Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Verschlüsselung im Ruhezustand
Sie können in Amazon Athena Abfragen zu verschlüsselten Daten in Amazon S3 in derselben Region und in einer begrenzten Anzahl von Regionen ausführen. Sie können auch die Abfrageergebnisse in Amazon S3 und die Daten im AWS Glue Datenkatalog verschlüsseln.
Sie können die folgenden Ressourcen in Athena verschlüsseln:
-
Die Ergebnisse aller Abfragen in Amazon S3, die von Athena in einem als Amazon-S3-Ergebnisort bezeichneten Ort gespeichert werden. Die in Amazon S3 gespeicherten Abfrageergebnisse lassen sich verschlüsseln, und zwar unabhängig davon, ob der zugrunde liegende Datensatz in Amazon S3 verschlüsselt oder unverschlüsselt ist. Weitere Informationen finden Sie unter Verschlüsseln Sie die in Amazon S3 gespeicherten Athena-Abfrageergebnisse.
-
Die Daten im AWS Glue Datenkatalog. Weitere Informationen finden Sie unter Berechtigungen für verschlüsselte Metadaten in der AWS Glue Data Catalog.
Anmerkung
Wenn Sie Athena verwenden, um eine verschlüsselte Tabelle zu lesen, verwendet Athena die für die Tabellendaten angegebenen Verschlüsselungsoptionen, nicht die Verschlüsselungsoption für die Abfrageergebnisse. Wenn separate Verschlüsselungsmethoden oder Schlüssel für Abfrageergebnisse und Tabellendaten konfiguriert sind, liest Athena die Tabellendaten, ohne die Verschlüsselungsoption und den Schlüssel zu verwenden, die zum Verschlüsseln oder Entschlüsseln der Abfrageergebnisse verwendet wurden.
Wenn Sie jedoch Athena verwenden, um Daten in eine Tabelle einzufügen, die verschlüsselte Daten enthält, verwendet Athena die Verschlüsselungskonfiguration, die für die Abfrageergebnisse angegeben wurde, um die eingefügten Daten zu verschlüsseln. Wenn Sie beispielsweise CSE_KMS Verschlüsselung für Abfrageergebnisse angeben, verwendet Athena dieselbe AWS KMS Schlüssel-ID, die Sie für die Verschlüsselung der Abfrageergebnisse verwendet haben, um die eingefügten Tabellendaten zu verschlüsseln. CSE_KMS
Themen
Unterstützte Verschlüsselungsoptionen der Amazon S3
Athena unterstützt die folgenden Verschlüsselungsoptionen für Datasets und Abfrageergebnisse in Amazon S3.
| Verschlüsselungstyp | Description | Cross-Region Unterstützung |
|---|---|---|
| SSE-S3 | Serverseitige Verschlüsselung (SSE) mit einem S3-managed Amazon-Schlüssel. | Ja |
| SSE-KMS (Empfohlen) | Server-side Verschlüsselung (SSE) mit einem vom AWS Key Management Service Kunden verwalteten Schlüssel. | Ja |
| CSE-KMS |
Client-side Verschlüsselung (CSE) mit einem vom AWS KMS Kunden verwalteten Schlüssel. In Athena erfordert diese Option, dass Sie eine |
Nein |
Weitere Informationen zur AWS KMS Verschlüsselung mit Amazon S3 finden Sie unter Was ist AWS Key Management Service und wie Amazon Simple Storage Service (Amazon S3) verwendet wird AWS KMS im AWS Key Management Service Entwicklerhandbuch. Weitere Informationen zur Verwendung von SSE-KMS oder CSE-KMS mit Athena finden Sie unter Launch: Amazon Athena bietet Unterstützung für die Abfrage verschlüsselter Daten
Empfehlungen zur Verschlüsselung
Wenn Sie Tabellendaten verschlüsseln und entschlüsseln und Ergebnisse mit vom Kunden verwalteten KMS-Schlüsseln abfragen, empfehlen wir die Verwendung SSE-KMS von Verschlüsselungs- oder Verschlüsselungsmethoden. SSE-S3 CSE-KMS SSE-KMS bietet ein ausgewogenes Verhältnis zwischen Kontrolle, Einfachheit und Leistung, weshalb diese Methode bei der Verwendung verwalteter KMS-Schlüssel für die Datenverschlüsselung empfohlen wird.
Vorteile von SSE-KMS über SSE-S3
-
SSE-KMS ermöglicht es Ihnen, Ihre eigenen Schlüssel zu spezifizieren und zu verwalten, was Ihnen mehr Kontrolle bietet. Sie können Schlüsserichtlinien definieren, die Lebenszyklen von Schlüsseln überwachen und die Schlüsselnutzung überwachen.
Vorteile von SSE-KMS über CSE-KMS
-
SSE-KMS macht eine zusätzliche Infrastruktur zum Verschlüsseln und Entschlüsseln von Daten überflüssig, im Gegensatz dazu ist CSE-KMS die kontinuierliche Wartung eines S3-Verschlüsselungsclients erforderlich.
-
CSE-KMS kann aufgrund von sich weiterentwickelnden Verschlüsselungsalgorithmen zu Kompatibilitätsproblemen zwischen neueren und älteren S3-Verschlüsselungsclients kommen, ein Problem SSE-KMS wird vermieden.
-
SSE-KMS führt während der Verschlüsselungs- und Entschlüsselungsprozesse weniger API-Aufrufe an den KMS-Dienst zum Abrufen von Schlüsseln durch, was zu einer besseren Leistung führt als. CSE-KMS
Nicht unterstützte Optionen
Folgende Verschlüsselungsoptionen werden nicht unterstützt:
-
SSE mit vom Kunden bereitgestellten Schlüsseln (). SSE-C
-
Client-side Verschlüsselung mit einem clientseitig verwalteten Schlüssel.
-
Asymmetrische Schlüssel.
Einen Vergleich der Verschlüsselungsoptionen von Amazon S3 finden Sie unter Daten durch Verschlüsselung schützen im Benutzerhandbuch für Amazon Simple Storage Service.
Tools für die clientseitige Verschlüsselung
Beachten Sie für die clientseitige Verschlüsselung, dass zwei Tools verfügbar sind:
-
Amazon-S3-Verschlüsselungs-Client – Dies verschlüsselt Daten nur für Amazon S3 und wird von Athena unterstützt.
-
AWS Encryption SDK— Das SDK kann überall zum Verschlüsseln von Daten verwendet werden, wird AWS jedoch nicht direkt von Athena unterstützt.
Diese Tools sind nicht kompatibel und Daten, die mit einem Tool verschlüsselt wurden, können nicht vom anderen entschlüsselt werden. Athena unterstützt den Amazon-S3-Verschlüsselungs-Client nur direkt. Wenn Sie das SDK verwenden, um Ihre Daten zu verschlüsseln, können Sie Abfragen von Athena ausführen, aber die Daten werden als verschlüsselter Text zurückgegeben.
Wenn Sie Athena verwenden möchten, um Daten abzufragen, die mit dem AWS -Verschlüsselungs-SDK verschlüsselt wurden, müssen Sie Ihre Daten herunterladen und entschlüsseln und sie dann erneut mit dem Amazon-S3-Verschlüsselungs-Client verschlüsseln.
Berechtigungen für verschlüsselte Daten in Amazon S3
Abhängig von der Art der in Amazon S3 verwendeten Verschlüsselung müssen Sie möglicherweise Berechtigungen, auch „Zulassen“-Aktionen genannt, zu Ihren in Athena verwendeten Richtlinien hinzufügen:
-
SSE-S3— Wenn Sie SSE-S3 die Verschlüsselung verwenden, benötigen Athena-Benutzer keine zusätzlichen Berechtigungen in ihren Richtlinien. Es reicht, wenn die entsprechenden Amazon-S3-Berechtigungen für den jeweiligen Amazon-S3-Speicherort und für Athena-Aktionen vorhanden sind. Weitere Informationen zu Richtlinien, die entsprechende Athena- und Amazon-S3-Berechtigungen erlauben, finden Sie unter AWS verwaltete Richtlinien für Amazon Athena und Zugriff auf Amazon S3 von Athena kontrollieren.
-
AWS KMS— Wenn Sie die Verschlüsselung verwenden AWS KMS , müssen Athena-Benutzer zusätzlich zu den Athena- und Amazon S3 S3-Berechtigungen bestimmte AWS KMS Aktionen ausführen dürfen. Sie lassen diese Aktionen zu, indem Sie die Schlüsselrichtlinie für die vom Kunden verwalteten Schlüsseln bearbeiten, die zum Verschlüsseln von Daten in Amazon S3 verwendet werden. Um Schlüsselbenutzer zu den entsprechenden AWS KMS Schlüsselrichtlinien hinzuzufügen, können Sie die AWS KMS Konsole unter verwenden. https://console.aws.amazon.com/kms
Informationen zum Hinzufügen eines Benutzers zu einer AWS KMS Schlüsselrichtlinie finden Sie unter Erlaubt Schlüsselbenutzern die Verwendung des vom Kunden verwalteten Schlüssels im AWS Key Management Service Entwicklerhandbuch. Anmerkung
Erfahrene Schlüsselrichtlinien-Administratoren können die Schlüsselrichtlinien anpassen.
kms:Decryptist die minimal erlaubte Aktion für einen Athena-Benutzer, um mit einem verschlüsselten Datensatz arbeiten zu können. Zur Nutzung von verschlüsselten Abfrageergebnissen sind Berechtigungen für die Aktionenkms:GenerateDataKeyundkms:Decryptnotwendig.Wenn Sie Athena verwenden, um Datensätze in Amazon S3 mit einer großen Anzahl von Objekten abzufragen, die mit verschlüsselt sind AWS KMS, AWS KMS kann dies zu einer Drosselung der Abfrageergebnisse führen. Bei einer hohen Zahl kleiner Objekte ist dies noch wahrscheinlicher. Wiederholte Anforderungen werden von Athena unterbunden, dennoch kann ein Drosselungsfehler auftreten. Wenn Sie mit einer großen Anzahl verschlüsselter Objekte arbeiten und dieses Problem auftritt, besteht eine Möglichkeit darin, Amazon-S3-Bucket-Schlüssel zu aktivieren, um die Anzahl der Aufrufe an KMS zu reduzieren. Weitere Informationen finden Sie unter Reduzierung der Kosten SSE-KMS mit Amazon S3 S3-Bucket-Schlüsseln im Amazon Simple Storage Service-Benutzerhandbuch. Eine weitere Möglichkeit besteht darin, Ihre Servicekontingente für AWS KMS zu erhöhen. Weitere Informationen finden Sie unter Kontingente im AWS Key Management Service -Entwicklerhandbuch.
Informationen zur Fehlerbehebung bei Berechtigungen bei der Verwendung von Amazon S3 mit Athena finden Sie im Abschnitt Berechtigungen des Themas Beheben von Problemen in Athena.
Berechtigungen für verschlüsselte Metadaten in der AWS Glue Data Catalog
Wenn Sie Metadaten in verschlüsseln AWS Glue Data Catalog, müssen Sie den Richtlinien "kms:GenerateDataKey""kms:Decrypt", die Sie für den Zugriff auf Athena verwenden, "kms:Encrypt" Aktionen hinzufügen. Weitere Informationen finden Sie unter Konfigurieren Sie den Zugriff von Athena auf verschlüsselte Metadaten in AWS Glue Data Catalog.
