Cifrado de Amazon EBS y compartición de snapshots - Diseño entre cuentas y entre regiones

Presentamos de forma integral desde la habilitación del cifrado por defecto hasta la compartición de snapshots entre cuentas y el diseño de DR mediante copia entre regiones.

Unos 7 min de lecturaÚltima actualización: 2026-10-29

Cifrado por defecto de EBS

Al habilitar el cifrado por defecto de EBS en la configuración regional de la cuenta, todos los nuevos volúmenes EBS y snapshots creados en esa región se cifran automáticamente. No afecta a los volúmenes no cifrados existentes. La clave de cifrado puede ser una clave administrada por AWS (aws/ebs) o una clave administrada por el cliente (CMK). Al usar CMK, se puede controlar el acceso con políticas de clave y habilitar la rotación automática de claves. El impacto en el rendimiento del cifrado es insignificante, y en instancias basadas en Nitro, la sobrecarga del cifrado es prácticamente cero gracias a la aceleración por hardware.

Compartición de snapshots entre cuentas

Los snapshots de EBS se pueden compartir con otras cuentas AWS. Los snapshots no cifrados se pueden compartir simplemente especificando el ID de cuenta, pero compartir snapshots cifrados requiere configuración adicional. En la política de clave de la clave KMS utilizada para el cifrado, se otorgan permisos kms:DescribeKey, kms:CreateGrant y kms:Decrypt a la cuenta destino. Los snapshots cifrados con la clave administrada por AWS (aws/ebs) no se pueden compartir, por lo que si se planea compartir entre cuentas, se debe cifrar con CMK. Se recomienda que la cuenta destino re-cifre con su propia clave KMS al crear un volumen desde el snapshot.

Copia entre regiones y DR

La copia de snapshots entre regiones es un método básico de DR. Si habilita la copia entre regiones en una política de DLM, DLM ejecuta automáticamente la copia a la región de DR al mismo tiempo que crea el snapshot diario. También puede configurar por separado el número de generaciones que conserva en la región de destino, lo que permite optimizar costos, por ejemplo, conservando solo las tres generaciones más recientes en la región de DR. La función snapshot archive traslada los snapshots que conserva durante al menos 90 días a una capa de archivo de bajo costo y puede reducir los costos hasta un 75% en comparación con el almacenamiento estándar. La restauración desde el archivo tarda hasta 72 horas, por lo que conserve en la capa estándar los snapshots que necesitan recuperación inmediata.

Precios de snapshots EBS

Los snapshots de EBS son backups incrementales y solo guardan los bloques modificados. La tarifa de almacenamiento es de aproximadamente 0.05 USD al mes por GB (a fecha de agosto de 2026). La copia entre regiones genera, además de la tarifa de almacenamiento en la región de destino, un cargo por transferencia de datos entre regiones (aproximadamente 0.02 USD por GB). Automatice la creación y eliminación de snapshots con DLM (Data Lifecycle Manager) y gestione los costos de almacenamiento con períodos de retención adecuados. EBS Snapshots Archive cuesta aproximadamente 0.0125 USD al mes por GB y puede reducir en un 75% el costo de los snapshots que conserva durante al menos 90 días.

Mecanismo de cifrado y gestión de claves

El cifrado de EBS cifra de forma transparente los datos que guarda en el volumen y los snapshots que obtiene de él. El cifrado y el descifrado ocurren automáticamente en segundo plano, por lo que la aplicación no requiere ningún procesamiento especial. Gestione en KMS las claves que usa para el cifrado y controle con permisos quién puede descifrar con esas claves. Si habilita el cifrado por defecto en toda la cuenta, los volúmenes nuevos quedan cifrados automáticamente y puede evitar volúmenes sin cifrar. Diseñar adecuadamente la gestión de claves y el control de acceso es el núcleo de la protección de los datos almacenados.

Operación y ciclo de vida de los snapshots

Crear y gestionar snapshots a mano requiere trabajo, y es fácil olvidar crearlos o eliminarlos. Si usa un mecanismo que automatiza el ciclo de vida de los snapshots, puede ejecutar según reglas la creación periódica y la eliminación automática de los antiguos. Así, puede conservar un número determinado de generaciones de backup y evitar el aumento de costos por la acumulación de snapshots innecesarios. Si usa la función que acelera la restauración, puede evitar la caída inicial de rendimiento al crear un volumen a partir de un snapshot. Automatizar la creación, la retención y la eliminación, y preparar un sistema que permita restaurar con rapidez en caso de emergencia, contribuye a la estabilidad de la operación.

Precauciones de seguridad al compartir

Compartir snapshots con otras cuentas exige atención a la seguridad. Para compartir un snapshot cifrado, también necesita permitir a la otra parte el uso de la clave que lo cifró, así que decida con cuidado con quién lo comparte. Un snapshot cifrado no admite un estado público accesible para cualquiera, lo que evita filtraciones no deseadas de datos confidenciales. Al compartir, si la otra parte vuelve a cifrar el snapshot con su propia clave, puede separar la gestión de claves. Las operaciones de compartición quedan registradas y puede rastrearlas después. Reducir al mínimo el alcance de la compartición y gestionarlo incluidos los permisos de la clave es la condición para compartir de forma segura.

Integración en la estrategia de backup

Resulta eficaz situar los snapshots de EBS como parte de la estrategia de backup de toda la organización. Si usa un mecanismo que centraliza la gestión de backups, puede gestionar con una política común no solo los backups de EBS sino también los de otros servicios. Diseñe la frecuencia de creación y el período de retención a partir de objetivos: cuánta pérdida de datos puede tolerar y con qué rapidez necesita recuperar. Para la recuperación ante desastres, replique los snapshots en otra región u otra cuenta y prepárese también para fallos a escala de región. Un diseño de backup que parte de los objetivos, y no de decisiones caso por caso, sostiene una recuperación en la que puede confiar.

Resumen

El cifrado y la gestión de snapshots de EBS son la base de la protección de datos y DR. Se fuerza el cifrado de todos los volúmenes con cifrado por defecto y se controla el acceso con claves KMS. Se construye una estrategia de backup multi-cuenta y multirregión con compartición de snapshots entre cuentas y copia entre regiones, y se reduce el costo de almacenamiento a largo plazo hasta un 75% con EBS Snapshot Archive.

Referencias (recursos oficiales de AWS)

Las fuentes primarias de esta página son el sitio web y la documentación oficiales de AWS. Consulta las páginas oficiales siguientes para conocer las especificaciones y los precios más recientes.

Si esta página y la documentación oficial difieren, prevalece la documentación oficial.

Protección de VMs VMware on-premises con AWS Backup Gateway - Estrategia de backup híbridoDespliegue un gateway en su entorno vSphere y gestione centralizadamente los backups de VMs VMware on-premises con planes de backup de AWS Backup. También cubre la copia cross-region para recuperación ante desastres.Diseño y operación de volúmenes Amazon EBS - Criterios de selección gp3/io2 y estrategia de snapshotsClarificamos los criterios de selección de tipos de volumen gp3 e io2, y presentamos de forma práctica las directrices de diseño de IOPS y throughput, así como la estrategia de backup mediante snapshots.Cómo los snapshots incrementales de EBS permiten restauración completa - El mecanismo interno de gestión de diferencias a nivel de bloqueExplicamos el mecanismo por el cual los snapshots de EBS, siendo backups incrementales, pueden restaurar un volumen completo desde cualquier snapshot, desde la gestión de diferencias a nivel de bloque, la estructura de almacenamiento en S3 y el funcionamiento interno de la restauración rápida de snapshots.Almacenamiento de archivos compartido con Amazon EFS - Montaje desde Lambda, ECS y EC2 con directrices de diseñoClarificamos los criterios de selección de modos de rendimiento y throughput, y presentamos técnicas para optimizar costos mediante la migración automática a la capa IA con gestión de ciclo de vida.Sistemas de archivos gestionados con Amazon FSx - Diferenciación entre Lustre, Windows, ONTAP y OpenZFSOrganizamos las características y diferenciación de los 4 tipos Lustre, Windows, ONTAP y OpenZFS, y presentamos directrices para la integración con S3 y el diseño de rendimiento.Estrategia de archivado con Amazon S3 Glacier - Selección de la clase de almacenamiento y opciones de recuperaciónAclaramos los criterios para elegir entre Instant Retrieval / Flexible Retrieval / Deep Archive y presentamos la organización automática en niveles mediante políticas de ciclo de vida y el cumplimiento normativo con Vault Lock.Almacenamiento híbrido - Integración de on-premises y la nube con AWS Storage GatewayAprende sobre la integración de almacenamiento on-premises y en la nube con AWS Storage Gateway. Cubre los cuatro tipos de gateway - S3 File Gateway, FSx File Gateway, Volume Gateway y Tape Gateway - con casos de uso y patrones de despliegue.Optimización de costos de almacenamiento con S3 Intelligent-Tiering - Clasificación automática por niveles según patrones de accesoPresentamos el mecanismo que migra automáticamente los niveles de almacenamiento según los patrones de acceso, la diferenciación con las políticas de ciclo de vida y el aprovechamiento de los niveles de archivo.