Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Datenverschlüsselung im Ruhezustand für Amazon DataZone
Die standardmäßige Verschlüsselung von Daten im Ruhezustand trägt dazu bei, den betrieblichen Aufwand und die Komplexität zu reduzieren, die mit dem Schutz vertraulicher Daten verbunden sind. Gleichzeitig können Sie damit sichere Anwendungen erstellen, die strenge Verschlüsselungsvorschriften und gesetzliche Auflagen erfüllen.
Amazon DataZone verwendet standardmäßige Schlüssel, um Ihre Daten AWS im Ruhezustand automatisch zu verschlüsseln. Sie können die Verwendung AWS eigener Schlüssel nicht einsehen, verwalten oder überprüfen. Weitere Informationen finden Sie unter AWS -eigene Schlüssel.
Sie können diese Verschlüsselungsebene zwar nicht deaktivieren oder einen alternativen Verschlüsselungstyp auswählen, aber Sie können bei der Erstellung Ihrer DataZone Amazon-Domains einen vom Kunden verwalteten Schlüssel wählen. Amazon DataZone unterstützt die Verwendung symmetrischer, vom Kunden verwalteter Schlüssel, die Sie erstellen, besitzen und verwalten können. Da Sie die volle Kontrolle über die Verschlüsselung haben, können Sie die folgenden Aufgaben ausführen:
-
Schlüsselrichtlinien festlegen und erhalten
-
IAM-Richtlinien und Erteilungen festlegen und erhalten
-
Schlüsselrichtlinien aktivieren und deaktivieren
-
Kryptographisches Schlüsselmaterial rotieren
-
Hinzufügen von Tags
-
Schlüsselaliase erstellen
-
Die Löschung von Schlüsseln planen
Um Ihren eigenen Schlüssel zu verwenden, wählen Sie bei der Erstellung Ihrer DataZone Amazon-Domain einen vom Kunden verwalteten Schlüssel.
Weitere Informationen finden Sie unter Kundenseitig verwaltete Schlüssel.
Anmerkung
Amazon aktiviert DataZone automatisch die Verschlüsselung im Ruhezustand mithilfe AWS eigener Schlüssel, um Kundendaten kostenlos zu schützen.
AWS Für die Verwendung von vom Kunden verwalteten Schlüsseln fallen KMS-Gebühren an. Weitere Informationen zur Preisgestaltung finden Sie unter AWS Key Management Service – Preise
Wie Amazon DataZone Zuschüsse verwendet in AWS KMS
Amazon DataZone benötigt zwei Zuschüsse, um Ihren vom Kunden verwalteten Schlüssel verwenden zu können. Wenn Sie eine DataZone Amazon-Domain erstellen, die mit einem vom Kunden verwalteten Schlüssel verschlüsselt ist, gewährt DataZone Amazon in Ihrem Namen Zuschüsse, indem es CreateGrant Anfragen an AWS KMS sendet. Zuschüsse in AWS KMS werden verwendet, um Amazon DataZone Zugriff auf einen KMS-Schlüssel in Ihrem Konto zu gewähren. Amazon gewährt DataZone die folgenden Zuschüsse, um Ihren vom Kunden verwalteten Schlüssel für die folgenden internen Abläufe zu verwenden:
Ein Zuschuss für die Verschlüsselung Ihrer Daten im Ruhezustand für die folgenden Vorgänge:
-
Senden Sie DescribeKey Anfragen an AWS KMS, um zu überprüfen, ob die symmetrische, vom Kunden verwaltete KMS-Schlüssel-ID, die Sie bei der Erstellung einer DataZone Amazon-Domain eingegeben haben, gültig ist.
-
Senden Sie GenerateDataKey an AWS KMS, um Datenschlüssel zu generieren, die mit Ihrem vom Kunden verwalteten Schlüssel verschlüsselt werden.
-
Mit der Option „https://docs.aws.amazon.com/kms/latest/APIReference/API_Decrypt.htmlEntschlüsselungsanfrage senden“ kann Amazon DataZone gespeicherte Daten entschlüsseln.
-
RetireGrantum den Zuschuss zurückzuziehen, wenn die Domain gelöscht wird.
Ein Zuschuss für das Suchen, Auffinden und Exportieren Ihrer Daten:
-
DescribeKey— stellt dem Kunden verwaltete Schlüsseldetails zur Verfügung, anhand derer Amazon DataZone den Schlüssel validieren kann.
-
Entschlüsseln — ermöglicht Amazon DataZone , gespeicherte Daten zu entschlüsseln.
Sie können den Zugriff auf den vom Kunden verwalteten Schlüssel jederzeit widerrufen. Wenn Sie dies tun, kann Amazon auf DataZone keine der Daten zugreifen, die mit dem vom Kunden verwalteten Schlüssel verschlüsselt wurden. Dies wirkt sich auf Vorgänge aus, die von diesen Daten abhängig sind.
Erstellen eines kundenseitig verwalteten Schlüssels
Sie können einen symmetrischen, vom Kunden verwalteten Schlüssel mithilfe der AWS Managementkonsole oder der AWS KMS-APIs erstellen.
Um einen symmetrischen, vom Kunden verwalteten Schlüssel zu erstellen, folgen Sie den Schritten unter Erstellen eines symmetrischen, vom Kunden verwalteten Schlüssels im AWS Key Management Service Developer Guide.
Schlüsselrichtlinie: Schlüsselrichtlinien steuern den Zugriff auf den kundenseitig verwalteten Schlüssel. Jeder kundenseitig verwaltete Schlüssel muss über genau eine Schlüsselrichtlinie verfügen, die aussagt, wer den Schlüssel wie verwenden kann. Wenn Sie Ihren kundenseitig verwalteten Schlüssel erstellen, können Sie eine Schlüsselrichtlinie angeben. Weitere Informationen finden Sie unter Verwaltung des Zugriffs auf vom Kunden verwaltete Schlüssel im AWS Key Management Service Developer Guide.
Um Ihren vom Kunden verwalteten Schlüssel mit Ihren DataZone Amazon-Ressourcen zu verwenden, müssen die folgenden API-Operationen in der Schlüsselrichtlinie zulässig sein:
-
kms: CreateGrant — fügt einem vom Kunden verwalteten Schlüssel einen Zuschuss hinzu. Gewährt Kontrollzugriff auf einen bestimmten KMS-Schlüssel, der den Zugriff auf von Amazon DataZone benötigte Zuschussvorgänge ermöglicht. Weitere Informationen zur Verwendung von Zuschüssen finden Sie im AWS Key Management Service Developer Guide.
-
kms: DescribeKey — stellt die vom Kunden verwalteten Schlüsseldetails bereit, damit Amazon DataZone den Schlüssel validieren kann.
-
kms: GenerateDataKey — gibt einen eindeutigen symmetrischen Datenschlüssel zur Verwendung außerhalb von AWS KMS zurück.
-
kms:Decrypt – Entschlüsselt Geheimtext, der mit einem KMS-Schlüssel verschlüsselt wurde.
Im Folgenden finden Sie Beispiele für Richtlinienerklärungen, die Sie für Amazon DataZone hinzufügen können:
"Statement": [ { "Sid": "Enable IAM User Permissions for DescribeKey", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:root" }, "Action": "kms:DescribeKey", "Resource": "arn:aws:kms:region:111122223333:key/key_ID" }, { "Sid": "Allow access to principals authorized to manage Amazon DataZone", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:root" }, "Action": [ "kms:Decrypt", "kms:GenerateDataKey" ], "Resource": "arn:aws:kms:region:111122223333:key/key_ID", "Condition": { "ForAnyValue:StringEquals": { "kms:EncryptionContextKeys": "aws:datazone:domainId" } } }, { "Sid": "Allow creating grants when creating an Amazon DataZone for all principals in the account that are authorized to manage Amazon DataZone", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:root" }, "Action": "kms:CreateGrant", "Resource": "arn:aws:kms:region:111122223333:key/key_ID", "Condition": { "StringLike": { "kms:CallerAccount": "111122223333", "kms:ViaService": "datazone.region.amazonaws.com" }, "Bool": { "kms:GrantIsForAWSResource": "true" }, "ForAnyValue:StringEquals": { "kms:EncryptionContextKeys": "aws:datazone:domainId" } } } ]
Anmerkung
Dem DataZone Amazon-Datenportal wird über den Domain Execution Role Principal Zugriff auf Ihren vom Kunden verwalteten Schlüssel gewährt.
Weitere Informationen zur Angabe von Berechtigungen in einer Richtlinie finden Sie im AWS Key Management Service Developer Guide.
Weitere Informationen zur Problembehandlung beim Schlüsselzugriff finden Sie im AWS Key Management Service Developer Guide.
Angabe eines vom Kunden verwalteten Schlüssels für Amazon DataZone
Sie können bei der Domainerstellung einen vom Kunden verwalteten Schlüssel als Verschlüsselung auf zweiter Ebene angeben.
DataZone Amazon-Verschlüsselungskontext
Ein Verschlüsselungskontext ist ein optionaler Satz von Schlüssel-Wert-Paaren, die zusätzliche kontextbezogene Informationen zu den Daten enthalten.
AWS KMS verwendet den Verschlüsselungskontext als zusätzliche authentifizierte Daten, um die authentifizierte Verschlüsselung zu unterstützen. Wenn Sie einer Anforderung zum Verschlüsseln von Daten einen Verschlüsselungskontext hinzufügen, bindet AWS KMS den Verschlüsselungskontext an die verschlüsselten Daten. Zur Entschlüsselung von Daten müssen Sie denselben Verschlüsselungskontext in der Anfrage übergeben.
Amazon DataZone verwendet den folgenden Verschlüsselungskontext:
"encryptionContextSubset": { "aws:datazone:domainId": "{dzd_samleid}" }
Verwendung des Verschlüsselungskontexts zur Überwachung — Wenn Sie einen symmetrischen, vom Kunden verwalteten Schlüssel zur Verschlüsselung von Amazon verwenden DataZone, können Sie den Verschlüsselungskontext auch in Prüfaufzeichnungen und Protokollen verwenden, um zu ermitteln, wie der vom Kunden verwaltete Schlüssel verwendet wird. Der Verschlüsselungskontext erscheint auch in Protokollen, die von Amazon CloudWatch Logs generiert wurden AWS CloudTrail .
Verwendung des Verschlüsselungskontexts zur Steuerung des Zugriffs auf Ihren vom Kunden verwalteten Schlüssel — Sie können den Verschlüsselungskontext in Schlüsselrichtlinien und IAM-Richtlinien als Bedingungen verwenden, um den Zugriff auf Ihren symmetrischen, vom Kunden verwalteten Schlüssel zu kontrollieren. Sie können Verschlüsselungskontext-Einschränkungen auch in einer Genehmigung verwenden.
Amazon DataZone verwendet bei Zuschüssen eine Beschränkung des Verschlüsselungskontexts, um den Zugriff auf den vom Kunden verwalteten Schlüssel in Ihrem Konto oder Ihrer Region zu kontrollieren. Eine Genehmigungseinschränkung erfordert, dass durch die Genehmigung ermöglichte Vorgänge den angegebenen Verschlüsselungskontext verwenden.
Im Folgenden finden Sie Beispiele für Schlüsselrichtlinienanweisungen zur Gewährung des Zugriffs auf einen kundenseitig verwalteten Schlüssel für einen bestimmten Verschlüsselungskontext.
{ "Sid": "Enable DescribeKey", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:role/ExampleRole" }, "Action": "kms:DescribeKey", "Resource": "arn:aws:kms:region:111122223333:key/key_ID" }, { "Sid": "Allow access to principal to manage an Amazon DataZone domain with the given domain id", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:role/ExampleRole" }, "Action": [ "kms:Decrypt", "kms:GenerateDataKey" ], "Resource": "arn:aws:kms:region:111122223333:key/key_ID", "Condition": { "StringEquals": { "kms:EncryptionContext:aws:datazone:domainId": "dzd_sampleid" } } }, { "Sid": "Allow creating grants when creating an Amazon DataZone domain to principal", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:role/ExampleRole" }, "Action": "kms:CreateGrant", "Resource": "arn:aws:kms:region:111122223333:key/key_ID", "Condition": { "StringLike": { "kms:CallerAccount": "111122223333", "kms:ViaService": "datazone.region.amazonaws.com" }, "Bool": { "kms:GrantIsForAWSResource": "true" }, "ForAnyValue:StringEquals": { "kms:EncryptionContextKeys": "aws:datazone:domainId" } } }
Überwachung Ihrer Verschlüsselungsschlüssel für Amazon DataZone
Wenn Sie einen AWS vom Kunden verwalteten KMS-Schlüssel für Ihre DataZone Amazon-Ressourcen verwenden, können Sie ihn verwenden, AWS CloudTrail um Anfragen zu verfolgen, die Amazon DataZone an AWS KMS sendet. Die folgenden Beispiele sind AWS CloudTrail Ereignisse fürCreateGrant,GenerateDataKey, und RetireGrant zur Überwachung von KMS-VorgängenDecrypt, die von Amazon aufgerufen werden, DataZone um auf Daten zuzugreifen, die mit Ihrem kundenverwalteten Schlüssel verschlüsselt wurden.
Erstellung von Data Lake-Umgebungen, die verschlüsselte Daten beinhalten AWS Kataloge zusammenfügen
In fortgeschrittenen Anwendungsfällen müssen Sie, wenn Sie mit einem verschlüsselten AWS Glue-Katalog arbeiten, Zugriff auf den DataZone Amazon-Service gewähren, um Ihren kundenverwalteten KMS-Schlüssel verwenden zu können. Sie können dies tun, indem Sie Ihre benutzerdefinierte KMS-Richtlinie aktualisieren und dem Schlüssel ein Tag hinzufügen. Gehen Sie wie folgt vor, um Zugriff auf den DataZone Amazon-Service für die Arbeit mit Daten in einem verschlüsselten AWS Glue-Katalog zu gewähren:
-
Fügen Sie Ihrem benutzerdefinierten KMS-Schlüssel die folgende Richtlinie hinzu. Weitere Informationen finden Sie unter Changing a key policy (Ändern einer Schlüsselrichtlinie).
Wichtig
-
Sie müssen die
"aws:PrincipalArn"ARNs in der Richtlinie mithilfe der Konto-IDs ändern, in denen Sie die Umgebungen erstellen möchten. Jedes Konto, in dem Sie eine Umgebung erstellen möchten, muss in der Richtlinie als aufgeführt sein."aws:PrincipalArn" -
Sie müssen auch durch <GLUE_CATALOG_ID>die gültige AWS Konto-ID ersetzen, in der sich Ihr AWS Glue-Katalog befindet.
-
Beachten Sie, dass diese Richtlinie allen Benutzerrollen in der DataZone Amazon-Umgebung in den angegebenen Konten Zugriff auf die Verwendung des Schlüssels gewährt. Wenn Sie nur bestimmten Umgebungsbenutzerrollen die Verwendung des Schlüssels gestatten möchten, müssen Sie den gesamten Namen der Umgebungsbenutzerrolle (z. B.
arn:aws:iam::<ENVIRONMENT_ACCOUNT_ID>:role/datazone_usr_<ENVIRONMENT_ID>(wo <ENVIRONMENT_ID>ist die ID der Umgebung) und nicht das Platzhalterformat angeben.
-
-
Fügen Sie Ihrem benutzerdefinierten KMS-Schlüssel das folgende Tag hinzu. Weitere Informationen finden Sie unter Verwenden von Tags zur Steuerung des Zugriffs auf KMS-Schlüssel.
key: AmazonDataZoneEnvironment value: all
