Perlindungan data

Model tanggung jawab AWS bersama berlaku untuk perlindungan data di Amazon EMR Serverless. Seperti yang dijelaskan dalam model AWS ini, bertanggung jawab untuk melindungi infrastruktur global yang menjalankan semua AWS Cloud. Anda bertanggung jawab untuk mempertahankan kendali atas konten yang di-host pada infrastruktur ini. Konten ini mencakup konfigurasi keamanan dan tugas manajemen untuk AWS layanan yang Anda gunakan. Untuk informasi lebih lanjut tentang privasi data, lihat FAQ Privasi Data. Untuk informasi tentang perlindungan data di Eropa, lihat Model Tanggung AWS Jawab Bersama dan posting blog GDPR di Blog AWS Keamanan.

Untuk tujuan perlindungan data, kami menyarankan agar Anda melindungi kreden AWS SIAL akun dan mengatur akun individu dengan AWS Identitas dan Manajemen Akses (IAM). Dengan cara ini, setiap pengguna hanya diberi izin yang diperlukan untuk memenuhi tanggung jawab tugas mereka. Kami juga merekomendasikan agar Anda mengamankan data Anda dengan cara-cara berikut ini:

• Gunakan autentikasi multi-faktor (MFA) pada setiap akun.

• Gunakan SSL/TLS untuk berkomunikasi dengan AWS sumber daya. Kami menyarankan TLS 1.2 atau yang lebih baru.

• Siapkan API dan pencatatan aktivitas pengguna dengan AWS CloudTrail.

• Gunakan solusi AWS enkripsi, bersama dengan semua kontrol keamanan default dalam AWS layanan.

• Gunakan layanan keamanan terkelola lanjutan seperti Amazon Macie, yang membantu menemukan dan mengamankan data pribadi yang disimpan di Amazon S3.

• Gunakan opsi enkripsi Amazon EMR Serverless untuk mengenkripsi data saat istirahat dan dalam perjalanan.

• Jika Anda memerlukan modul kriptografi tervalidasi FIPS 140-2 saat mengakses AWS melalui antarmuka baris perintah atau API, gunakan titik akhir FIPS. Untuk informasi selengkapnya tentang titik akhir FIPS yang tersedia, lihat Federal Information Processing Standard (FIPS) 140-2.

Kami sangat menyarankan agar Anda tidak pernah memasukkan informasi identifikasi sensitif, seperti nomor akun pelanggan Anda, ke dalam bidang bentuk bebas seperti bidang Nama. Ini termasuk saat Anda bekerja dengan Amazon EMR Serverless atau AWS layanan lain menggunakan konsol, API AWS CLI, atau AWS SDK. Setiap data yang Anda masukkan ke Amazon EMR Serverless atau layanan lain mungkin diambil untuk dimasukkan dalam log diagnostik. Saat Anda menyediakan URL ke peladen eksternal, jangan menyertakan informasi kredensial dalam URL untuk memvalidasi permintaan Anda ke peladen tersebut.

Enkripsi saat istirahat

Enkripsi data membantu mencegah pengguna yang tidak sah membaca data pada klaster dan sistem penyimpanan data terkait. Ini termasuk data yang disimpan ke media persisten, yang dikenal sebagai data at rest, dan data yang mungkin dicegat saat perjalanan jaringan, yang dikenal sebagai data dalam transit.

Enkripsi data memerlukan kunci dan sertifikat. Anda dapat memilih dari beberapa opsi, termasuk kunci yang dikelola oleh AWS Key Management Service, kunci yang dikelola oleh Amazon S3, dan kunci dan sertifikat dari penyedia khusus yang Anda berikan. Saat digunakan AWS KMS sebagai penyedia kunci Anda, biaya berlaku untuk penyimpanan dan penggunaan kunci enkripsi. Untuk informasi selengkapnya, lihat AWS KMS harga.

Sebelum Anda menentukan opsi enkripsi, tentukan sistem manajemen kunci dan sertifikat yang ingin Anda gunakan. Kemudian buat kunci dan sertifikat untuk penyedia kustom yang Anda tentukan sebagai bagian dari pengaturan enkripsi.

Enkripsi saat istirahat untuk data EMRFS di Amazon S3

Setiap aplikasi EMR Serverless menggunakan versi rilis tertentu, yang mencakup EMRFS (EMR File System). Enkripsi Amazon S3 bekerja dengan objek EMR File System (EMRFS) yang dibaca dari dan ditulis ke Amazon S3. Anda dapat menentukan enkripsi sisi server (SSE) Amazon S3 atau enkripsi sisi klien (CSE) sebagai mode enkripsi Default saat Anda mengaktifkan enkripsi saat diam. Secara opsional, tentukan metode enkripsi yang berbeda untuk bucket individual menggunakan penggantian enkripsi Per bucket. Keamanan Lapisan Pengangkutan (TLS) terlepas dari apakah enkripsi Amazon S3 diaktifkan, Keamanan Lapisan Pengangkutan (TLS) mengenkripsi objek EMRFS dalam transit antara simpul klaster EMR dan Amazon S3. Jika Anda menggunakan Amazon S3 CSE dengan kunci yang dikelola pelanggan, peran eksekusi yang digunakan untuk menjalankan pekerjaan di aplikasi EMR Serverless harus memiliki akses ke kunci tersebut. Untuk informasi mendalam tentang enkripsi Amazon S3, lihat Mel indungi data menggunakan enkripsi di Panduan Pengembang Layanan Penyimpanan Sederhana Amazon.

catatan

Saat Anda menggunakan AWS KMS, biaya berlaku untuk penyimpanan dan penggunaan kunci enkripsi. Untuk informasi selengkapnya, lihat AWS KMS harga.

Enkripsi sisi server Amazon S3

Semua bucket Amazon S3 memiliki enkripsi yang dikonfigurasi secara default, dan semua objek baru yang diunggah ke bucket S3 secara otomatis dienkripsi saat diam, Amazon S3 mengenkripsi data pada tingkat objek saat menulis data ke disk dan mendekripsi data saat diakses. Untuk informasi selengkapnya tentang SSE, lihat Mel indungi data menggunakan enkripsi sisi server di Panduan Pengembang Amazon Simple Storage Service.

Anda dapat memilih antara dua sistem manajemen kunci yang berbeda saat menentukan SSE di Amazon EMR Serverless:

• SSE-S3‐ Amazon S3 mengelola kunci untuk Anda. Tidak ada pengaturan tambahan yang diperlukan pada EMR Serverless.

• SSE-KMS‐ Anda menggunakan an AWS KMS key untuk mengatur dengan kebijakan yang sesuai untuk EMR Serverless. Tidak ada pengaturan tambahan yang diperlukan pada EMR Serverless.

Tip

Untuk mengurangi AWS KMS biaya saat menggunakan SSE-KMS, pertimbangkan untuk mengaktifkan Amazon S3 Bucket Keys di bucket Amazon S3 Anda. Amazon S3 Bucket Keys menggunakan kunci tingkat bucket berumur pendek untuk mengurangi panggilan AWS KMS API hingga 99 persen. Sebelum mengaktifkan Amazon S3 Bucket Keys, tinjau kebijakan IAM dan AWS KMS kunci Anda — konteks enkripsi berubah dari objek Amazon S3 ARN menjadi bucket ARN, yang dapat memengaruhi kebijakan yang menggunakan objek ARN untuk kontrol akses. Untuk informasi selengkapnya, lihat Mengurangi biaya SSE-KMS menggunakan Amazon S3 Bucket Keys di Panduan Pengguna Layanan Penyimpanan Sederhana Amazon.

Untuk menggunakan AWS KMS enkripsi untuk data yang Anda tulis ke Amazon S3, Anda memiliki dua opsi saat menggunakan StartJobRun API. Anda dapat mengaktifkan enkripsi untuk semua yang Anda tulis ke Amazon S3, atau mengaktifkan enkripsi untuk data yang Anda tulis ke bucket tertentu. Untuk informasi selengkapnya tentang StartJobRun API, lihat Referensi API Tanpa Server EMR.

Untuk mengaktifkan AWS KMS enkripsi untuk semua data yang Anda tulis ke Amazon S3, gunakan perintah berikut saat memanggil StartJobRun API.

--conf spark.hadoop.fs.s3.enableServerSideEncryption=true 
--conf spark.hadoop.fs.s3.serverSideEncryption.kms.keyId=<kms_id>

Untuk mengaktifkan AWS KMS enkripsi untuk data yang Anda tulis ke bucket tertentu, gunakan perintah berikut saat memanggil StartJobRun API.

--conf spark.hadoop.fs.s3.bucket.<amzn-s3-demo-bucket1>.enableServerSideEncryption=true
--conf spark.hadoop.fs.s3.bucket.<amzn-s3-demo-bucket1>.serverSideEncryption.kms.keyId=<kms-id>

SSE dengan kunci yang disediakan pelanggan (SSE-C) tidak tersedia untuk digunakan dengan EMR Serverless.

Enkripsi di sisi klien Amazon S3

Dengan enkripsi sisi klien Amazon S3, enkripsi dan dekripsi Amazon S3 berlangsung di klien EMRFS yang tersedia di setiap rilis Amazon EMR. Objek dienkripsi sebelum diunggah ke Amazon S3 dan didekripsi setelah diunduh. Penyedia yang Anda tentukan menyediakan kunci enkripsi yang digunakan klien. Klien dapat menggunakan kunci yang disediakan oleh AWS KMS (CSE-KMS) atau kelas Java kustom yang menyediakan kunci root sisi klien ()CSE-C. Spesifikasi enkripsi sedikit berbeda antara CSE-KMS dan CSE-C, tergantung pada penyedia yang ditentukan dan metadata objek yang didekripsi atau dienkripsi. Jika Anda menggunakan Amazon S3 CSE dengan kunci yang dikelola pelanggan, peran eksekusi yang digunakan untuk menjalankan pekerjaan di aplikasi EMR Serverless harus memiliki akses ke kunci tersebut. Biaya KMS tambahan mungkin berlaku. Untuk informasi selengkapnya tentang perbedaan ini, lihat Mel indungi data menggunakan enkripsi sisi klien di Panduan Pengembang Amazon Simple Storage Service.

Enkripsi disk lokal

Data yang disimpan dalam penyimpanan sementara dienkripsi dengan kunci milik layanan menggunakan algoritma AES-256 kriptografi standar industri.

Manajemen kunci

Anda dapat mengonfigurasi KMS untuk secara otomatis memutar kunci KMS Anda. Ini merotasi kunci Anda setahun sekali sambil menyimpan kunci lama tanpa batas waktu sehingga data Anda masih dapat didekripsi. Untuk informasi tambahan, lihat Memutar kunci yang dikelola pelanggan.

Enkripsi saat bergerak

Fitur enkripsi khusus aplikasi berikut tersedia dengan Amazon EMR Serverless:

• Spark

  • Secara default, komunikasi antara driver Spark dan pelaksana diautentikasi dan internal. Komunikasi RPC antara driver dan pelaksana dienkripsi.

• Hive

  • Komunikasi antara aplikasi AWS Glue metastore dan EMR Serverless terjadi melalui TLS.

Anda harus mengizinkan hanya koneksi terenkripsi melalui HTTPS (TLS) menggunakan SecureTransport kondisi aws: pada kebijakan IAM bucket Amazon S3.