fbpx

Amazon Redshift Security

Compartilhar no facebook
Compartilhar no linkedin
Compartilhar no twitter
Compartilhar no whatsapp
Compartilhar no telegram

O Amazon Redshift é um serviço de data warehouse SQL em escala de petabytes que é executado em recursos de computação e armazenamento altamente otimizados e gerenciados da AWS.

O serviço foi arquitetado não apenas para aumentar ou diminuir rapidamente, mas também para melhorar significativamente as velocidades de consulta, mesmo em conjuntos de dados extremamente grandes.

Para aumentar o desempenho, o Amazon Redshift usa técnicas como armazenamento colunar, compactação de dados e mapas de zona para reduzir a quantidade de E / S necessária para executar consultas. Ele também possui uma arquitetura MPP (Massively Parallel Processing), paralelizando e distribuindo operações SQL para aproveitar todos os recursos disponíveis.

Acesso ao Cluster

Por padrão, os clusters que você cria são fechados para todos. O Amazon Redshift permite configurar regras de firewall (grupos de segurança) para controlar o acesso de rede ao cluster de data warehouse. Você também pode executar o Amazon Redshift dentro de um Amazon VPC para isolar o cluster de data warehouse em sua própria rede virtual e conectá-lo à sua infraestrutura de TI existente usando a VPN IPsec criptografada padrão do setor.

A conta da AWS que cria o cluster tem acesso total ao cluster. Na sua conta da AWS, você pode usar o AWS IAM para criar contas de usuário e gerenciar permissões para essas contas. Ao usar o IAM, você pode conceder permissão a diferentes usuários para executar apenas as operações de cluster necessárias para o trabalho delas.

Como todos os bancos de dados, você deve conceder permissão no Amazon Redshift no nível do banco de dados, além de conceder acesso no nível do recurso.

Os usuários do banco de dados são denominados contas de usuário que podem se conectar a um banco de dados e são autenticadas quando efetuam login no Amazon Redshift. No Amazon Redshift, você concede permissões de usuário de banco de dados por cluster, em vez de por tabela.

 

No entanto, os usuários podem ver dados apenas nas linhas da tabela que foram geradas por suas próprias atividades; linhas geradas por outros

os usuários não são visíveis para eles.

 

O usuário que cria um objeto de banco de dados é seu proprietário. Por padrão, apenas um superusuário ou o proprietário de um objeto pode consultar, modificar ou conceder permissões ao objeto. Para que os usuários usem um objeto, você deve conceder as permissões necessárias ao usuário ou ao grupo que contém o

do utilizador. Além disso, apenas o proprietário de um objeto pode modificá-lo ou excluí-lo.

 

Backups de dados

O Amazon Redshift distribui seus dados por todos os nós de computação em um cluster. Quando você executa um cluster com pelo menos dois nós de computação, os dados em cada nó sempre serão espelhados em discos em outro nó, reduzindo o risco de perda de dados.

Além disso, é feito backup contínuo de todos os dados gravados em um nó do cluster no Amazon S3 usando snapshots. O Amazon Redshift armazena seus snapshots por um período definido pelo usuário, que pode ser de 1 a 35 dias.

Você também pode tirar suas próprias capturas instantâneas a qualquer momento; esses snapshots aproveitam todos os snapshots do sistema existentes e são mantidos até que você os exclua explicitamente.

O Amazon Redshift monitora continuamente a integridade do cluster e replica automaticamente os dados de unidades com falha e substitui os nós conforme necessário. Tudo isso acontece sem nenhum esforço de sua parte, embora você possa observar uma ligeira degradação do desempenho durante o processo de replicação.

Você pode usar qualquer snapshot do sistema ou do usuário para restaurar seu cluster usando o AWS Management Console ou as APIs do Amazon Redshift.

Seu cluster estará disponível assim que os metadados do sistema forem restaurados e você poderá iniciar a execução de consultas enquanto os dados do usuário estão em spool.

 

Criptografia de Dados

Ao criar um cluster, você pode optar por criptografá-lo para fornecer proteção adicional aos seus dados em repouso. Quando você ativa a criptografia em seu cluster, o Amazon Redshift armazena todos os dados em tabelas criadas pelo usuário em um formato criptografado usando chaves de criptografia de bloco AES-256 aceleradas por hardware. Isso inclui todos os dados gravados no disco e todos os backups.

O Amazon Redshift usa uma arquitetura baseada em chave de quatro camadas para criptografia. Essas chaves consistem em chaves de criptografia de dados, uma chave de banco de dados, uma chave de cluster e uma chave mestra.

As chaves de criptografia de dados criptografam os blocos de dados no cluster. Cada bloco de dados recebe uma chave AES256 gerada aleatoriamente. Essas chaves são criptografadas usando a chave do banco de dados do cluster.

A chave do banco de dados criptografa as chaves de criptografia de dados no cluster. A chave do banco de dados é uma chave AES-256 gerada aleatoriamente. Ele é armazenado em disco em uma rede separada do cluster Amazon Redshift e criptografado por uma chave mestra. O Amazon Redshift passa a chave do banco de dados por um canal seguro e a mantém na memória no cluster.

A chave do cluster criptografa a chave do banco de dados do cluster Amazon Redshift. Você pode usar a AWS ou um HSM (Hardware Security Module) para armazenar a chave do cluster.

Os HSMs fornecem controle direto da geração e gerenciamento de chaves e tornam o gerenciamento de chaves separado e distinto do aplicativo e do banco de dados.

A chave mestra criptografa a chave do cluster se estiver armazenada na AWS. A chave mestra criptografa a chave de banco de dados criptografada pela chave do cluster se a chave do cluster estiver armazenada em um HSM.

Você pode fazer com que o Amazon Redshift gire as chaves de criptografia dos seus clusters criptografados a qualquer momento. Como parte do processo de rotação, as chaves também são atualizadas para todos os snapshots automáticos e manuais do cluster.

Observe que a ativação da criptografia em seu cluster afetará o desempenho, mesmo que seja acelerado por hardware.

A criptografia também se aplica aos backups. Quando você estiver restaurando a partir de um snapshot criptografado, o novo cluster também será criptografado.

Para criptografar sua tabela, carregue os arquivos de dados ao carregá-los no Amazon S3, você pode usar a criptografia no servidor do Amazon S3. Quando você carrega os dados do Amazon S3, o comando COPY descriptografa os dados à medida que carrega a tabela.

 

Log de auditoria de banco de dados

O Amazon Redshift registra todas as operações SQL, incluindo tentativas de conexão, consultas e alterações no seu banco de dados. Você pode acessar esses logs usando consultas SQL em tabelas do sistema ou optar por fazer o download para um bucket seguro do Amazon S3. Em seguida, você pode usar esses logs de auditoria para monitorar seu cluster para fins de segurança e solução de problemas.

 

Correção automática de software

O Amazon Redshift gerencia todo o trabalho de configurar, operar e dimensionar seu data warehouse, incluindo capacidade de provisionamento, monitoramento do cluster e aplicação de patches e atualizações no mecanismo Amazon Redshift. Os patches são aplicados apenas durante as janelas de manutenção especificadas.

 

Conexões SSL

Para proteger seus dados em trânsito na nuvem da AWS, Amazon Redshift usa SSL acelerado por hardware para se comunicar com o Amazon S3 ou o Amazon DynamoDB para operações de COPY, UNLOAD, backup e restauração. Você pode criptografar a conexão entre seu cliente e o cluster especificando SSL no grupo de parâmetros associado ao cluster.

Para que seus clientes também autentiquem o servidor Amazon Redshift, você pode instalar a chave pública (arquivo .pem) do certificado SSL em seu cliente e usar a chave para conectar-se aos seus clusters.

O Amazon Redshift oferece os conjuntos de cifras mais novos e mais fortes que usam o protocolo Elliptic Curve Diffie-Hellman Ephemeral (ECDHE). O ECDHE permite que os clientes SSL forneçam o Perfect Forward Secrecy entre o cliente e o cluster do Amazon Redshift.

O Perfect Forward Secrecy usa chaves de sessão efêmeras e não armazenadas em qualquer lugar, o que impede a decodificação de dados capturados por terceiros não autorizados, mesmo se a própria chave secreta de longo prazo estiver comprometida.

Você não precisa configurar nada no Amazon Redshift para ativar o ECDHE. Se você se conectar a partir de uma ferramenta de cliente SQL que usa ECDHE para criptografar a comunicação entre o cliente e o servidor, o Amazon Redshift usará a lista de criptografia fornecida para estabelecer a conexão apropriada.

Conteúdos relacionados

Fique informado

Assine para receber conteúdos exclusivos.