¿Cómo activo el cifrado para los clústeres de Amazon Redshift descifrados existentes?

Descripción corta

Amazon Redshift aplica las conexiones SSL de forma predeterminada para los clientes que se conectan a clústeres aprovisionados y restaurados recién creados. Este cambio predeterminado también se aplica a los grupos de trabajo sin servidor.

Puedes modificar un clúster sin cifrar de Amazon Redshift existente para usar el cifrado de AWS Key Management Service (AWS KMS). Amazon Redshift sin servidor está cifrado de forma predeterminada, pero puedes cambiar la clave de AWS KMS para un espacio de nombres.

Nota: El cifrado del módulo de seguridad de hardware (HSM) no es compatible con los tipos de nodos DC2 y RA3.

Resolución

Nota: Si se muestran errores al ejecutar comandos de la Interfaz de la línea de comandos de AWS (AWS CLI), consulta Solución de problemas de AWS CLI. Además, asegúrate de utilizar la versión más reciente de la AWS CLI.

Modificación de un clúster de Amazon Redshift sin cifrar para usar el cifrado

Para modificar un clúster de Amazon Redshift existente para que utilice el cifrado, sigue estos pasos:

1. Abre la consola de Amazon Redshift.
2. En el panel de navegación, elige Clústeres y, a continuación, selecciona el clúster que desees cifrar.
3. Selecciona Propiedades.
4. En Configuraciones de bases de datos, elige Editar y, a continuación, elige Editar cifrado.
5. Elige Usar AWS Key Management Service (AWS KMS) o Usar un módulo de seguridad de hardware (HSM). Para obtener más información sobre las opciones de cifrado, consulta Cifrado de bases de datos de Amazon Redshift.

Para modificar un clúster de Amazon Redshift existente para usar el cifrado de AWS KMS con la interfaz de la línea de comandos de AWS (AWS CLI), ejecuta el siguiente comando modify-cluster:

> aws redshift modify-cluster --cluster-identifier <value> --encrypted --kms-key-id <value>

Si incluyes solo el cifrado en el comando, se utiliza la clave predeterminada de AWS KMS. Para usar una clave de KMS administrada por el cliente, incluye el kms-key-id y sustituye value por el ID de clave de KMS administrada por el cliente.

Si el clúster tiene un tipo de nodo RA3, el cambio de cifrado del clúster de Amazon Redshift se realiza con un cambio de tamaño clásico más rápido. Para todos los demás tipos de nodos, Amazon Redshift realiza el cambio de cifrado con el cambio de tamaño clásico.

Una vez activado el cifrado, Amazon Redshift migra automáticamente los datos a un nuevo clúster cifrado con el mismo identificador de clúster. Durante esta operación de migración, el clúster está disponible en modo de solo lectura y el estado del clúster aparece como «Cambio de tamaño».

La duración de una operación de cambio de tamaño varía según la carga de trabajo de lectura en el clúster de origen y la definición de la tabla. El tipo de nodo hacia y desde el que estás escalando, incluidas las consideraciones de sesgo, también afecta a la duración del cambio de tamaño.

Cambio de la clave de AWS KMS para un espacio de nombres en Amazon Redshift sin servidor

Amazon Redshift sin servidor está cifrado de forma predeterminada. Sin embargo, puedes modificar la clave de AWS KMS del espacio de nombres para cumplir con las políticas de seguridad de tu organización. Al cambiar la clave de AWS KMS, los datos permanecen sin cambios.

No puedes cambiar de una clave de KMS administrada por el cliente a una clave de AWS KMS. Si deseas usar una clave de AWS KMS después de crear una clave de KMS administrada por el cliente, debes crear un nuevo espacio de nombres. Tampoco puedes realizar otras acciones mientras cambia la clave. El tiempo necesario para cambiar la clave depende de la cantidad de datos de Amazon Redshift sin servidor. Por lo general, se tardan 15 minutos por cada 8 TB de datos almacenados.

Para cambiar la clave de AWS KMS para el espacio de nombres, sigue estos pasos:

1. Abre la consola de Amazon Redshift.
2. En el panel de navegación, elige Configuración del espacio de nombres y, a continuación, elige tu espacio de nombres de la lista.
3. En la pestaña Seguridad y cifrado, selecciona Editar.
4. Elige Personalizar la configuración de cifrado y, a continuación, elige una clave para el espacio de nombres o crea una clave nueva.

Para cambiar la clave de AWS KMS para el espacio de nombres con la AWS CLI, ejecuta el siguiente comando update-namespace:

aws redshift-serverless update
-namespace--namespace-name
[--kms-key-id <id-of-kms-key>]
// other parameters omitted here

Nota: Si no has creado un espacio de nombres, el comando de la AWS CLI produce un error.