Cifrado de Amazon EBS y compartición de snapshots - Diseño entre cuentas y entre regiones
Presentamos de forma integral desde la habilitación del cifrado por defecto hasta la compartición de snapshots entre cuentas y el diseño de DR mediante copia entre regiones.
Cifrado por defecto de EBS
Al habilitar el cifrado por defecto de EBS en la configuración regional de la cuenta, todos los nuevos volúmenes EBS y snapshots creados en esa región se cifran automáticamente. No afecta a los volúmenes no cifrados existentes. La clave de cifrado puede ser una clave administrada por AWS (aws/ebs) o una clave administrada por el cliente (CMK). Al usar CMK, se puede controlar el acceso con políticas de clave y habilitar la rotación automática de claves. El impacto en el rendimiento del cifrado es insignificante, y en instancias basadas en Nitro, la sobrecarga del cifrado es prácticamente cero gracias a la aceleración por hardware.
Compartición de snapshots entre cuentas
Los snapshots de EBS se pueden compartir con otras cuentas AWS. Los snapshots no cifrados se pueden compartir simplemente especificando el ID de cuenta, pero compartir snapshots cifrados requiere configuración adicional. En la política de clave de la clave KMS utilizada para el cifrado, se otorgan permisos kms:DescribeKey, kms:CreateGrant y kms:Decrypt a la cuenta destino. Los snapshots cifrados con la clave administrada por AWS (aws/ebs) no se pueden compartir, por lo que si se planea compartir entre cuentas, se debe cifrar con CMK. Se recomienda que la cuenta destino re-cifre con su propia clave KMS al crear un volumen desde el snapshot.
Copia entre regiones y DR
La copia de snapshots entre regiones es un método básico de DR. Al habilitar la copia entre regiones en la política DLM, la copia a la región de DR se ejecuta automáticamente junto con la creación del snapshot diario. El número de generaciones retenidas en la región destino también se puede configurar individualmente, permitiendo optimización de costos como retener solo las últimas 3 generaciones en la región de DR. EBS Snapshots Archive es una función que migra snapshots retenidos por más de 90 días a una capa de archivo de bajo costo, con una reducción de costos de hasta 75% comparado con el almacenamiento estándar. La restauración desde archivo puede tomar hasta 72 horas, por lo que los snapshots que requieren recuperación inmediata se mantienen en la capa estándar. Si desea ampliar sus conocimientos en diseño de almacenamiento, también puede consultar libros especializados en Amazon.
Precios de snapshots EBS
Los snapshots de EBS son backups incrementales que solo almacenan los bloques modificados. El precio de almacenamiento es aproximadamente 0.05 dólares mensuales por GB. La copia entre regiones genera, además del precio de almacenamiento en la región destino, un cargo de transferencia de datos entre regiones (aproximadamente 0.02 dólares por GB). Se gestionan los costos de almacenamiento automatizando la creación y eliminación de snapshots con DLM (Data Lifecycle Manager) y configurando períodos de retención apropiados. EBS Snapshots Archive cuesta aproximadamente 0.0125 dólares mensuales por GB, reduciendo en 75% el costo de snapshots retenidos por más de 90 días.
Resumen
El cifrado y la gestión de snapshots de EBS son la base de la protección de datos y DR. Se fuerza el cifrado de todos los volúmenes con cifrado por defecto y se controla el acceso con claves KMS. Se construye una estrategia de backup multi-cuenta y multirregión con compartición de snapshots entre cuentas y copia entre regiones, y se reduce el costo de almacenamiento a largo plazo hasta un 75% con EBS Snapshot Archive.