加密选项
使用 Amazon EMR 版本 4.8.0 和更高版本，您可以使用安全配置来指定用于对静态数据和/或传输中的数据进行加密的设置。当启用静态数据加密时，您可以选择加密 Amazon S3 中的 EMRFS 数据和/或本地磁盘中的数据。您创建的每个安全配置都存储在 Amazon EMR 中而不是集群配置中，因此无论何时创建集群，您都可以轻松地重复使用某个配置来指定数据加密设置。有关更多信息，请参阅创建安全配置。
下图显示了安全配置可用的不同数据加密选项。
以下加密选项也可用，并且不是使用安全配置来配置的：
-
（可选）使用 Amazon EMR 版本 4.1.0 和更高版本，您可以选择在 HDFS 中配置透明加密。有关更多信息，请参阅《Amazon EMR 版本指南》中的 Amazon EMR 上的 HDFS 中的透明加密。
-
如果您使用的是不支持安全配置的 Amazon EMR 版本，则可以在 Amazon S3 中为 EMRFS 数据手动配置加密。有关更多信息，请参阅使用 EMRFS 属性指定 Amazon S3 加密。
-
如果您使用 5.24.0 之前的 Amazon EMR 版本，则只有在使用自定义 AMI 时，才支持加密的 EBS 根设备卷。有关更多信息，请参阅《Amazon EMR 管理指南》中的使用加密的 Amazon EBS 根设备卷创建自定义 AMI。
注意
从 Amazon EMR 版本 5.24.0 开始，您指定 AWS KMS 作为密钥提供程序时，可以使用安全配置选项加密 EBS 根设备和存储卷。有关更多信息，请参阅本地磁盘加密。
数据加密需要密钥和凭证。安全配置可让您从多个选项中灵活选择，这些选项包括 AWS Key Management Service 托管的密钥、Amazon S3 托管的密钥以及来自您提供的自定义提供程序的密钥和凭证。当使用 AWS KMS 作为您的密钥提供程序时，您需支付加密密钥的存储和使用费用。有关更多信息，请参阅AWS KMS定价
在指定加密选项前，要确定所用的密钥和凭证管理系统，因此您可以先创建密钥和凭证或您在加密设置中指定的自定义提供程序。
Amazon S3 中 EMRFS 数据的静态加密
Amazon S3 加密适用于在 Amazon S3 中读取和写入的 EMR 文件系统（EMRFS）对象。在您启用静态加密时，请指定 Amazon S3 服务器端加密（SSE）或客户端加密（CSE）作为默认加密模式。（可选）您可以使用 Per bucket encryption overrides (每存储桶加密覆盖) 为单个存储桶指定不同的加密方法。无论是否启用了 Amazon S3 加密，传输层安全性 (TLS) 都会对 EMR 集群节点和 Amazon S3 之间正在传输的 EMRFS 对象进行加密。有关 Amazon S3 加密的更多信息，请参阅《Amazon Simple Storage Service 用户指南》中的使用加密保护数据。
注意
使用 AWS KMS 时，加密密钥的存储和使用将产生费用。有关更多信息，请参阅 AWS KMS 定价
Amazon S3 服务器端加密
设置 Amazon S3 服务器端加密时，Amazon S3 在向磁盘写入数据时会在对象级别加密数据，并在访问数据时对数据进行解密。有关 SSE 的更多信息，请参阅《Amazon Simple Storage Service 用户指南》中的使用服务器端加密保护数据。
在 Amazon EMR 中指定 SSE 时，可以在两个不同的密钥管理系统之间进行选择：
-
SSE-S3 – Amazon S3 为您管理密钥。
-
SSE-KMS - 您使用适用于 Amazon EMR 的策略设置一个 AWS KMS key。有关 Amazon EMR 的密钥要求的更多信息，请参阅使用 AWS KMS keys 进行加密。
客户提供密钥的 SSE（SSE-C）不能用于 Amazon EMR。
Amazon S3 客户端加密
对于 Amazon S3 客户端加密，Amazon S3 加密和解密过程在您的 EMR 集群上的 EMRFS 客户端中进行。在对象上载到 Amazon S3 之前对其进行加密，并在下载后对其进行解密。您指定的提供程序会提供客户端使用的加密密钥。客户端可以使用 AWS KMS 提供的密钥（CSE-KMS）或提供客户端根密钥（CSE-C）的自定义 Java 类。CSE-KMS 和 CSE-C 之间的加密细节略有不同，具体取决于指定的提供程序以及正在解密或加密对象的元数据。有关这些区别的更多信息，请参阅《Amazon Simple Storage Service 用户指南》中的使用客户端加密保护数据。
注意
Amazon S3 CSE 仅确保与 Amazon S3 交换的 EMRFS 数据已加密；不确保集群实例卷上的所有数据都已加密。此外，由于 Hue 不使用 EMRFS，因此 Hue S3 文件浏览器写入 Amazon S3 的对象没有加密。
本地磁盘加密
在您使用 Amazon EMR 安全配置启用本地磁盘加密时，以下机制协同工作来加密本地磁盘。
开源 HDFS 加密
在分布式处理期间，HDFS 在集群实例之间交换数据。它还从实例存储卷以及附加到实例的 EBS 卷中读写数据。启用本地磁盘加密会激活以下开源 Hadoop 加密选项：
-
安全 Hadoop RPC
设置为 Privacy，它使用简单身份验证安全层 (SASL)。 -
对 HDFS 块数据传输的数据加密
设置为 true并配置为使用 AES 256 加密。
注意
您也可以通过启用传输中加密激活其他 Apache Hadoop 加密。有关更多信息，请参阅传输中加密。这些加密设置不会激活 HDFS 透明加密，您可以手动配置透明加密。有关更多信息，请参阅《Amazon EMR 版本指南》中的 Amazon EMR 上的 HDFS 中的透明加密。
实例存储加密
对于使用基于 NVMe 的 SSD 作为实例存储卷的 EC2 实例类型，不论 Amazon EMR 加密设置如何，都将使用 NVMe 加密。有关更多信息，请参阅《适用于 Linux 实例的 Amazon EC2 用户指南》中的 NVMe SSD 卷。对于其它实例存储卷，在启用了本地磁盘加密时，Amazon EMR 使用 LUKS 加密实例存储卷，而不论使用 EBS 加密还是 LUKS 加密了 EBS 卷。
EBS 卷加密
如果您在默认为账户启用 EBS 卷的 Amazon EC2 加密的区域中创建集群，即使未启用本地磁盘加密，EBS 卷仍会加密。有关更多信息，请参阅《适用于 Linux 实例的 Amazon EC2 用户指南》中的默认加密。在安全配置中启用了本地磁盘加密时，对于集群 EC2 实例，Amazon EMR 设置要优先于 Amazon EC2 encryption-by-default 设置。
利用以下选项，可以使用安全配置加密 EBS 卷：
-
EBS 加密 – 从 Amazon EMR 版本 5.24.0 开始，您可以选择启用 EBS 加密。EBS 加密选项加密 EBS 根设备卷以及附加的存储卷。EBS 加密选项仅在您指定 AWS Key Management Service 作为密钥提供程序时可用。我们建议使用 EBS 加密。
-
LUKS 加密 – 如果您为 Amazon EBS 卷选择使用 LUKS 加密，LUKS 加密仅应用于附加的存储卷，而不应用于根设备卷。有关 LUKS 加密的更多信息，请参阅 LUKS 磁盘规格
。 对于密钥提供程序，您可以使用适用于 Amazon EMR 的策略设置一个 AWS KMS key，也可以使用提供加密构件的自定义 Java 类。使用 AWS KMS 时，加密密钥的存储和使用将产生费用。有关更多信息，请参阅AWS KMS定价
。
注意
要检查您的集群上是否启用了 EBS 加密，建议您使用 DescribeVolumes API 调用。有关更多信息，请参阅 DescribeVolumes。在集群上运行 lsblk 只会检查 LUKS 加密的状态，而不检查 EBS 加密。
传输中加密
传输中加密会启用几种加密机制。这些是开源功能，是特定于应用程序的，可能因 Amazon EMR 版本而异。使用 Apache 应程序用配置可以启用以下特定于应用程序的加密功能。有关更多信息，请参阅配置应用程序。
您可以通过两种方式指定用于传输中加密的加密构件：一种是提供上载到 Amazon S3 的凭证的压缩文件，另一种是引用提供加密构件的自定义 Java 类。有关更多信息，请参阅为通过 Amazon EMR 加密来加密传输中的数据提供凭证。
