Erstellen Sie einen Verschlüsselungsschlüssel für Fargate Ephemeral Storage für Amazon ECS

Navigieren Sie zu /kms. https://console.aws.amazon.com

Folgen Sie den Anweisungen zum Erstellen von Schlüsseln im AWS Key Management Service Entwicklerhandbuch.

Achten Sie bei der Erstellung Ihres AWS KMS Schlüssels darauf, dass Sie in den wichtigsten Richtlinien die für den Fargate-Dienst relevanten AWS KMS Betriebsberechtigungen angeben. Die folgenden API-Operationen müssen in der Richtlinie zulässig sein, um Ihren vom Kunden verwalteten Schlüssel mit Ihren Amazon ECS-Clusterressourcen verwenden zu können.

Das folgende Beispiel zeigt eine AWS KMS Schlüsselrichtlinie, die Sie auf den Zielschlüssel für die Verschlüsselung anwenden würden. Wenn Sie die Beispielrichtlinien verwenden möchten, ersetzen Sie sie durch Ihre eigenen Informationen. user input placeholders Konfigurieren Sie wie immer nur die Berechtigungen, die Sie benötigen, aber Sie müssen mindestens einem Benutzer Berechtigungen erteilen, um Fehler zu vermeiden. AWS KMS

{
      "Sid": "Allow generate data key access for Fargate tasks.",
      "Effect": "Allow",
      "Principal": { "Service":"fargate.amazonaws.com" },
      "Action": [
        "kms:GenerateDataKeyWithoutPlaintext"
      ],
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:aws:ecs:clusterAccount": [
            "customerAccountId"
          ],
          "kms:EncryptionContext:aws:ecs:clusterName": [
             "clusterName"
          ]   
        }
      },
      "Resource": "*"
    },
    {
      "Sid": "Allow grant creation permission for Fargate tasks.",
      "Effect": "Allow",
      "Principal": { "Service":"fargate.amazonaws.com" },
      "Action": [
        "kms:CreateGrant"
      ],
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:aws:ecs:clusterAccount": [
            "customerAccountId"
          ],
          "kms:EncryptionContext:aws:ecs:clusterName": [
             "clusterName"
          ]   
        },
       "ForAllValues:StringEquals": {
          "kms:GrantOperations": [
             "Decrypt"
          ]
       }
      },
      "Resource": "*"
    },
    {
      "Sid": "Allow describe key permission for cluster operator - CreateCluster and UpdateCluster.",
      "Effect": "Allow",
      "Principal": { "AWS":"arn:aws:iam::customerAccountId:role/customer-chosen-role" },
      "Action": [
        "kms:DescribeKey"
      ],
      "Resource": "*"
    }

Fargate-Aufgaben verwenden die Schlüssel aws:ecs:clusterAccount und den aws:ecs:clusterName Verschlüsselungskontext für kryptografische Operationen mit dem Schlüssel. Kunden sollten diese Berechtigungen hinzufügen, um den Zugriff auf ein bestimmtes Konto und/oder einen bestimmten Cluster einzuschränken. Verwenden Sie den Clusternamen und nicht den ARN, wenn Sie den Cluster angeben.

Weitere Informationen finden Sie unter Verschlüsselungskontext im AWS KMS -Entwicklerhandbuch.

Beim Erstellen oder Aktualisieren eines Clusters haben Sie die Möglichkeit, den Bedingungsschlüssel zu verwendenfargateEphemeralStorageKmsKeyId. Dieser Bedingungsschlüssel ermöglicht Kunden eine genauere Kontrolle über die IAM-Richtlinien. Aktualisierungen der fargateEphemeralStorageKmsKeyId Konfiguration werden nur bei neuen Servicebereitstellungen wirksam.

Im Folgenden finden Sie ein Beispiel dafür, wie Kunden nur einem bestimmten Satz genehmigter AWS KMS Schlüssel Berechtigungen gewähren können.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecs:CreateCluster",
        "ecs:UpdateCluster"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ecs:fargate-ephemeral-storage-kms-key": "arn:aws:kms:us-west-2:111122223333:key/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"
        }
      }
    }
  ]
}

Als Nächstes folgt ein Beispiel für die Ablehnung von Versuchen, AWS KMS Schlüssel zu entfernen, die bereits einem Cluster zugeordnet sind.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Deny",
    "Action": [
        "ecs:CreateCluster",
        "ecs:UpdateCluster"
    ],
    "Resource": "*",
    "Condition": {
      "Null": {
        "ecs:fargate-ephemeral-storage-kms-key": "true"
      }
    }
  }
}

Kunden können mithilfe der Befehle, oder sehen, ob ihre nicht verwalteten Aufgaben oder Serviceaufgaben mithilfe des AWS CLI describe-tasks Schlüssels verschlüsselt sind. describe-cluster describe-services

Weitere Informationen finden Sie unter Bedingungsschlüssel für AWS KMS im AWS KMS Entwicklerhandbuch.