📿RDS Security

• SSL/TLS (In Transit) esta disponible para RDS, puede ser mandatory.

• Encryption at rest:

  • By default lo soporta usando KMS y EBS encryption. Lo maneja el RDS HOST

  • Puedes usar un AWS Managed o Customer Managed CMK para generar los data keys.

  • Este tipo de encryptacion aplica para Storage, Logs, Snapshots y replicas.

  • Una vez se encripta no se puede deshabilitar.

  • SQL y Oracle soportan TDE, la encryptacion la maneja el DB engine. Soportan TDE usando CloudHSM. De esta forma hay un key control mas fuerte.

IAM Authentication for RDS

• Se puede configurar IAM authentication a las DBs.

• Los tokens se generan con un tiempo de 15 minutos.

• Solo se hace para authn no authz.