El cifrado en reposo en AWS IoT SiteWise

AWS IoT SiteWise almacena sus datos en la AWS nube y en las pasarelas AWS IoT SiteWise Edge.

Datos en reposo en la nube AWS

AWS IoT SiteWise almacena los datos en otros AWS servicios que cifran los datos en reposo de forma predeterminada. Encryption at rest se integra con AWS Key Management Service (AWS KMS) para administrar la clave de cifrado que se utiliza para cifrar los valores de las propiedades de los activos y los valores agregados. AWS IoT SiteWise Puede optar por utilizar una clave administrada por el cliente para cifrar los valores de propiedad de activo y los valores agregados en AWS IoT SiteWise. Puede crear, administrar y ver la clave de cifrado mediante AWS KMS.

Puede elegir una clave Clave propiedad de AWS para cifrar sus datos o elegir una clave gestionada por el cliente para cifrar los valores de las propiedades de sus activos y los valores agregados:

Funcionamiento

El cifrado en reposo se integra AWS KMS para administrar la clave de cifrado que se utiliza para cifrar los datos.

• Clave propiedad de AWS — Clave de cifrado predeterminada. AWS IoT SiteWise es el propietario de esta clave. No puedes ver esta clave en tu AWS cuenta. Tampoco puede ver las operaciones de la clave en los registros de AWS CloudTrail . Puede usar esta clave sin cargo adicional.

• Clave administrada por el cliente: la clave se almacena en la cuenta y usted la crea, posee y administra. Usted controla plenamente la clave KMS. Se aplican AWS KMS cargos adicionales.

Claves propiedad de AWS

Claves propiedad de AWS no están guardados en tu cuenta. Forman parte de una colección de claves de KMS que AWS posee y administra para su uso en varias AWS cuentas. AWS los servicios que puede utilizar Claves propiedad de AWS para proteger sus datos.

No puede ver, administrar Claves propiedad de AWS, usar ni auditar su uso. Sin embargo, no es necesario que realice ninguna acción ni que cambie programas para proteger las claves que cifran sus datos.

No se te cobra una cuota mensual ni una cuota de uso si las utilizas Claves propiedad de AWS, y estas no se tienen en cuenta para AWS KMS las cuotas de tu cuenta.

Claves administradas por el cliente

Las claves administradas por el cliente son claves KMS en su cuenta que usted ha creado, posee y administra. Tiene el control total sobre estas claves KMS, lo que significa que puede hacer lo siguiente:

• Establecer y mantener sus políticas de claves, políticas de IAM y concesiones.

• Activarlas y desactivarlas.

• Rotar sus materiales criptográficos.

• Agregar etiquetas.

• Crear alias que hagan referencia a ellas.

• Programar su eliminación.

También puedes usar CloudTrail Amazon CloudWatch Logs para realizar un seguimiento de las solicitudes que se AWS IoT SiteWise envían AWS KMS en tu nombre.

Si utilizas claves administradas por el cliente, debes conceder AWS IoT SiteWise acceso a la clave de KMS almacenada en tu cuenta. AWS IoT SiteWise utiliza el cifrado de sobres y la jerarquía de claves para cifrar los datos. La clave de AWS KMS cifrado se utiliza para cifrar la clave raíz de esta jerarquía de claves. Para obtener más información, consulte Cifrado de sobre en la Guía para desarrolladores de AWS Key Management Service .

El siguiente ejemplo de política concede AWS IoT SiteWise permisos para crear una clave gestionada por el cliente en su nombre. Al crear la clave, debe permitir las acciones kms:CreateGrant y kms:DescribeKey.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1603902045292",
      "Action": [
        "kms:CreateGrant",
        "kms:DescribeKey"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

El contexto de cifrado para su concesión creada utiliza su aws:iotsitewise:subscriberId y su ID de cuenta.

Datos en reposo en las puertas de enlace SiteWise Edge

AWS IoT SiteWise las pasarelas almacenan los siguientes datos en el sistema de archivos local:

• Información de configuración de origen OPC UA

• Conjunto de rutas de flujo de datos OPC UA desde orígenes OPC UA conectados

• Los datos industriales se almacenan en caché cuando la puerta de enlace SiteWise Edge pierde la conexión a Internet

SiteWise Las puertas de enlace Edge se ejecutan en funcionamiento. AWS IoT Greengrass AWS IoT Greengrass se basa en los permisos de archivos de Unix y en el cifrado de disco completo (si está activado) para proteger los datos almacenados en el núcleo. Es su responsabilidad proteger el sistema de archivos y el dispositivo.

Sin AWS IoT Greengrass embargo, cifra las copias locales de los secretos de su servidor OPC UA recuperados de Secrets Manager. Para obtener más información, consulte Cifrado de secretos en la Guía para desarrolladores de AWS IoT Greengrass Version 1 .

Para obtener más información sobre el cifrado en reposo en AWS IoT Greengrass núcleos, consulte Cifrado en reposo en la Guía para AWS IoT Greengrass Version 1 desarrolladores.