🔒 Data Security on AWS

Master KMS encryption, VPC security, PrivateLink, and security best practices.

Module: AWS Data Engineering • Topic 27 of 65 • Premium Content

Security Architecture

Architecture Diagram

┌─────────────────────────────────────────────────────────────────────────────┐
│                    DATA SECURITY LAYERS                                       │
│                                                                             │
│  ┌─────────────────────────────────────────────────────────────────────┐    │
│  │  LAYER 1: ENCRYPTION                                                │    │
│  │  ┌──────────────┐  ┌──────────────┐  ┌──────────────┐             │    │
│  │  │ KMS          │  │ S3 SSE       │  │ EBS          │             │    │
│  │  │ (Keys)       │  │ (At Rest)    │  │ (Disk)       │             │    │
│  │  └──────────────┘  └──────────────┘  └──────────────┘             │    │
│  └─────────────────────────────────────────────────────────────────────┘    │
│                                                                             │
│  ┌─────────────────────────────────────────────────────────────────────┐    │
│  │  LAYER 2: NETWORK SECURITY                                          │    │
│  │  ┌──────────────┐  ┌──────────────┐  ┌──────────────┐             │    │
│  │  │ VPC          │  │ Security     │  │ PrivateLink  │             │    │
│  │  │ (Isolation)  │  │ Groups       │  │ (Private)    │             │    │
│  │  └──────────────┘  └──────────────┘  └──────────────┘             │    │
│  └─────────────────────────────────────────────────────────────────────┘    │
│                                                                             │
│  ┌─────────────────────────────────────────────────────────────────────┐    │
│  │  LAYER 3: ACCESS CONTROL                                            │    │
│  │  ┌──────────────┐  ┌──────────────┐  ┌──────────────┐             │    │
│  │  │ IAM          │  │ Lake         │  │ SSO          │             │    │
│  │  │ (Least Priv) │  │ Formation    │  │ (Identity)   │             │    │
│  │  └──────────────┘  └──────────────┘  └──────────────┘             │    │
│  └─────────────────────────────────────────────────────────────────────┘    │
│                                                                             │
│  ┌─────────────────────────────────────────────────────────────────────┐    │
│  │  LAYER 4: MONITORING & DETECTION                                    │    │
│  │  ┌──────────────┐  ┌──────────────┐  ┌──────────────┐             │    │
│  │  │ CloudTrail   │  │ GuardDuty    │  │ Security Hub  │             │    │
│  │  │ (Audit)      │  │ (Threat)     │  │ (Dashboard)   │             │    │
│  │  └──────────────┘  └──────────────┘  └──────────────┘             │    │
│  └─────────────────────────────────────────────────────────────────────┘    │
└─────────────────────────────────────────────────────────────────────────────┘

KMS Encryption

import boto3

kms = boto3.client('kms')

# Create KMS key
response = kms.create_key(
    Description='Data lake encryption key',
    KeyUsage='ENCRYPT_DECRYPT',
    Origin='AWS_KMS',
    Tags=[
        {'TagKey': 'Environment', 'TagValue': 'production'},
        {'TagKey': 'Purpose', 'TagValue': 'data-lake'}
    ]
)

key_id = response['KeyMetadata']['KeyId']

# Create alias
kms.create_alias(
    AliasName='alias/data-lake-key',
    TargetKeyId=key_id
)

# Encrypt data
encrypted = kms.encrypt(
    KeyId=key_id,
    Plaintext=b'sensitive data'
)

# Decrypt data
decrypted = kms.decrypt(
    CiphertextBlob=encrypted['CiphertextBlob']
)

S3 Bucket Security

import json

bucket_policy = {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EnforceEncryption",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::data-lake-raw/*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-server-side-encryption": "aws:kms"
                }
            }
        },
        {
            "Sid": "EnforceTLS",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::data-lake-raw",
                "arn:aws:s3:::data-lake-raw/*"
            ],
            "Condition": {
                "Bool": {
                    "aws:SecureTransport": "false"
                }
            }
        },
        {
            "Sid": "RestrictVPCEndpoint",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::data-lake-raw",
                "arn:aws:s3:::data-lake-raw/*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:sourceVpce": "vpce-1234567890abcdef0"
                }
            }
        }
    ]
}

PrivateLink for Data Services

Architecture Diagram

┌─────────────────────────────────────────────────────────────────────────────┐
│                    PRIVATELINK ARCHITECTURE                                   │
│                                                                             │
│  ┌─────────────────────────────────────────────────────────────────────┐    │
│  │  YOUR VPC                                                           │    │
│  │                                                                     │    │
│  │  ┌───────────────────────────────────────────────────────────────┐  │    │
│  │  │  Private Subnet                                               │  │    │
│  │  │  ┌──────────┐     ┌──────────────────────────────────────┐   │  │    │
│  │  │  │ EC2/ECS  │────►│ VPC Endpoint (Interface)             │   │  │    │
│  │  │  │ Instance │     │ com.amazonaws.us-east-1.redshift     │   │  │    │
│  │  │  └──────────┘     │ com.amazonaws.us-east-1.glue         │   │  │    │
│  │  │                   │ com.amazonaws.us-east-1.kinesis       │   │  │    │
│  │  │                   └──────────────────────────────────────┘   │  │    │
│  │  └───────────────────────────────────────────────────────────────┘  │    │
│  └─────────────────────────────┬───────────────────────────────────────┘    │
│                                │ Private Connection                       │
│                                ▼                                           │
│  ┌─────────────────────────────────────────────────────────────────────┐    │
│  │  AWS SERVICE (Private Endpoint)                                     │    │
│  │  ┌───────────────────────────────────────────────────────────────┐  │    │
│  │  │  Redshift / Glue / Kinesis / etc.                             │  │    │
│  │  │  (Never exposed to public internet)                           │  │    │
│  │  └───────────────────────────────────────────────────────────────┘  │    │
│  └─────────────────────────────────────────────────────────────────────┘    │
└─────────────────────────────────────────────────────────────────────────────┘

Interview Q&A

Q1: What is the difference between SSE-S3 and SSE-KMS?

Answer: SSE-S3 uses AWS-managed keys (no audit trail). SSE-KMS uses customer-managed keys (audit trail via CloudTrail, key policies).

Q2: When should you use PrivateLink?

Answer: When you need to access AWS services without internet exposure. Critical for compliance requirements and reducing attack surface.

Q3: What is the principle of least privilege?

Answer: Grant only the minimum permissions needed to perform a task. Reduces risk of accidental or malicious data access.

Summary

Encryption: KMS for key management, SSE-S3/SSE-KMS for S3
Network: VPC, Security Groups, PrivateLink for isolation
Access: IAM least privilege, Lake Formation for data
Monitoring: CloudTrail, GuardDuty, Security Hub
Best Practice: Defense in depth with multiple security layers