Wie aktiviere ich die Verschlüsselung für bestehende entschlüsselte Amazon Redshift-Cluster?

Kurzbeschreibung

Amazon Redshift erzwingt standardmäßig SSL-Verbindungen für Kunden, die eine Verbindung zu neu erstellten, bereitgestellten und wiederhergestellten Clustern herstellen. Diese Standardänderung gilt auch für serverlose Arbeitsgruppen.

Du kannst einen vorhandenen unverschlüsselten Amazon Redshift-Cluster so ändern, dass er die AWS Key Management Service (AWS KMS)-Verschlüsselung verwendet. Amazon Redshift Serverless ist standardmäßig verschlüsselt, aber du kannst den AWS-KMS-Schlüssel für einen Namespace ändern.

Hinweis: Die Hardware Security Module (HSM)-Verschlüsselung wird für DC2- und RA3-Knotentypen nicht unterstützt.

Lösung

Hinweis: Wenn du beim Ausführen von AWS Command Line Interface (AWS CLI)-Befehlen Fehlermeldungen erhältst, findest du weitere Informationen dazu unter Problembehandlung bei der AWS CLI. Stelle außerdem sicher, dass du die neueste Version der AWS CLI-Version verwendest.

Einen unverschlüsselten Amazon Redshift-Cluster ändern, um Verschlüsselung zu verwenden

Gehe wie folgt vor, um einen vorhandenen Amazon Redshift-Cluster so zu ändern, dass er Verschlüsselung verwendet:

1. Öffne die Amazon Redshift-Konsole.
2. Wähle im Navigationsbereich Cluster und wähle dann den Cluster, den du aktualisieren möchtest.
3. Wähle Eigenschaften.
4. Wähle für Datenbankkonfigurationen die Option Bearbeiten und dann Verschlüsselung bearbeiten.
5. Wähle AWS Key Management Service (AWS KMS) verwenden oder Ein Hardware-Sicherheitsmodul (HSM) verwenden. Weitere Informationen zu Verschlüsselungsoptionen findest du unter Amazon Redshift-Datenbankverschlüsselung.

Um einen vorhandenen Amazon Redshift-Cluster so zu ändern, dass er die AWS KMS-Verschlüsselung mit der AWS Command Line Interface (AWS CLI) verwendet, führe den folgenden Befehl modify-cluster aus:

> aws redshift modify-cluster --cluster-identifier <value> --encrypted --kms-key-id <value>

Wenn du nur verschlüsselt in den Befehl einbeziehst, wird der standardmäßige AWS-KMS-Schlüssel verwendet. Um einen vom Kunden verwalteten KMS-Schlüssel zu verwenden, beziehe **kms-key-id ** mit ein und ersetze Wert durch die vom Kunden verwaltete KMS-Schlüssel-ID.

Wenn der Cluster einen RA3-Knotentyp hat, erfolgt die Änderung der Amazon Redshift-Cluster-Verschlüsselung mit einer schnelleren klassischen Größenänderung. Für alle anderen Knotentypen führt Amazon Redshift die Verschlüsselungsänderung mit der klassischen Größenänderung durch.

Nachdem die Verschlüsselung aktiviert wurde, migriert Amazon Redshift die Daten automatisch auf einen neuen verschlüsselten Cluster mit derselben Cluster-ID. Während dieses Migrationsvorgangs ist der Cluster im schreibgeschützten Modus verfügbar, und der Clusterstatus wird als „Änderung der Größe“ angezeigt.

Die Dauer eines Größenänderungsvorgangs hängt von der Lese-Workload auf dem Quell-Cluster und der Tabellendefinition ab. Der Knotentyp, zu und von dem aus du skalierst, einschließlich der Berücksichtigung des Versatzes, wirkt sich auch auf die Dauer der Größenänderung aus.

AWS-KMS-Schlüssel für einen Namespace in Amazon Redshift Serverless ändern

Amazon Redshift Serverless ist standardmäßig verschlüsselt. Du kannst jedoch den AWS-KMS-Schlüssel für den Namespace ändern, sodass du die Sicherheitsrichtlinien der Organisation einhalten kannst. Wenn du den AWS-KMS-Schlüssel änderst, bleiben die Daten unverändert.

Du kannst nicht von einem vom Kunden verwalteten KMS-Schlüssel zu einem AWS-KMS-Schlüssel wechseln. Wenn du einen AWS-KMS-Schlüssel verwenden möchtest, nachdem du einen vom Kunden verwalteten KMS-Schlüssel erstellt hast, musst du einen neuen Namespace erstellen. Du kannst auch keine anderen Aktionen ausführen, während sich der Schlüssel ändert. Die Zeit, die benötigt wird, um den Schlüssel zu ändern, hängt von der Datenmenge in Amazon Redshift Serverless ab. Normalerweise dauert es 15 Minuten für jeweils 8 TB an gespeicherten Daten.

Gehe wie folgt vor, um den AWS-KMS-Schlüssel für den Namespace zu ändern:

1. Öffne die Amazon Redshift-Konsole.
2. Wähle im Navigationsbereich Namespace-Konfiguration und wähle dann den Namespace aus der Liste.
3. Wähle auf der Registerkarte Sicherheit und Verschlüsselung die Option Bearbeiten.
4. Wähle Verschlüsselungseinstellungen anpassen und wähle dann einen Schlüssel für den Namespace oder erstelle einen neuen Schlüssel.

Um den AWS-KMS-Schlüssel für den Namespace mit der AWS-CLI zu ändern, führe den folgenden Befehl update-namespace aus:

aws redshift-serverless update
-namespace--namespace-name
[--kms-key-id <id-of-kms-key>]
// other parameters omitted here

Hinweis: Wenn du keinen Namespace erstellt hast, schlägt der AWS-CLI-Befehl fehl.