¿Cómo mantengo el cifrado uniforme en todos los puntos de recuperación de mi almacén de AWS Backup?

Resolución

Se recomienda utilizar una única clave de AWS Key Management Service (AWS KMS) para mantener la coherencia del cifrado en todos los puntos de recuperación de AWS Backup.

Para configurar tus recursos de modo que usen la misma clave de AWS KMS que tu almacén de copias de seguridad, sigue estos pasos:

1. Abre la consola de AWS Backup.
2. En el panel de navegación, selecciona Almacenes.
3. En la sección Almacenes creados por esta cuenta, identifica tu almacén de copias de seguridad. A continuación, obtén la clave de cifrado de tu almacén en la columna ID de clave de cifrado de KMS.
4. Actualiza tu política de claves.
   Nota: Los roles de AWS Identity and Access Management (IAM) que utilizan tus recursos y AWS Backup deben tener permisos para usar la clave de AWS KMS.

Nota: Al configurar los recursos, asegúrate de especificar la clave de AWS KMS para ese recurso. Por ejemplo, si creas un volumen de Amazon Elastic Block Store (Amazon EBS), especifica la clave de AWS KMS para el nuevo volumen.

Para mantener la coherencia del cifrado de la copia de seguridad, separa los recursos según los que estén totalmente administrados y los que no estén totalmente administrados y, a continuación, crea diferentes almacenes para ellos. Los servicios totalmente administrados utilizan el cifrado del almacén y los servicios no totalmente administrados utilizan su propio cifrado.

Si debes usar diferentes claves de AWS KMS para diferentes recursos, crea almacenes de copias de seguridad independientes para cada clave de cifrado. O bien, puedes copiar la copia de seguridad en un almacén central que esté configurado para usar una clave administrada por el cliente. Debes crear el almacén central en la misma cuenta de AWS y región de AWS en las que se encuentra tu almacén.

Nota: No todos los servicios de AWS admiten el cifrado independiente para AWS Backup. Para los recursos que no lo admiten, AWS Backup mantiene la misma configuración de cifrado que el recurso de origen. Si realizas una copia de seguridad, AWS Backup descifra la copia de seguridad y vuelve a cifrarla con una clave administrada por el cliente en el almacén central. Puedes copiar entre cuentas con una copia de seguridad cifrada con una clave administrada por el cliente.

Información relacionada

Cifrado de copias de seguridad en AWS Backup

Protecting Amazon Relational Database Service (Amazon RDS) DB instances encrypted using AWS KMS managed key with cross-account and cross-Region backups (Protección de instancias de base de datos de Amazon Relational Database Service (Amazon RDS) cifradas con la clave administrada de AWS KMS con copias de seguridad entre cuentas y regiones)

Create and share encrypted backups across accounts and Regions using AWS Backup (Creación y uso compartido de copias de seguridad cifradas entre cuentas y regiones con AWS Backup)

Cómo funciona el cifrado en AWS Backup