¿Cómo uso AWS KMS para cifrar los datos de registro en Registros de CloudWatch?

Descripción corta

De forma predeterminada, Registros de CloudWatch usa claves de cifrado en el servidor para cifrar los datos de los grupos de registro. Para controlar el cifrado de datos de registro o cumplir su política de seguridad, también puede usar claves administradas por el cliente en AWS KMS.

Nota: Al usar el cifrado de AWS KMS, es posible que incurra en un aumento de los costes.

Resolución

Nota: Si se muestran errores al ejecutar comandos de la Interfaz de la línea de comandos de AWS (AWS CLI), consulte Solución de problemas de AWS CLI. Además, asegúrese de utilizar la versión más reciente de la AWS CLI.

Puede usar una clave administrada por el cliente existente para cifrar los datos de registro de un grupo de registro. Si no tiene una clave administrada por el cliente, cree una clave antes de empezar.

Importante: Solo puede usar claves simétricas de AWS KMS en Registros de CloudWatch. No utilice claves asimétricas.

Concesión a Registros de CloudWatch de los permisos necesarios para acceder a la clave de AWS KMS

Para conceder permisos a Registros de CloudWatch para acceder a la clave de AWS KMS, cambie la política de claves. Asegúrese de que la entidad principal del servicio Registros de CloudWatch y el rol de la persona que llama tengan los permisos necesarios para usar la clave.

Asociación de una clave de AWS KMS a un grupo de registro

Puede asociar una clave de AWS KMS durante o después de la creación. La clave tarda hasta 5 minutos en asociarse en el momento del cifrado.

Asociación de una clave de AWS KMS durante la creación de la clave

Siga estos pasos:

1. Abra la consola de CloudWatch.
2. En el panel de navegación, seleccione Grupos de registro.
3. Seleccione Crear grupo de registro.
4. Introduzca un nombre y el ARN de la clave de AWS KMS para el grupo de registro.
5. Seleccione Crear.

O bien, ejecute el siguiente comando create-log-group de la AWS CLI:

aws logs create-log-group --log-group-name example-log-group --kms-key-id example-key-arn

Nota: Sustituya example-log-group por el nombre del grupo de registro y example-key-arn por el ID de la clave de AWS KMS.

Asociación de una clave de AWS KMS después de la creación de la clave

Nota: No puede usar la consola de CloudWatch para asociar una clave de AWS KMS a un grupo de registro existente.

Para asociar una clave de AWS KMS después de crearla, ejecute el siguiente comando associate-kms-key:

aws logs associate-kms-key --log-group-name example-log-group --kms-key-id example-key-arn

Nota: Sustituya example-log-group por el nombre del grupo de registro y example-key-arn por el ID de la clave de AWS KMS.

También puede desasociar una clave de AWS KMS de un grupo de registro. Tras desasociar o cambiar una clave de AWS KMS, Registros de CloudWatch puede descifrar y devolver los datos de registro. Sin embargo, si desactiva una clave de AWS KMS, Registros de CloudWatch no podrá leer los registros que ha cifrado con la clave.

Información relacionada

Cifrado de datos de registro en Registros de CloudWatch con AWS Key Management Service

Protección de datos en Registros de Amazon CloudWatch