Cifrado de datos en tránsito
AWS ofrece cifrado de seguridad de la capa de transporte (TLS) para los datos en movimiento. Puede establecer la configuración de cifrado para rastreadores, trabajos de ETL y puntos de enlace de desarrollo mediante configuraciones de seguridad en AWS Glue. Puede habilitar el cifrado AWS Glue Data Catalog a través de la configuración del Catálogo de datos.
A partir del 4 de septiembre de 2018, se admite AWS KMS (traiga su propia clave y cifrado del lado del servidor) para ETL de AWS Glue y AWS Glue Data Catalog.
Cifrado en tránsito de Spark Connect
Cuando utiliza Spark Connect con sesiones interactivas de AWS Glue, todas las comunicaciones entre su aplicación cliente y el punto de conexión de Spark Connect se cifran mediante TLS 1.3. La ruta de datos de Spark Connect utiliza gRPC sobre HTTP/2, y todo el tráfico se cifra de extremo a extremo en los siguientes saltos:
-
Del cliente al punto de conexión: su cliente de Spark Connect (pyspark o spark-connect-go) se conecta al punto de conexión de la sesión a través de un gRPC cifrado con TLS (HTTP/2). El punto de conexión finaliza el TLS mediante un Equilibrador de carga de aplicación con una política de seguridad de TLS 1.3.
-
Del proxy al cómputo: el tráfico interno entre el proxy inverso y el servidor Spark Connect que se ejecuta en el proceso de trabajo de la sesión se cifra mediante TLS a través de una conexión de puerta de enlace de tránsito.
Las sesiones de Spark Connect utilizan tokens portadores de corta duración para solicitar la autenticación. Estos tokens se cifran mediante el AES-256-GCM con claves de datos de AWS KMS y tienen un tiempo de vida de 5 minutos. La API GetSessionEndpoint devuelve los tokens y debe incluirlos en cada solicitud de gRPC al punto de conexión de Spark Connect.
Los datos del cliente (consultas de Spark, DataFrames y resultados) fluyen en tránsito únicamente a través de la cadena de proxy y no se conservan en la infraestructura de proxy. El almacenamiento en reposo de los datos de sesión en los volúmenes del proceso de trabajo utiliza el cifrado predeterminado de Amazon EBS.