Amazon DEA-C01: Datensicherheit, Governance und Compliance — Lernleitfaden

By Laurynas Brazys · 2 August 2026 · #amazon #dea-c01 #certification #exam-prep #study-guide

Teil des Amazon Data Engineer Associate DEA-C01 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Amazon-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Dieser Bereich behandelt die Kontrollen, Services und Betriebsmuster, die Daten schützen, prüfbar und konform halten und gleichzeitig Analysen ermöglichen. Data Engineers müssen Verschlüsselung, Zugriffskontrolle, Erkennung und Maskierung so konzipieren, dass Analyse-Workflows ausgeführt werden können, ohne personenbezogene Daten (PII) preiszugeben oder Service-Integrationen zu unterbrechen. Der folgende Abschnitt konzentriert sich auf konkrete AWS-Services und -Konfigurationen – S3/Redshift-Verschlüsselung, KMS, IAM- und Ressourcenrichtlinien, granulare Zugriffssteuerung mit Lake Formation, Macie-Erkennung und Netzwerkkontrollen wie VPC-Endpunkte – sowie auf Entscheidungskriterien, die Sie beim Entwurf von Pipelines verwenden werden.

Verschlüsselung von Daten im Ruhezustand und während der Übertragung für Datenservices

Verschlüsseln Sie Daten während der Übertragung mit TLS für alle AWS-Service-Endpunkte und Client-SDKs. Erzwingen Sie dies mit Service-Endpunkten, ALBs, API Gateway und indem Sie HTTPS in S3-Bucket-Richtlinien vorschreiben. Für die Verschlüsselung von Daten im Ruhezustand in S3 wählen Sie zwischen SSE-S3, SSE-KMS, SSE-C oder clientseitiger Verschlüsselung mit den folgenden Kompromissen und CLI/Konsolen-Mustern:

SSE-S3 (AES-256 von AWS verwaltet): am einfachsten; aktivieren Sie die Standardeinstellung für einen Bucket mit

undefined

SSE-KMS (AWS KMS-Schlüssel): unterstützt Schlüsselrotation, IAM- und KMS-Schlüsselrichtlinien sowie Audits über CloudTrail; legen Sie die Bucket-Standardeinstellung mit SSE-KMS fest und geben Sie –sse-kms-key-id an. Erfordert, dass Services und Principals sowohl IAM-Berechtigungen als auch Zugriff über die KMS-Schlüsselrichtlinie erhalten (siehe Hinweis zur KMS-Schlüsselrichtlinie unten).
SSE-C (vom Kunden bereitgestellte Schlüssel): Der Kunde liefert den Schlüssel bei jeder Anfrage; keine KMS-Nutzung; betriebliche Komplexität bei der Schlüsselübertragung und beim Umgang mit kompromittierten Schlüsseln.
Clientseitige Verschlüsselung: Verschlüsseln Sie vor dem Hochladen mit dem AWS Encryption SDK oder Client-Bibliotheken für die Envelope-Verschlüsselung; die Schlüssel werden vom Client oder durch eine benutzerdefinierte KMS-Nutzung verwaltet. Verwenden Sie diese Methode, wenn Sie die volle Kontrolle über das unverschlüsselte Schlüsselmaterial behalten müssen.

Entscheidungskriterien:

Verwenden Sie SSE-S3 für geringen Betriebsaufwand und wenn keine vom Kunden verwalteten Schlüssel erforderlich sind.
Verwenden Sie SSE-KMS für Prüfbarkeit, Schlüsselrotation und wenn verschlüsselte Snapshots über Konten oder Services hinweg geteilt werden.
Verwenden Sie SSE-C oder clientseitige Verschlüsselung, wenn Sie sicherstellen müssen, dass AWS niemals Zugriff auf unverschlüsselten Text oder Schlüsselmaterial hat.

Redshift-Verschlüsselung: Aktivieren Sie die Verschlüsselung bei der Cluster-Erstellung, indem Sie –encrypted und –kms-key-id angeben oder die Konsole verwenden. Die Verschlüsselung kann nicht nachträglich für einen unverschlüsselten Cluster aktiviert werden. Um einen bestehenden Cluster-Snapshot zu verschlüsseln und in einem verschlüsselten Cluster wiederherzustellen, verwenden Sie

undefined

oder den RestoreFromClusterSnapshot-Workflow mit –kms-key-id. Die KMS-Schlüsselrichtlinie muss Redshift explizit erlauben, den Schlüssel zu verwenden (kms:Encrypt, kms:Decrypt, kms:GenerateDataKey).

Stellen Sie bei allen KMS-gestützten Services TLS während der Übertragung sicher und begrenzen Sie die Offenlegung von unverschlüsseltem Text in Protokollen und Snapshots.

IAM-Richtlinien und ressourcenbasierte Richtlinien für den Datenzugriff

IAM-Identitätsrichtlinien und ressourcenbasierte Richtlinien (S3-Bucket-Richtlinien, KMS-Schlüsselrichtlinien, VPC-Endpunkt-Richtlinien) bestimmen gemeinsam den Zugriff. Ein spezifischer Ansatz:

Verwenden Sie IAM-Rollen für Compute-/Service-Principals (EMR, Glue, Redshift, Lambda) und hängen Sie Richtlinien mit den geringsten Rechten (Least Privilege) an, die die notwendigen Aktionen für S3, Glue, Redshift und KMS erlauben.
Verwenden Sie ressourcenbasierte Richtlinien, um einzuschränken, welche Principals oder VPC-Endpunkte auf S3-Buckets oder APIs zugreifen können; wenden Sie explizite Deny-Anweisungen sorgfältig an, da Deny Vorrang vor Allow hat.
Für VPC-beschränkten Zugriff erstellen Sie einen Gateway-VPC-Endpunkt für S3 und Interface-Endpunkte für Glue, KMS, Secrets Manager und steuern den Zugriff mit Endpunkt-Richtlinien.

CLI/Konsolen-Muster:

Gateway-Endpunkt erstellen:

undefined

Interface-Endpunkt für Glue erstellen:

undefined

Entscheidungskriterien:

Verwenden Sie Ressourcenrichtlinien, um kontoübergreifende Einschränkungen durchzusetzen oder um zu verlangen, dass der Datenverkehr von bestimmten VPC-Endpunkten ausgeht.
Verwenden Sie IAM für identitätszentrierte Berechtigungen und KMS-Schlüsselrichtlinien, um Services zur Verwendung von Schlüsseln zu autorisieren – IAM allein ist nicht ausreichend, um die KMS-Nutzung zu erlauben.

Granulare Berechtigungen mit Lake Formation

Lake Formation zentralisiert die Zugriffskontrolle für Data Lakes auf Basis des Glue Data Catalog und bietet Sicherheit auf Spalten- und Zeilenebene für Athena- und Glue-Jobs. Wichtige Muster:

Registrieren Sie S3-Speicherorte als Data-Lake-Speicherorte in Lake Formation und gewähren Sie der Rolle, die diese Speicherorte liest/schreibt, DATA_LOCATION_ACCESS.
Vergeben Sie Berechtigungen auf Tabellen- und Spaltenebene über die Lake Formation-Konsole oder mit

undefined

; Berechtigungen auf Spaltenebene verwenden einen Spaltenlisten-Parameter und wirken sich auf Athena- und Glue-Abfragen aus, die den Data Catalog nutzen.

Für Sicherheit auf Zeilenebene definieren Sie LF-Tags oder Zeilenfilter für Tabellen und hängen Richtlinien an, die Prädikate auf die von Athena zurückgegebenen Daten anwenden. Filter auf Zeilenebene werden vom Lake Formation-Service während der Abfrageplanung ausgewertet.

Betriebliche Details:

Sowohl Lake Formation-Berechtigungen als auch IAM-Berechtigungen werden ausgewertet; das restriktivste Ergebnis wird angewendet. Stellen Sie sicher, dass Jobs sowohl S3-Zugriff über die IAM-Rolle als auch Lake Formation-Berechtigungen haben.
Wenn Sie Athena verwenden, stellen Sie die Arbeitsgruppe (Workgroup) so ein, dass sie den Glue Data Catalog verwendet, und konfigurieren Sie den S3-Speicherort für Abfrageergebnisse mit dem entsprechenden LF-Zugriff.

Entscheidungskriterien:

Verwenden Sie die Steuerung auf Spaltenebene von Lake Formation, wenn Sie sensible Spalten vor nachgelagerten Analysten verbergen müssen.
Verwenden Sie Richtlinien auf Zeilenebene für mandantenfähige Datensätze, bei denen Zeilenprädikate die Sichtbarkeit pro Principal einschränken müssen.
Verwenden Sie weiterhin IAM- und S3-Bucket-Richtlinien für die grobgranulare Durchsetzung (Bucket-/Objektebene) und Lake Formation für die kataloggesteuerte, feingranulare Durchsetzung.

Datenmaskierung, Tokenisierung und Umgang mit PII

Erkennen Sie PII mit Amazon Macie, indem Sie S3-Buckets scannen und Klassifizierungsjobs mit verwalteten Datenkennungen ausführen. Macie bietet automatisierte Erkennung und Alarmierung für PII, und die Ergebnisse (Findings) können für nachgelagerte Workflows an Security Hub oder CloudWatch Events weitergeleitet werden. Konfigurieren Sie Macie-Jobs über die Konsole oder mit

undefined

, wählen Sie den Geltungsbereich des S3-Buckets aus und bestimmen Sie die verwalteten Kennungen.

Für Maskierung und Tokenisierung:

Verwenden Sie AWS Glue-Transformationen (Glue ETL PySpark) oder AWS Lambda, um während der Datenerfassung eine deterministische oder formatwahrende Maskierung/Tokenisierung anzuwenden. Berücksichtigen Sie AWS Glue Studio Job-Lesezeichen und Job-Parameter für eine konsistente Verarbeitung.
Für die Tokenisierung, bei der Tokens umkehrbar sein müssen, verwenden Sie ein KMS-gestütztes HSM oder einen Tokenisierungsdienst von Drittanbietern. Speichern Sie Token-Maps in einer gesicherten DynamoDB-Tabelle, die mit KMS verschlüsselt ist, und beschränken Sie den Zugriff auf autorisierte Dienste.
Für die irreversible Maskierung wenden Sie Einweg-Hashing (gesalzen) mit sicheren Salts aus dem Secrets Manager an und rotieren Sie die Salts sorgfältig, um Joins nicht zu beeinträchtigen.

Netzwerk und privater Datenverkehr:

Verwenden Sie S3-Gateway-Endpunkte sowie Interface-Endpunkte für Glue und Secrets Manager, um den Datenverkehr innerhalb des AWS-Netzwerks zu halten und den Kontakt mit dem öffentlichen Internet zu vermeiden. Kombinieren Sie VPC-Endpunktrichtlinien mit S3-Bucket-Richtlinien, um den Zugriff auf den Datenverkehr von Endpunkt-Prinzipalen zu beschränken.

Häufige Fallstricke und Entscheidungskriterien

Die Verschlüsselung für Redshift kann nicht auf einem bestehenden, unverschlüsselten Cluster aktiviert werden; stellen Sie den Cluster aus einem Snapshot in einem neuen Cluster mit

undefined

wieder her, um einen verschlüsselten Cluster zu erstellen.

KMS-Schlüsselrichtlinien müssen dem AWS-Daten-Service-Prinzipal (z. B. glue.amazonaws.com, redshift.amazonaws.com) explizit die Berechtigung für GenerateDataKey/Decrypt erteilen; IAM-Rollenberechtigungen allein sind nicht ausreichend.
Sowohl Lake Formation- als auch IAM-Berechtigungen werden ausgewertet – wenn eine der beiden den Zugriff verweigert oder die erforderlichen Berechtigungen fehlen, wird der Zugriff blockiert; gewähren Sie sowohl der IAM-Rolle S3-Zugriff als auch Lake Formation-Rechte auf Tabellen-/Spaltenebene.
S3-Bucket-Richtlinien mit einem expliziten Deny setzen IAM-Allow-Anweisungen außer Kraft; überprüfen Sie Bucket-Richtlinien auf Deny-Anweisungen, die unbeabsichtigt Service-Rollen oder kontoübergreifenden Zugriff blockieren.
VPC-Endpunktrichtlinien oder eine Fehlkonfiguration des Endpunkts können den Service-Verkehr unbemerkt blockieren; validieren Sie den Endpunkt-Prinzipal und die Routing-Tabellen-Assoziationen für Gateway-Endpunkte sowie die Sicherheitsgruppen für Interface-Endpunkte.
Macie benötigt Lesezugriff auf S3 und korrekte Bucket-Richtlinien; stellen Sie sicher, dass der Service-Prinzipal von Macie zugelassen ist, oder führen Sie Scans von einer Rolle mit den erforderlichen Berechtigungen aus.

Praktisches Problem: Anwendungsfallszenario

Acme Health Analytics speichert Patienten-CSVs in einem S3-Data-Lake und muss Analysten Zugriff auf de-identifizierte Felder gewähren, während die Möglichkeit zur Ausführung von Aggregatabfragen erhalten bleibt; der Datenverkehr darf niemals das öffentliche Internet durchqueren.

Registrieren Sie die S3-Data-Lake-Standorte in Lake Formation und erstellen Sie eine dedizierte Data-Lake-Admin-Rolle.
Konfigurieren Sie die standardmäßige Bucket-Verschlüsselung mit SSE-KMS und erstellen Sie einen KMS-Schlüssel, dessen Schlüsselrichtlinie explizit den Service-Prinzipalen von Glue, Athena und Redshift sowie den IAM-Rollen der Analysten Zugriff gewährt.
Verwenden Sie Lake Formation, um Analysten SELECT auf Tabellenebene zu gewähren, wenden Sie jedoch Deny-Regeln auf Spaltenebene für PII-Spalten an und erstellen Sie Filter auf Zeilenebene, falls eine mandantenfähige Segmentierung erforderlich ist.
Führen Sie Macie-Klassifizierungsjobs aus, um verbleibende PII in den Buckets zu entdecken und durch Maskierung/Tokenisierung in Glue-ETL-Jobs zu beheben; verwenden Sie clientseitige oder Tokenisierungsmuster für umkehrbare Tokens und Hashes für irreversible Maskierung.
Erstellen Sie einen S3-Gateway-VPC-Endpunkt und Interface-Endpunkte für Glue und Secrets Manager; wenden Sie Endpunktrichtlinien an, um den Zugriff auf VPC-Verkehr zu beschränken, und passen Sie die S3-Bucket-Richtlinien an, um nur den Endpunkt-Prinzipal zuzulassen.

Begründung der AWS-Best-Practice: Kombinieren Sie KMS-gestützte Verschlüsselung, feingranulare Katalogsteuerungen von Lake Formation und private VPC-Endpunkte, um eine Defense-in-Depth-Strategie durchzusetzen – Verschlüsselung schützt Daten im Ruhezustand (at-rest), Lake Formation steuert, welche Spalten/Zeilen sichtbar sind, und VPC-Endpunkte vermeiden den Kontakt mit dem öffentlichen Netzwerk, während KMS-Richtlinien sicherstellen, dass die Dienste die Daten tatsächlich entschlüsseln können.

← Datenabfrage und -analyse · Alle Domänen · Überwachung und Fehlerbehebung von Datenpipelines →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →