de VPC. Para ello, no necesita una gateway de Internet, ni un dispositivo NAT, ni una gateway privada virtual. Tampoco es necesario configurarlo PrivateLink, aunque se recomienda. Para obtener más información, consulte [DevOps Puntos finales de VPC de Guru e interfaz (AWS PrivateLink)](vpc-interface-endpoints.md). Para obtener más información sobre PrivateLink y puntos de enlace de VPC, consulte [AWS PrivateLink](https://aws.amazon.com/privatelink/) y [Acceder a los servicios de AWS a través PrivateLink](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Introduction.html#what-is-privatelink).