Simple Log Service:Cifrado de datos

Requisitos previos

Key Management Service (KMS) debe estar activado. Para obtener más información, consulte Purchase a Dedicated KMS instance.

Mecanismos de cifrado de datos

Simple Log Service es compatible con los siguientes dos mecanismos de cifrado.

Cifrado con una clave de servicio

Características:

• Simplicidad: no requiere configuración adicional. Simple Log Service gestiona el cifrado y la administración de claves, lo que reduce la carga operativa.

• Aislamiento de claves: se genera una clave de cifrado de datos única para cada logstore con el fin de mejorar la seguridad de los datos.

• Durabilidad: estas claves de cifrado de datos nunca caducan, lo que garantiza estabilidad a largo plazo.

• Algoritmos de cifrado compatibles: AES (predeterminado) y SM4.

Casos de uso:

• Desea implementar rápidamente el cifrado de datos sin gestionar las claves por su cuenta.

• No tiene requisitos específicos de gestión de claves y prefiere que el proveedor del servicio las administre.

• Necesita garantizar la validez y estabilidad a largo plazo de sus claves de cifrado de datos.

Usuarios objetivo:

Pequeñas empresas o usuarios individuales que buscan un cifrado de registros sencillo y seguro, sin tener que encargarse de tareas complejas de gestión de claves.

Cifrado con Bring Your Own Key (BYOK)

Características:

• Control total: usted gestiona todo el ciclo de vida de sus claves, incluida la creación, rotación y eliminación.

• Flexibilidad: puede actualizar o rotar las claves fácilmente según sea necesario para mejorar la seguridad y la flexibilidad.

• Gestión proactiva: debe crear y gestionar una clave maestra del cliente (CMK) en la consola de KMS, además de otorgar los permisos necesarios.

Casos de uso:

• Su organización tiene requisitos estrictos de seguridad y cumplimiento que exigen claves de cifrado autogestionadas.

• Desea gestionar y rotar proactivamente las claves de cifrado para cumplir con estándares de seguridad más altos.

• Requiere la capacidad de rotar o eliminar rápidamente una clave para proteger sus datos si esta se ve comprometida o surgen otros riesgos de seguridad.

Usuarios objetivo:

Grandes empresas o instituciones financieras con requisitos estrictos de protección de datos y cumplimiento normativo. Estas organizaciones necesitan implementar sus propias políticas de gestión de claves y cuentan con equipos dedicados para administrarlas.

Limitaciones

Una vez que seleccione un mecanismo de cifrado, no podrá cambiarlo ni modificar el algoritmo o tipo de cifrado. Solo puede usar el parámetro enable para habilitar o deshabilitar la función de cifrado. Cuando actualice el logstore, deberá incluir el parámetro encrypt_conf completo en cada solicitud.

Por ejemplo, si primero elige cifrar los datos mediante una clave de servicio, no podrá cambiar después al método Bring Your Own Key (BYOK).

Cifrar datos con una clave de servicio

Para configurar el cifrado de datos, incluya el parámetro encrypt_conf cuando llame a la API CreateLogStore o UpdateLogStore.

La estructura de datos del campo encrypt_conf se describe en la siguiente tabla. El campo user_cmk_info no es obligatorio.

Cifrar datos con BYOK

Requisitos previos

Key Management Service (KMS) debe estar activado. Para obtener más información, consulte Purchase a Dedicated KMS instance.

Paso 2: Configurar el cifrado de datos

encrypt_conf = {
    "enable" : true,                 # Specifies whether to enable encryption.
    "encrypt_type" : "default",      # The encryption algorithm. Supported values: default, m4, sm4_ecb, sm4_cbc, sm4_gcm, aes_ecb, aes_cbc, aes_cfb, aes_ofb, and aes_gcm.
    "user_cmk_info" :                # Optional. If you specify this parameter, BYOK is used. Otherwise, a service key is used.
    {
          "cmk_key_id" : "",         # The ID of the CMK for BYOK. Example: f5136b95-2420-ab31-xxxxxxxxx.
          "arn" :  "",               # The ARN of the RAM role that you created in Step 1.
          "region_id" : ""           # The region ID where the CMK is located.
    }
}

Documentos relacionados

Para obtener más información, consulte las siguientes operaciones de API:

• CreateLogStore

• UpdateLogStore

• GetLogStore