Seguridad

Proporcione acceso seguro a los usuarios, mediante los métodos de autenticación y autorización de su elección, incluida la compatibilidad nativa con SAML, AWS Cognito, AWS IAM y más. Para obtener más información, consulte Uso de SAML con paneles y Administración de acceso e identidades.

Proteja los datos de los atacantes al habilitar el cifrado de datos en disco, archivos de registro e instantáneas automatizadas mediante las claves AES-256 de grado militar de AWS Key Management Service (KMS). Cifre los datos en tránsito entre nodos mediante el uso de TLS 1.2.

Utilice una o más características de control de acceso, como el control de acceso detallado o las políticas de AWS IAM, para proporcionar a los usuarios una forma controlada y predecible de consultar datos empresariales y monitorear la configuración de clústeres.

Proteja el perímetro de su dominio mediante el uso de políticas de identidad y recursos de AWS para asociar identidades y recursos a acciones específicas de permitir/denegar. Cree redes aisladas de forma lógica con una nube virtual privada (VPC) de Amazon y grupos de seguridad de la VPC de Amazon para permitir el tráfico solo desde entidades conocidas.

Monitoree los cambios de configuración en su dominio, realice un seguimiento de la actividad de los usuarios y audite las solicitudes de datos, incluidos los atributos de conexión detallados. Utilice el registro de AWS CloudTrail y los registros de auditoría de OpenSearch para monitorear el uso de las API de configuración y las solicitudes para sus datos.

Proteja sus datos de las vulnerabilidades de seguridad. Para minimizar la necesidad de actualizaciones de versión, OpenSearch Service proporciona actualizaciones y revisiones de seguridad compatibles con versiones anteriores para todas las versiones admitidas de OpenSearch y Elasticsearch.

Asegure el acceso a los datos confidenciales mediante controles de seguridad avanzados. Utilice la seguridad a nivel de campo, documento o índice para limitar el acceso a índices, documentos o campos específicos.

Comuníquese de forma segura con su dominio de OpenSearch mediante el uso de solicitudes firmadas Sigv4 enviadas con los SDK de AWS o la interfaz de la línea de comandos (CLI) de AWS.

Alcance los estrictos requisitos de conformidad y gobernanza de su organización. Amazon OpenSearch Service forma parte de varios programas de conformidad con estándares de la industria, incluidos HIPAA, FedRAMP, DoD CC SRG, SOC, PCI, ISO, CSA STAR y FIPS 140-2.

Recopile registros de distintas fuentes con diferentes formatos, normalice y compare los datos de los registros de seguridad.

Amazon OpenSearch Service ofrece múltiples características de seguridad y cumple los requisitos de la HIPAA y de los estándares PCI DSS, SOC, ISO y FedRamp, de modo que puede cumplir todos sus requisitos de seguridad y conformidad. El acceso a las API de administración de Amazon OpenSearch Service para llevar a cabo operaciones como crear y escalar dominios está controlado mediante políticas de AWS Identity and Access Management (IAM).

Los dominios de Amazon OpenSearch Service pueden configurarse para ser accesibles mediante un punto de conexión dentro de su VPC o a través de un punto de conexión disponible en Internet. El acceso a redes de los puntos de enlace de la VPC está controlado mediante grupos de seguridad; en el caso de los puntos de enlace públicos, se puede conceder o limitar por dirección IP.

Además del control de acceso basado en redes, Amazon OpenSearch Service ofrece autenticación de usuario a través de IAM y autenticación básica mediante nombre de usuario y contraseña. Se puede conceder autorización a nivel de dominio (a través de políticas de acceso al dominio) además de a nivel de índice, documento y campo (mediante la característica de control de acceso detallado con tecnología de OpenSearch). Además, la característica de control de acceso detallado amplía OpenSearch Dashboards y Kibana con visualizaciones de solo lectura y compatibilidad multiusuario segura.

Amazon OpenSearch Service también admite la integración con Amazon Cognito para permitir a sus usuarios finales iniciar sesión en OpenSearch Dashboards y Kibana a través de proveedores de identidades empresariales, como Microsoft Active Directory, mediante SAML 2.0, grupos de usuarios de Amazon Cognito, etc. Una vez iniciada la sesión, Amazon Cognito establece una sesión mediante la IAM principal correspondiente, que brinda acceso al dominio de Amazon OpenSearch Service. Estos agentes principales de IAM estarán disponibles en ese momento para utilizarlos con la característica de control de acceso detallado de OpenSearch.

La seguridad de Amazon OpenSearch Service tiene tres capas principales: red, políticas de acceso al dominio y control de acceso detallado. La primera capa de seguridad es la red, que determina qué peticiones llegan a un dominio. Admitimos acceso público a través de Internet o acceso mediante VPC limitado a grupos de seguridad específicos de su VPC. La política de acceso al dominio es la segunda capa de seguridad. Una vez que una petición llega al punto de enlace de un dominio, la política de acceso al dominio acepta o rechaza la petición de acceso a una URL específica. La política de acceso al dominio acepta o rechaza peticiones en el borde del dominio, antes de que lleguen a OpenSearch o Elasticsearch. La tercera y última capa de seguridad es un control de acceso detallado. Después de que una política de acceso al dominio permita que una petición llegue al punto de enlace de un dominio, un control de acceso detallado evalúa las credenciales del usuario y autentica al usuario o deniega la petición. Si el control de acceso detallado autentica al usuario, dicho control obtiene todos los roles asignados a ese usuario y utiliza el conjunto completo de permisos para determinar a qué datos tiene acceso el usuario.

Sí, Amazon OpenSearch Service es compatible con cifrado de datos en reposo mediante AWS Key Management Service (KMS), cifrado entre nodos mediante TLS y capacidad para requerir a los clientes comunicarse mediante HTTPS. El cifrado de datos en reposo cifra particiones, archivos de registros, archivos de intercambio e instantáneas de S3 automatizadas. Puede utilizar claves administradas por AWS o elegir las suyas propias. El cifrado entre nodos habilita TLS para todas las comunicaciones entre nodos. Amazon OpenSearch Service implementa y rota certificados de forma automática durante la vida del dominio. Si requiere que sus clientes se comuniquen mediante HTTPS, también tiene la capacidad de especificar la versión de TLS mínima.

Cuando se habilite el acceso de VPC, solo podrá obtenerse acceso al punto de enlace para Amazon OpenSearch Service desde la VPC del cliente. Si desea utilizar su portátil para obtener acceso a OpenSearch Dashboards y Kibana desde fuera de la VPC, debe conectar el portátil a la VPC mediante VPN o VPC Direct Connect.