Proteção de dados no Amazon Data Firehose

O Amazon Data Firehose criptografa todos os dados em trânsito usando o protocolo TLS. Além disso, para dados armazenados em armazenamento provisório durante o processamento, o Amazon Data Firehose criptografa os dados AWS Key Management Serviceusando e verifica a integridade dos dados usando a verificação de soma de verificação.

Se você tiver dados confidenciais, poderá ativar a criptografia de dados do lado do servidor ao usar o Amazon Data Firehose. Como fazer isso depende da fonte dos seus dados.

nota

Se você precisar de módulos criptográficos validados pelo FIPS 140-2 ao acessar AWS por meio de uma interface de linha de comando ou de uma API, use um endpoint FIPS. Para ter mais informações sobre endpoints do FIPS, consulte Federal Information Processing Standard (FIPS) 140-2.

Criptografia no lado do servidor tendo o Kinesis Data Streams como fonte de dados

Quando você envia dados de seus produtores de dados para seu stream de dados, o Kinesis Data Streams criptografa seus dados AWS Key Management Service usando AWS KMS uma chave () antes de armazená-los em repouso. Quando seu stream do Amazon Data Firehose Firehose lê os dados do seu stream de dados, o Kinesis Data Streams primeiro descriptografa os dados e depois os envia para o Amazon Data Firehose. O Amazon Data Firehose armazena os dados na memória com base nas dicas de buffer que você especificar. Em seguida, entrega-o aos destinos sem armazenar os dados não criptografados em repouso.

Para obter informações sobre como habilitar a criptografia no lado do servidor para o Kinesis Data Streams, consulte Using Server-Side Encryption no Amazon Kinesis Data Streams Developer Guide.

Criptografia do lado do servidor com Direct PUT ou outras fontes de dados

Se você enviar dados para seu stream do Firehose usando PutRecordou PutRecordBatch, ou se você enviar os dados usando AWS IoT Amazon CloudWatch Logs ou CloudWatch Events, você pode ativar a criptografia do lado do servidor usando a operação. StartDeliveryStreamEncryption

Para parar server-side-encryption, use a StopDeliveryStreamEncryptionoperação.

Você também pode ativar o SSE ao criar o stream do Firehose. Para fazer isso, especifique DeliveryStreamEncryptionConfigurationInputquando você invoca. CreateDeliveryStream

Quando a CMK é do tipoCUSTOMER_MANAGED_CMK, se o serviço Amazon Data Firehose não conseguir descriptografar registros por causa de KMSNotFoundException a, KMSInvalidStateException a, a ou KMSAccessDeniedException a, KMSDisabledException o serviço espera até 24 horas (o período de retenção) para que você resolva o problema. Se o problema persistir depois do período de retenção, o serviço ignorará os registros que passaram pelo período de retenção e não puderam ser descriptografados, e descartará os dados. O Amazon Data Firehose fornece as quatro CloudWatch métricas a seguir que você pode usar para rastrear as quatro AWS KMS exceções:

• KMSKeyAccessDenied

• KMSKeyDisabled

• KMSKeyInvalidState

• KMSKeyNotFound

Para obter mais informações sobre essas quatro métricas, consulte Monitorando o Amazon Data Firehose usando métricas CloudWatch .

Importante

Para criptografar seu stream do Firehose, use CMKs simétricas. O Amazon Data Firehose não oferece suporte a CMKs assimétricas. Para obter informações sobre CMKs simétricas e assimétricas, consulte Sobre CMKs simétricas e assimétricas no guia do desenvolvedor. AWS Key Management Service

nota

Quando você usa uma chave gerenciada pelo cliente (CUSTOMER_MANAGED_CMK) para ativar a criptografia do lado do servidor (SSE) para seu stream de entrega do Firehose, o serviço Firehose define um contexto de criptografia sempre que usa sua chave. Como esse contexto de criptografia representa uma ocorrência em que uma chave pertencente à sua AWS conta foi usada, ela é registrada como parte dos registros de AWS CloudTrail eventos da sua AWS conta. Esse contexto de criptografia é gerado pelo sistema pelo serviço Firehose. Seu aplicativo não deve fazer nenhuma suposição sobre o formato ou o conteúdo do contexto de criptografia definido pelo serviço Firehose.