Administración del ciclo de vida en Security Lake

Puede personalizar Security Lake para almacenar los datos en su lugar preferido Regiones de AWS durante el período de tiempo que prefiera. La administración del ciclo de vida puede ayudarle a cumplir con diferentes requisitos de conformidad.

Administración de retención

Para administrar sus datos de manera que se almacenen de forma rentable, puede configurar los ajustes de retención de los datos. Dado que Security Lake almacena sus datos como objetos en bucket de Amazon Simple Storage Service (Amazon S3), la configuración de retención corresponde a una configuración de ciclo de vida de Amazon S3. Al configurar estos ajustes, puede especificar la clase de almacenamiento de Amazon S3 que prefiera y el período de tiempo para que los objetos de S3 permanezcan en esa clase de almacenamiento antes de que pasen a una clase de almacenamiento diferente o caduquen. Para obtener más información acerca de las configuraciones del ciclo de vida de Amazon S3, consulte Administración del ciclo de vida de almacenamiento en la Guía del usuario de Amazon Simple Storage Service.

En Security Lake, puede especificar la configuración de retención a nivel de región. Por ejemplo, puede optar por hacer la transición de todos los objetos de S3 de una clase de almacenamiento específica Región de AWS a la clase S3 Standard-IA 30 días después de haberlos escrito en el lago de datos. La clase de almacenamiento predeterminada de Amazon S3 es S3 Standard.

importante

Security Lake no admite el bloqueo de objetos de Amazon S3. Cuando se crean los buckets del lago de datos, el bloqueo de objetos de S3 está desactivado de forma predeterminada. Al habilitar S3 Object Lock con el modo de retención predeterminado, se interrumpe la entrega de datos de registro normalizados al lago de datos.

Configurar los ajustes de retención al activar Security Lake

Siga estas instrucciones para configurar los ajustes de retención para una o más regiones cuando se incorpore a Security Lake. Si no configura los ajustes de retención, Security Lake utiliza los ajustes predeterminados para una configuración del ciclo de vida de Amazon S3, es decir, almacenar los datos de forma indefinida mediante la clase de almacenamiento S3 Standard.

Console

1. Abra la consola de Security Lake en https://console.aws.amazon.com/securitylake/.

2. Cuando llegue al Paso 2: definir el objetivo del flujo de trabajo de incorporación, elija Añadir transición en Seleccionar clases de almacenamiento. A continuación, elija la clase de almacenamiento de Amazon S3 a la que desea pasar objetos de S3. (La clase de almacenamiento predeterminada, que no aparece indicada, es S3 Standard). Especifique también un período de retención (en días) para esa clase de almacenamiento. Para realizar la transición de los objetos a otra clase de almacenamiento después de ese tiempo, seleccione Añadir transición e introduzca la configuración para la clase de almacenamiento y el período de retención subsiguientes.

3. Para especificar cuándo quiere que caduquen los objetos de S3, elija Añadir transición. A continuación, para la clase de almacenamiento, elija Expirar. Para el periodo de retención, especifique el número total de días que desea almacenar los objetos en Amazon S3, utilizando cualquier clase de almacenamiento, una vez creados los objetos. Una vez finalizado el período, los objetos caducan y Amazon S3 los elimina.

4. Cuando haya terminado, elija Siguiente.

Los cambios se aplicarán a todas las regiones en las que activó Security Lake durante los pasos de incorporación anteriores.

API

Para configurar los ajustes de retención mediante programación cuando se incorpore a Security Lake, utilice el CreateDataLakefuncionamiento de la API de Security Lake. Si está utilizando el AWS CLI, ejecute el comando. create-data-lake Especifique la configuración de retención que desee en los lifecycleConfiguration parámetros de la siguiente manera:

• Para transitions, especifique el número total de días (days) que desea almacenar los objetos de S3 en una clase de almacenamiento de Amazon S3 determinada (storageClass).

• Para expiration, especifique el número total de días que desea almacenar los objetos en Amazon S3, utilizando cualquier clase de almacenamiento, una vez creados los objetos. Una vez finalizado el período, los objetos caducan y Amazon S3 los elimina.

Security Lake aplica la configuración a la región que especifique en el campo region del objeto configurations.

Por ejemplo, el siguiente comando habilita Security Lake en la us-east-1 región. En esta región, los objetos caducan después de 365 días y los objetos pasan a la clase de almacenamiento ONEZONE_IA S3 después de 60 días. Este ejemplo está formateado para Linux, macOS o Unix y utiliza el carácter de barra invertida (\) de continuación de línea para mejorar la legibilidad.

$ aws securitylake create-data-lake \
--configurations '[{"encryptionConfiguration": {"kmsKeyId":"S3_MANAGED_KEY"},"region":"us-east-1","lifecycleConfiguration": {"expiration":{"days":365},"transitions":[{"days":60,"storageClass":"ONEZONE_IA"}]}}]' \
--meta-store-manager-role-arn "arn:aws:securitylake:ap-northeast-2:123456789012:data-lake/default"

Actualización de la configuración de retención

Siga estas instrucciones para actualizar la configuración de retención de una o más regiones después de activar Security Lake.

Console

1. Abra la consola de Security Lake en https://console.aws.amazon.com/securitylake/.

2. En el panel de navegación, elija Regiones.

3. Seleccione una región y, a continuación, elija Editar.

4. En la sección Seleccionar clases de almacenamiento, introduzca la configuración que desee. Para la clase de almacenamiento, elija la clase de almacenamiento de Amazon S3 a la que desea pasar objetos de S3. (La clase de almacenamiento predeterminada, que no aparece indicada, es S3 Standard). Para el periodo de retención, introduzca el número de días que desea almacenar objetos en esa clase de almacenamiento. Puede especificar varias transiciones.

   Para especificar también cuándo quiere que caduquen los objetos de S3, elija Expirar como clase de almacenamiento. Después, para el periodo de retención, especifique el número total de días que desea almacenar los objetos en Amazon S3, utilizando cualquier clase de almacenamiento, una vez creados los objetos. Una vez finalizado el período, los objetos caducan y Amazon S3 los elimina.

5. Cuando termine, elija Save (Guardar).

API

Para actualizar la configuración de retención mediante programación, utilice UpdateDataLakela API de Security Lake. Si la está utilizando AWS CLI, ejecute el comando. update-data-lake En la solicitud, utilice el lifecycleConfiguration parámetro para especificar la nueva configuración:

• Para cambiar la configuración de transición, utilice los parámetros transitions para especificar cada nuevo período de tiempo en días (days) en el que desee almacenar los objetos de S3 en una clase de almacenamiento de Amazon S3 determinada (storageClass).

• Para cambiar el período de retención general, utilice el parámetro expiration para especificar el número total de días que desea almacenar los objetos de S3, utilizando cualquier clase de almacenamiento, una vez creados los objetos. Una vez finalizado el período de retención, los objetos caducan y Amazon S3 los elimina.

Security Lake aplica la configuración a la región que especifique en el campo region del objeto configurations.

Por ejemplo, el siguiente AWS CLI comando actualiza la configuración de caducidad de los datos y la configuración de transición de almacenamiento de la us-east-1 región. En esta región, los objetos caducan después de 500 días y los objetos pasan a la clase de almacenamiento ONEZONE_IA S3 después de 30 días. Este ejemplo está formateado para Linux, macOS o Unix y utiliza el carácter de barra invertida (\) de continuación de línea para mejorar la legibilidad.

$ aws securitylake update-data-lake \
--configurations '[{"encryptionConfiguration": {"kmsKeyId":"S3_MANAGED_KEY"},"region":"us-east-1","lifecycleConfiguration": {"expiration":{"days":500},"transitions":[{"days":30,"storageClass":"ONEZONE_IA"}]}}]' \
--meta-store-manager-role-arn "arn:aws:securitylake:ap-northeast-2:123456789012:data-lake/default"

Regiones acumulativas

Una región acumulativa consolida los datos de una o más regiones contribuyentes. Esto puede ayudarle a cumplir con los requisitos de conformidad con los datos regionales.

Para obtener instrucciones sobre cómo configurar las regiones acumulables, consulte. Configuración de regiones acumulativas