Configurar el cifrado de un espacio empresarial inquilino

Los administradores de un espacio empresarial inquilino pueden configurar los ajustes de cifrado del espacio empresarial inquilino. De forma predeterminada, un nuevo espacio empresarial inquilino utiliza el KMS interno de Qlik para cifrar el contenido del espacio empresarial inquilino. Si su organización desea usar su propia clave administrada por el cliente (CMK) para cifrar los datos de espacios empresariales inquilinos, puede configurar el cifrado de inquilinos para usar una CMK de un proveedor de claves compatible.

Qlik Cloud admite el uso de una CMK desde Amazon Web Services (AWS) Servicio de administración de claves (KMS). Los clientes pueden optar por usar la misma clave para múltiples espacios inquilinos mediante la definición de la política de claves AWS KMS, aunque esto no se recomienda como mejor práctica. La integración de CMK y AWS KMS mantendrá el cifrado por espacio empresarial inquilino utilizando el contexto de cifrado de la API de AWS KMS, pero debe configurar el cifrado para cada espacio empresarial inquilino de forma individual. Los clientes o partners que permiten el uso de espacios empresariales inquilinos por parte de varias organizaciones de usuarios finales deben implementar claves individuales por organización de usuarios finales.

Crear un nuevo proveedor de claves en el espacio empresarial inquilino

Antes de crear el proveedor de claves, verifique que su clave y política de AWS KMS se hayan configurado correctamente en AWS KMS. Vea AWS Servicio de administración de claves (KMS). Qlik Cloud admite los siguientes proveedores de claves:

• KMS interno de Qlik (este es el KMS predeterminado que utiliza claves administradas por Qlik)

• AWS KMS

Haga lo siguiente:

1. En la Consola de gestión, vaya a Configuración.

2. En Cifrado del espacio empresarial inquilino, haga clic en Administrar el proveedor de claves.

3. Haga clic en Crear nuevo.

4. Inserte los parámetros requeridos por el proveedor de claves.

   • Proveedor de claves maestras: El proveedor de claves maestras de AWS KMS es la única opción disponible.
   • ARN de la clave KMS: El ARN de la clave KMS o el ARN de alias. El ARN de clave es el nombre de recurso de Amazon, Amazon Resource Name (ARN), de una clave KMS. El ARN de alias es el nombre de recurso de Amazon (ARN) del alias de AWS KMS (el nombre descriptivo que se le dio a la clave AWS KMS cuando se creó). Para más información, vea Eventos de proveedor de claves Para obtener información sobre cómo encontrar el ARN de clave o el ARN de alias de una CMK, consulte Búsqueda del ID y el ARN de la clave o Buscar el nombre del alias y el ARN de alias.
   • Título: Un título para identificar al nuevo proveedor de claves.
   • Descripción: Opcional

   

5. Elija si desea agregar la configuración del proveedor de claves y guardarla para usarla más adelante o iniciar la migración de claves ahora.

AWS Servicio de administración de claves (KMS)

Qlik Cloud admite el uso de una clave administrada por el cliente (CMK), Amazon se refiere a esto como una clave AWS KMS o clave KMS desde AWS KMS para cifrar y descifrar los datos de su espacio empresarial inquilino.

A continuación se muestran los pasos generales necesarios para configurar AWS para usarlo con CMK. Debe crear una cuenta AWS KMS, crear su clave AWS KMS y configurar su política de claves para usarla con Qlik Cloud CMK. Una vez que haya completado la configuración en AWS KMS, puede cambiar el proveedor de claves en el espacio empresarial inquilino de Qlik Cloud para que use una clave de AWS KMS. Vea Crear un nuevo proveedor de claves en el espacio empresarial inquilino.

Crear una cuenta AWS

Vaya a Amazon Web Services y cree una cuenta.

Crear una clave AWS KMS simétrica

En AWS, cree una clave utilizando la Consola de gestión de AWS KMS o mediante la API de AWS KMS usando el comando CreateKey. Al configurar su clave multirregional, tenga en cuenta que existen limitaciones en cuanto a qué regiones se pueden seleccionar como regiones de respaldo según la región de la clave principal.

• Región de AWS: seleccione la región donde se almacena su espacio empresarial inquilino de Qlik Cloud. Las regiones de Qlik Cloud compatibles y sus códigos de región de repaldo de AWS asociados se muestran a continuación. Se admiten claves multirregionales.

  Nombre de la región principal	Código de la región principal	Nombre de la región de respaldo	Código de la región de respaldo
  Estados Unidos Virginia del Norte	us-east-1	Estados Unidos Ohio	us-east-2
  Europa Irlanda	eu-west-1	Europa París	eu-west-3
  Europa Fráncfort	eu-central-1	Europa Milán	eu-south-1
  Europa Londres	eu-west-2	Europa España	eu-south-2
  Asia-Pacífico Singapur	ap-southeast-1	Asia-Pacífico Seúl	ap-northeast-2
  Asia-Pacífico Sídney	ap-southeast-2	Asia-Pacífico Melbourne	ap-southeast-4
  Japón (Tokyo)	ap-northeast-1	Japón (Osaka)	ap-northeast-3

  Nota de avisoPara garantizar la configuración correcta de una clave multirregional para su uso en Qlik Cloud, debe crear el emparejamiento de claves de acuerdo con el cuadro de regiones de respaldo anterior en la consola de AWS KMS.
  Nota de Qlik Sense Enterprise SaaS GovernmentLas regiones de Qlik Cloud Government (us-gov-west-1 o us-gov-east-1) no necesita una configuración de clave de réplica para registrar un CMK.

• Tipo de clave—Simétrico. CMK no admite claves asimétricas.

• Uso de clave—Cifrar y descifrar

Otras configuraciones durante la creación de claves incluyen:

• Introducir un alias de clave

• Definir los usuarios y roles de identidad y gestión de acceso (Identity and Access Management, IAM) que pueden administrar la clave

• Elegir los usuarios y roles de IAM que pueden usar la clave en operaciones criptográficas

• Configurar la política de claves.

Para obtener más información sobre cómo crear una clave de AWS KMS, consulte Creación de claves.

Configurar la política de claves de AWS KMS

La política de claves controla el acceso a la clave de AWS KMS. Cada clave tiene su propia política. La política de claves debe incluir la información mínima y los permisos necesarios para usar su clave AWS KMS con Qlik Cloud Claves administradas por el cliente. Cuando crea una clave utilizando la consola de AWS KMS, AWS KMS crea una política de claves predeterminada con instrucciones basadas en sus selecciones durante la creación de las claves. Estas instrucciones determinan los usuarios y roles de IAM en su cuenta que pueden administrar la clave y utilizarla en operaciones criptográficas.

Debe editar la política de claves predeterminada para agregar los permisos y parámetros necesarios para usar la clave con Qlik Cloud CMK. Entre estas se incluyen:

• Permitir que las cuentas proxy de AWS de Qlik y los roles de IAM necesarios generen una clave de datos, cifren y descifren datos usando su clave AWS KMS. Deben agregarse roles de IAM independientes a la política de claves para usar claves administradas (CMK) con Automatización de aplicaciones de Qlik.

• Identifcar su Id de espacio empresarial inquilino de Qlik Cloud. El ID del espacio empresarial inquilino se utiliza como contexto de cifrado. AWS KMS utiliza el contexto de cifrado como datos autenticados adicionales (AAD) para admitir el cifrado autenticado. Esto significa que un espacio empresarial inquilino no puede descifrar las claves de cifrado de otro espacio empresarial inquilino. Vea Contexto de cifrado. Si utiliza la misma clave KMS para varios espacios empresariales inquilinos, debe incluir el ID del espacio empresarial inquilino para cada espacio inquilino en la política de claves.

Haga lo siguiente:

1. Asegúrese de que su cuenta de cliente de AWS y los usuarios y roles de IAM sean correctos y estén incluidos en la política, consulte Ejemplo de política de claves de AWS KMS. Su póliza también puede incluir otras declaraciones.

2. Copie el fragmento de código de Qlik Cloud requerido a continuación y agréguelo a su política de claves. Para suscripciones a Qlik Cloud Government, copie el fragmento de código de Qlik Cloud Government.

Fragmento de código de Qlik Cloud

               
        {
            "Sid": "Enable Qlik's proxy roles to use the Customer's AWS KMS key to encrypt and decrypt data for the Qlik cloud tenant",
            "Effect": "Allow",
            "Principal": {        
                "AWS": [
                    "arn:aws:iam::338144066592:role/byok-encryption-proxy-role",
                    "arn:aws:iam::634246602378:role/byok-encryption-proxy-role",
                    "arn:aws:iam::338144066592:role/byok-automations-proxy-role",
                    "arn:aws:iam::634246602378:role/byok-automations-proxy-role"
                ]
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:TenantId": [
                        "QLIK_TENANT_ID"
                    ]
                }
            }
        }

Fragmento de código de Qlik Cloud Government

[
    {
        "Sid": "Enable Qlik's proxy roles to use the Customer's AWS KMS key to encrypt and decrypt data for the Qlik cloud tenant",
        "Effect": "Allow",
        "Principal": {
            "AWS": [
                "arn:aws-us-gov:iam::014729015091:role/byok-encryption-proxy-role",
                "arn:aws-us-gov:iam::014734359703:role/byok-encryption-proxy-role",
                "arn:aws-us-gov:iam::014729015091:role/byok-automations-proxy-role",
                "arn:aws-us-gov:iam::014734359703:role/byok-automations-proxy-role"
            ]
        },
        "Action": [
            "kms:Encrypt",
            "kms:Decrypt",
            "kms:GenerateDataKey"
        ],
        "Resource": "*",
        "Condition": {
            "StringEquals": {
                "kms:EncryptionContext:TenantId": [
                    "QLIK_TENANT_ID"
                ]
            }
        }
    },
    {
        "Sid": "Enable KMS Key policy for proxy account",
        "Effect": "Allow",
        "Principal": {
            "AWS": [
                "arn:aws-us-gov:iam::014729015091:role/byok-encryption-proxy-role",
                "arn:aws-us-gov:iam::014734359703:role/byok-encryption-proxy-role",
                "arn:aws-us-gov:iam::014729015091:role/byok-automations-proxy-role",
                "arn:aws-us-gov:iam::014734359703:role/byok-automations-proxy-role"
            ]
        },
        "Action": "kms:DescribeKey",
        "Resource": "*"
    }
]

3. En la cadena EncryptionContext, reemplace QLIK_TENANT_ID por su ID de espacio empresarial inquilino (TenantID) de Qlik Cloud.

Nota de sugerenciaPara encontrar el ID de su espacio empresarial inquilino, desde el centro de control de su espacio empresarial de Qlik Cloud seleccione su perfil de usuario y luego seleccione Acerca de. En ID del espacio empresarial, seleccione y copie el ID. No utilice Mostrar nombre o Nombre de host alias en la Consola de gestión en Configuración> Espacio empresarial inquilino.
4. Guarde la política de claves.

Para obtener más información sobre las políticas de claves de AWS KMS, vea Políticas de claves en AWS KMS.

Ejemplo de política de claves de AWS KMS

La siguiente política de clave de ejemplo incluye los requisitos básicos para su uso con Qlik Cloud Claves administradas por el cliente.

1. La cuenta del cliente y los usuarios y roles de IAM que pueden administrar y usar la clave.

2. Las cuentas de Qlik y roles de IAM que pueden usar la clave para operaciones criptográficas: Encrypt, Decrypt y GenerateDataKey.

3. Las cuentas de Qlik y roles de IAM de Qlik Application Automation que pueden usar la clave con Qlik Application Automation.

4. El contexto de cifrado que identifica su número de identificación (TenantID) del espacio empresarial inquilino den Qlik Cloud.

La sección seleccionada (B, C y D) en el ejemplo de política identifica los parámetros requeridos por Qlik Cloud Claves administradas por el cliente.

KMS ARN de clave y ARN de alias

El nombre de recurso de Amazon (ARN) es un identificador único y completo de la clave KMS. Incluye el contexto de cifrado (TenantID), la cuenta de AWS, la región y el ID de clave. El ARN se crea cuando crea una clave AWS KMS en el AWS Servicio de administración de claves. En Qlik Cloud, cuando cambia el proveedor de la clave maestra en la Consola de gestión para usar su clave AWS KMS, debe proporcionar la clave ARN o el ARN de alias para conectar el servicio de cifrado de Qlik a su clave AWS KMS. Vea Crear un nuevo proveedor de claves en el espacio empresarial inquilino.

El ARN usa el formato:

arn:<partition>:kms:<region>:<account-id>:key/<key-id>

El siguiente es un ejemplo de un ARN de clave válido:

arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab

El ARN de alias utiliza el formato:

arn:<partition>:kms:<region>:<account-id>:alias/<alias-name>

El siguiente es un ejemplo de un ARN de alias válido donde CMK-Example-Alias es el nombre de alias:

arn:aws:kms:us-east-1:111122223333:alias/CMK-Example-Alias

Para obtener más información sobre cómo ubicar el ARN de clave o ARN de alias para su clave KMS, vea Búsqueda del ID y el ARN de la clave o Buscar el nombre del alias y el ARN de alias.

AWS KMS Clave multirregional para recuperación ante desastres (DR)

Las claves multirregionales le permiten continuar accediendo y procesando datos cifrados, incluso cuando la región principal está experimentando una interrupción. Al crear una réplica de la clave, puede descifrar datos en la región de respaldo y cualquier dato cifrado en la copia de seguridad se puede descifrar posteriormente en la región principal una vez que se restaure.

Siga estos pasos para crear una clave multirregional en AWS KMS:

1. En la consola de gestión de AWS, haga clic en Crear una clave.



2. En el Paso 1, establecerá la configuración de su clave. En la sección Opciones avanzadas, seleccione KMS para el Origen del material de la clave y en la sección Regionalidad, seleccione Clave multirregión. Haga clic en Siguiente para continuar.



3. En el Paso 2 podrá añadir un Alias para la clave. Después de agregar un nombre, puede optar por agregar una descripción y etiquetas. Haga clic en Siguiente para continuar.



4. En el paso 3, puede seleccionar los usuarios y roles de IAM que pueden administrar la clave. Haga clic en Siguiente para continuar.



5. En el paso 4, puede seleccionar los roles de los usuarios de IAM que pueden usar la clave KMS. Haga clic en Siguiente para continuar.



6. En el Paso 5 revisará los detalles de la configuración. Asegúrese de que la Regionalidad esté configurada en Clave multirregional.

La política de claves incluye todos los requisitos para utilizar la clave multirregional con Qlik Cloud Claves administradas por el cliente, incluida la acción de KMS DescribeKey. Para más información sobre DescribeKey, consulte AWS KMS DescribeKey.