Cifrado del lado del servidor con KMS en AWS

Contenido del curso

Bienvenida e Introducción

Almacenamiento de objetos en AWS (S3)

Clases de storage en S3

Seguridad en S3.

Storage Gateway

Sistema de archivos elástico (EFS)

Sistema de archivo por bloques (EBS)

Conclusiones

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:003:25

Cifrado del lado del servidor con KMS en AWS

Curso Práctico de Storage en AWS

Clase 18 de 37

Clase 18 / 37

Recursos

¿Qué es la encriptación del lado del servidor utilizando KMS?

La encriptación del lado del servidor utilizando KMS (Key Management Service) es una forma avanzada de proteger la información almacenada en la nube de AWS. Este sistema no solo cifra los datos, sino que también permite un control más detallado sobre quién tiene acceso a las llaves de cifrado y cómo se gestionan. Es un método esencial para cualquier empresa que busque reforzar la seguridad de sus datos en la nube.

¿Cómo funciona el Key Management Service?

KMS opera en base a algunos principios fundamentales:

Creación y almacenamiento de llaves: Uno de los pasos iniciales con KMS es la creación de las llaves de cifrado. Aunque tú creas estas llaves, Amazon se encarga de almacenarlas de forma segura.
Control de acceso: Al crear una llave, puedes especificar qué usuarios o roles pueden administrarla y utilizarla. Esto se realiza a través de la consola IAM (Identity and Access Management) de AWS.
Características clave:
- Quién puede administrar las llaves (usuarios o roles).
- Quién puede usar las llaves (usuarios o roles).

¿Qué ventajas ofrece KMS en términos de seguridad?

KMS añade un nivel adicional de seguridad gracias a su robusta capacidad de integración y auditoría:

Integración con CloudTrail: Las llaves de KMS están integradas con CloudTrail para registrar y monitorear quién intenta usarlas y en qué momentos. Esto proporciona un registro de auditoría invaluable para la trazabilidad del uso de las llaves.
Responsabilidad de la rotación: A diferencia de otros métodos, aquí, Amazon no gestiona la rotación de las llaves. Es responsabilidad del usuario rotarlas, lo que ofrece un mayor control pero también implica una mayor responsabilidad.

¿Cuáles son los usos comunes de KMS en la infraestructura de AWS?

KMS es altamente versátil y se utiliza en múltiples escenarios de AWS:

Ambientes de desarrollo: Cuando se trabaja con diferentes ambientes como desarrollo, staging y producción, es común crear una llave diferente por ambiente. Esto asegura que cada entorno tenga su propia capa de seguridad.
Integración con otros servicios: Servicios como Lambda también utilizan llaves KMS para encriptar variables de entorno, lo cual es crucial para mantener la seguridad de las aplicaciones.
Objetos en S3: KMS permite encriptar objetos en Amazon S3, ofreciendo así una protección integral de los datos en uno de los servicios de almacenamiento más utilizados de AWS.

¿Por qué optar por KMS?

La razón principal para elegir KMS es el control total sobre las llaves de cifrado, tanto a nivel de permisos como de auditoría. KMS ofrece integración con una amplia gama de servicios de AWS, lo que lo hace especialmente atractivo para quienes gestionan una infraestructura compleja. A través de KMS, puedes tener certeza sobre quién accede a tus llaves, cuándo y para qué fin, maximizando así la seguridad y el cumplimiento normativo.

Mario Alexander Vargas Celis

Hace 2 años

🔐 Encriptación en S3 con Llaves Almacenadas en AWS y Creadas por el Usuario (SSE-KMS)

AWS ofrece diferentes opciones para cifrar objetos almacenados en Amazon S3. Una de las más seguras y flexibles es SSE-KMS (Server-Side Encryption con AWS Key Management Service).

🛡️ ¿Qué es SSE-KMS?

SSE-KMS (Server-Side Encryption con AWS Key Management Service) es una opción donde tú creas y gestionas las claves de cifrado utilizando AWS KMS (Key Management Service).

✅ Mayor control sobre las claves de cifrado ✅ Monitorización de accesos y uso de claves con AWS CloudTrail ✅ Cumple con requisitos de seguridad y cumplimiento normativo ✅ Opcionalmente, puedes rotar claves de forma automática

⚙️ ¿Cómo funciona?

Creas una clave en AWS KMS o usas una existente.
S3 cifra los objetos con la clave KMS cuando los subes.
Al descargar el objeto, AWS KMS valida los permisos y lo desencripta automáticamente.

📝 ¿Cómo habilitar SSE-KMS?

📌 Opción 1: Desde la Consola de AWS

Ir a AWS KMS y crear una Customer Managed Key (CMK).
Ir a Amazon S3 y seleccionar el bucket donde deseas habilitar la encriptación.
Ir a la pestaña "Propiedades" → "Cifrado predeterminado".
Seleccionar "Cifrado del lado del servidor con claves de AWS KMS (SSE-KMS)".
Elegir la clave KMS creada previamente.
Guardar los cambios.

📌 Opción 2: Con AWS CLI

aws s3 cp archivo.txt s3://mi-bucket --sse aws:kms --sse-kms-key-id arn:aws:kms:region:account-id:key/key-id

🔹 Nota: Debes reemplazar region, account-id y key-id con los valores correctos.

📌 Opción 3: Con AWS SDK (Python - Boto3)

import boto3

s3 = boto3.client('s3')

s3.put_object( Bucket='mi-bucket', Key='archivo.txt', Body=open('archivo.txt', 'rb'), ServerSideEncryption='aws:kms', SSEKMSKeyId='arn:aws:kms:region:account-id:key/key-id' )

🔹 Nota: Asegúrate de que la clave KMS tenga los permisos adecuados para su uso.

🎯 ¿Cuándo usar SSE-KMS?

✔️ Cuando necesitas más control sobre las claves de cifrado. ✔️ Para auditar accesos a través de AWS CloudTrail. ✔️ Para cumplir regulaciones que requieren una gestión avanzada de claves. ✔️ Cuando necesitas rotación automática de claves.

📌 Nota: SSE-KMS tiene un costo adicional por el uso de AWS KMS.

🚀 Conclusión

SSE-KMS te ofrece una mayor seguridad y control sobre la encriptación en S3, permitiéndote auditar accesos y gestionar claves de manera personalizada. Es ideal para empresas y proyectos que requieren altos estándares de seguridad y cumplimiento.

Bienvenida e Introducción

Opciones de Almacenamiento en AWS: Características y Casos de Uso

Diseño e Implementación de Arquitectura de Almacenamiento en AWS

Almacenamiento de objetos en AWS (S3)

Almacenamiento y Gestión de Objetos en AWS S3

Versionamiento de Archivos en S3: Control y Recuperación de Datos

Configuración de Sitios Web Estáticos en Amazon S3 y Route 53

Registro de Actividades en S3 con Integración a CloudTrail y CloudWatch

Transferencia Acelerada en AWS S3: Activación y Casos de Uso

Configuración y Uso de Eventos en S3 para Notificaciones y Monitoreo

Replicación de Objetos en S3 entre Regiones de AWS

Clases de storage en S3

Clases de Almacenamiento en Amazon S3: S3 Estándar y S3 IA

Uso eficiente de S3-IA para almacenamiento poco frecuente

Almacenamiento S3IA Única Zona: Uso y Consideraciones

Almacenamiento y Recuperación de Datos Históricos con Amazon Glacier

Gestión de Ciclo de Vida en Amazon S3 para Optimizar Costos y Almacenamiento

Estrategias de Migración de Datos a AWS S3

Casos de Uso Avanzados de S3 en AWS

Seguridad en S3.

Cifrado del Lado del Servidor en Amazon S3: Seguridad de Datos

Cifrado del lado del servidor con KMS en AWS

Encriptación en S3 con Llaves Propias del Usuario

Creación y uso de llaves KMS en AWS S3

Políticas de Seguridad en AWS S3: Control de Acceso y Permisos

Políticas de Seguridad en Amazon S3: Ejemplos y Configuración

Listas de Control de Acceso (ACLs) en Amazon S3: Seguridad y Configuración

Storage Gateway

Conexión Híbrida: Integración On-Premise con AWS Storage Gateway

Uso de File Gateway para Migración de Datos a AWS S3

Implementación de Virtual Tape Library en Amazon Glacier

Volume Gateway: Gestión de Volúmenes en la Nube y On-Premise

Sistema de archivos elástico (EFS)

Elastic File System (EFS) en AWS: Uso, Configuración y Beneficios

Casos de uso de EFS en arquitecturas escalables en AWS

Sistema de archivo por bloques (EBS)

Elastic Block Storage (EBS) en AWS: Uso y Características Clave

Tipos de EBS: GP2 y IO1 y sus usos recomendados

Tipos de Volúmenes EBS y sus Casos de Uso Específicos

Gestión de Snapshots y AMIs en AWS EBS

Creación y Gestión de Volúmenes EBS en Instancia Windows AWS

Creación y Gestión de Volúmenes EBS en Instancias Linux

Conclusiones

Tipos de Almacenamiento en AWS: S3, EBS y EFS

Opciones de Almacenamiento en AWS: S3, EBS, EFS y Seguridad

Cifrado del lado del servidor con KMS en AWS