Cómo Cifrar Correctamente Tu Base de Datos PostgreSQL en Amazon RDS Siguiendo la Política de Seguridad con AWS KMS

Pregunta

Una empresa tiene una instancia de base de datos de PostgreSQL en Amazon RDS que no está cifrada.

Según la política de seguridad, los datos en las instancias de RDS deben cifrarse en reposo con AWS KMS. ¿Qué opción es correcta para el cifrado RDS DB?

Respuestas

R. La instancia de base de datos de Amazon RDS para PostgreSQL solo se puede cifrar en el momento de la creación y no después de su creación. No hay manera de lograr este requisito.

B. Tome una instantánea de la instancia de base de datos sin cifrar. Copie la instantánea y cifre la nueva instantánea con AWS KMS. Restaure la instancia de base de datos con la nueva instantánea cifrada.

C. Tome una instantánea de la instancia de base de datos sin cifrar. El cifrado se puede habilitar restaurando una instancia de base de datos desde la instantánea sin cifrar.

D. Detenga la instancia de RDS existente y cifre la base de datos con una CMK de KMS.

Respuesta Correcta

A.BCD

Respuesta: B.

La opción A es incorrecta porque hay una forma de lograr el cifrado después que se proporciona en la opción.

B. La opción B es CORRECTA.

Puede habilitar el cifrado para una instancia de base de datos de RDS cuando la crea, pero no después de crearla.

Sin embargo, puede agregar cifrado a una instancia de base de datos sin cifrar creando una instantánea de su instancia de base de datos y luego creando una copia cifrada de esa instantánea.

Luego puede restaurar una instancia de base de datos desde la instantánea cifrada para obtener una copia cifrada de su instancia de base de datos original.

La opción C es incorrecta porque primero tenemos que copiar y cifrar la instantánea.

La opción D es incorrecta porque la instancia de base de datos sin cifrar que se ejecuta actualmente no se puede cifrar.

Referencias:

https://docs.aws.amazon.com/prescriptive-guidance/latest/patterns/encrypt-an-existing-amazon-rds-for-postgresql-db-instance.html

https://blog.theodo.com/2019/11/encrypt-existing-aws-rds-database/

https://aws.amazon.com/blogs/security/architecting-for-database-encryption-on-aws/