加密作业写入的数据 DataBrew - AWS Glue DataBrew
设置 DataBrew 为使用加密创建通往的路线 AWS KMS使用 KMS 密钥设置加密

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

加密作业写入的数据 DataBrew

DataBrew 任务可以写入加密的 Amazon S3 目标和加密的 Amazon CloudWatch 日志。

设置 DataBrew 为使用加密

按照以下步骤将您的 DataBrew 环境设置为使用加密。

将您的 DataBrew 环境设置为使用加密

  1. 创建或更新您的 AWS KMS 密钥以向传递给 DataBrew 任务的 AWS Identity and Access Management (IAM) 角色 AWS KMS 授予权限。这些 IAM 角色用于加密 CloudWatch 日志和 Amazon S3 目标。有关更多信息，请参阅 Amazon Lo CloudWatch gs 用户指南 AWS KMS中的使用加密 CloudWatch 日志数据。

    在以下示例中，"role1""role2"、和"role3"是传递给 DataBrew 任务的 IAM 角色。本策略声明描述了 KMS 密钥策略，该策略允许列出的 IAM 角色使用此 KMS 密钥进行加密和解密。

    
   {
       "Effect": "Allow",
       "Principal": {
           "Service": "logs.region.amazonaws.com",
           "AWS": [
               "role1",
               "role2",
               "role3"
           ]
       },
       "Action": [
           "kms:Encrypt*",
           "kms:Decrypt*",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:Describe*"
       ],
       "Resource": "*"
   }

    如果您使用密钥对 CloudWatch 日志进行加密"Service": "logs.region.amazonaws.com"，则必须使用该Service语句（如所示）。

  2. 确保在使用 AWS KMS 密钥ENABLED之前将其设置为。

有关使用 AWS KMS 密钥策略指定权限的更多信息，请参阅中的使用密钥策略 AWS KMS。

为 VPC 任务创建通往 AWS KMS 的路由

您可以通过 Virtual Private Cloud (VPC) 中的私有终端节点直接连接到 AWS KMS ，而不是通过互联网连接。当您使用 VPC 终端节点时，您 AWS KMS 的 VPC 和 VPC 之间的通信完全在 AWS 网络内进行。

您可以在 AWS KMS VPC 内创建 VPC 终端节点。如果不执行此步骤，您的 DataBrew 作业可能会失败kms timeout。有关详细说明，请参阅《AWS Key Management Service 开发人员指南》中的 “AWS KMS 通过 VPC 终端节点连接”。

按照这些说明进行操作时，请务必在 VPC 控制台上执行以下操作：

  • 选择启用私有 DNS 名称。

  • 对于安全组，选择用于访问 Java 数据库连接 (JDBC) 的 DataBrew 作业的安全组（包括自引用规则）。

运行访问 JDBC 数据存储的 DataBrew 作业时， DataBrew 必须有通往终端节点的路由。 AWS KMS 您可以为路由提供网络地址转换 (NAT) 网关或 AWS KMS VPC 终端节点。要创建 NAT 网关，请参阅 Amazon VPC 用户指南中的 NAT 网关。

使用 AWS KMS 密钥设置加密

当您对任务启用加密时，它会同时适用于 Amazon S3 和 CloudWatch。传递的 IAM 角色必须具有以下 AWS KMS 权限。


     {
         "Version": "2012-10-17",
         "Statement": {
             "Effect": "Allow",
             "Action": [
                 "kms:GenerateDataKey*"
             ],
             "Resource": "arn:aws:kms:region:account-id:key/key-id"
         }
     }

有关更多信息，请参阅 Amazon Simple Storage Service 用户指南中的以下主题：