Verschlüsselung im Ruhezustand für Azimut-Elevations-Ephemeriden - AWS Ground Station
Wichtige politische Anforderungen für Azimut-EphemeridenIAM-Benutzerberechtigungen für die Erstellung von Azimut-Elevation-Ephemeriden mit vom Kunden verwalteten SchlüsselnWie AWS Ground Station werden wichtige Richtlinien für Azimut-Ephemeriden verwendetKontext für die Verschlüsselung von Ephemeriden mit Azimut, HöheVerwendung des Verschlüsselungskontextes zur Steuerung des Zugriffs auf den kundenseitig verwalteten SchlüsselÜberwachen Sie Ihre Verschlüsselungsschlüssel auf Azimut-Ephemeriden

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verschlüsselung im Ruhezustand für Azimut-Elevations-Ephemeriden

Wichtige politische Anforderungen für Azimut-Ephemeriden

Um einen vom Kunden verwalteten Schlüssel mit Azimut-Elevation-Ephemeridendaten zu verwenden, muss Ihre Schlüsselrichtlinie dem Service die folgenden Berechtigungen gewähren. AWS Ground Station Im Gegensatz zu TLE- und OEM-Ephemeridendaten, für die Zuschüsse verwendet werden, verwendet Azimut-Elevation-Ephemeride direkte Schlüsselrichtlinienberechtigungen für Verschlüsselungsvorgänge. Dies ist eine einfachere Methode, um die Berechtigungen Ihrer Schlüssel zu verwalten und diese zu verwenden.

  • kms:GenerateDataKey- Generiert Datenschlüssel zur Verschlüsselung Ihrer Azimuthöhen-Ephemeridendaten.

  • kms:Decrypt- Entschlüsselt die verschlüsselten Datenschlüssel beim Zugriff auf Ihre Azimuthöhen-Ephemeridendaten.

Beispiel für eine Schlüsselrichtlinie, die AWS Ground Station Zugriff auf einen vom Kunden verwalteten Schlüssel gewährt

Anmerkung

Bei Azimut-Elevation-Ephemeriden müssen Sie diese Berechtigungen direkt in der Schlüsselrichtlinie konfigurieren. Diese Berechtigungen müssen dem Regional AWS Ground Station Service Principal (z. B.groundstation.region.amazonaws.com) in Ihren wichtigsten Richtlinienerklärungen erteilt werden. Ohne diese Angaben in der Hauptrichtlinie AWS Ground Station kann Ihre benutzerdefinierte Azimut-Ephemeride weder gespeichert noch darauf zugegriffen werden.

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "Allow AWS Ground Station to Describe key",
            "Effect": "Allow",
            "Principal": {
                "Service": "groundstation.us-east-1.amazonaws.com"
            },
            "Action": "kms:DescribeKey",
            "Resource": "*"
        },
        {
            "Sid": "Allow AWS Ground Station to Encrypt and Decrypt with key",
            "Effect": "Allow",
            "Principal": {
                "Service": "groundstation.us-east-1.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "*"
        }
    ]
}

IAM-Benutzerberechtigungen für die Erstellung von Azimut-Elevation-Ephemeriden mit vom Kunden verwalteten Schlüsseln

Wenn ein vom Kunden verwalteter Schlüssel für kryptografische Operationen AWS Ground Station verwendet wird, handelt er im Namen des Benutzers, der die Azimut-Elevation-Ephemeridenressource erstellt.

Um mithilfe eines vom Kunden verwalteten Schlüssels eine Azimut-Elevation-Ephemeridenressource zu erstellen, muss ein Benutzer berechtigt sein, die folgenden Operationen mit dem vom Kunden verwalteten Schlüssel aufzurufen:

  • kms:GenerateDataKey— Ermöglicht dem Benutzer die Generierung von Datenschlüsseln zur Verschlüsselung der Azimuthöhen-Ephemeridendaten.

  • kms:Decrypt- Ermöglicht dem Benutzer, Datenschlüssel zu entschlüsseln, wenn er auf die Azimuthöhen-Ephemeridendaten zugreift.

  • kms:DescribeKey- Ermöglicht dem Benutzer, die vom Kunden verwalteten Schlüsseldetails einzusehen, um den Schlüssel zu validieren.

Sie können diese erforderlichen Berechtigungen in einer Schlüsselrichtlinie oder in einer IAM-Richtlinie angeben, wenn die Schlüsselrichtlinie dies zulässt. Diese Berechtigungen stellen sicher, dass Benutzer autorisieren können AWS Ground Station , den vom Kunden verwalteten Schlüssel für Verschlüsselungsvorgänge in ihrem Namen zu verwenden.

Wie AWS Ground Station werden wichtige Richtlinien für Azimut-Ephemeriden verwendet

Wenn Sie Azimut-Elevation-Ephemeridendaten mit einem vom Kunden verwalteten Schlüssel bereitstellen, AWS Ground Station verwendet Schlüsselrichtlinien für den Zugriff auf Ihren Verschlüsselungsschlüssel. Die Berechtigungen werden direkt AWS Ground Station durch wichtige Grundsatzerklärungen und nicht durch Zuschüsse wie bei TLE- oder OEM-Ephemeridendaten erteilt.

Wenn Sie den Zugriff auf den vom Kunden verwalteten Schlüssel entfernen AWS Ground Station, können Sie auf AWS Ground Station keine der mit diesem Schlüssel verschlüsselten Daten zugreifen, was sich auf Vorgänge auswirkt, die von diesen Daten abhängig sind. Wenn Sie beispielsweise wichtige Richtlinienberechtigungen für Azimuthöhen-Ephemeriden entfernen, die derzeit für einen Kontakt verwendet AWS Ground Station werden, können Sie die bereitgestellten Azimut-Höhendaten nicht für die Steuerung der Antenne während des Kontakts verwenden. Dies führt dazu, dass der Kontakt mit dem Status FEHLGESCHLAGEN endet wird.

Kontext für die Verschlüsselung von Ephemeriden mit Azimut, Höhe

Wenn der Dienst Ihren AWS KMS Schlüssel zur Verschlüsselung von Azimut-Elevation-Ephemeridendaten AWS Ground Station verwendet, gibt der Dienst einen Verschlüsselungskontext an. Der Verschlüsselungskontext besteht aus zusätzlichen authentifizierten Daten (AAD), die zur Sicherstellung der Datenintegrität verwendet werden. AWS KMS Wenn für eine Verschlüsselungsoperation ein Verschlüsselungskontext angegeben wird, muss der Service denselben Verschlüsselungskontext auch für die Entschlüsselungsoperation angeben. Andernfalls schlägt die Entschlüsselung fehl. Der Verschlüsselungskontext wird auch in Ihre CloudTrail Protokolle geschrieben, damit Sie nachvollziehen können, warum ein bestimmter AWS KMS Schlüssel verwendet wurde. Ihre CloudTrail Protokolle können viele Einträge enthalten, die die Verwendung eines AWS KMS Schlüssels beschreiben, aber der Verschlüsselungskontext in jedem Protokolleintrag kann Ihnen helfen, den Grund für diese bestimmte Verwendung zu ermitteln.

AWS Ground Station gibt den folgenden Verschlüsselungskontext an, wenn kryptografische Operationen mit Ihrem vom Kunden verwalteten Schlüssel auf einer Azimut-Ephemeride ausgeführt werden: 

{
    "encryptionContext": {
        "aws:groundstation:ground-station-id": "Ohio 1",
        "aws:groundstation:arn": "arn:aws:groundstation:us-east-2:111122223333:ephemeris/00a770b0-082d-45a4-80ed-SAMPLE",
        "aws:s3:arn": "arn:aws:s3:::customerephemerisbucket/00a770b0-082d-45a4-80ed-SAMPLE/raw"
    }
}

Der Verschlüsselungskontext umfasst:

aws:groundstation:ground-station-id

Der Name der Bodenstation, die mit der Azimuthöhen-Ephemeride verknüpft ist.

aws:groundstation:arn

Der ARN der Ephemeridenressource.

aws:s3:arn

Der ARN der in Amazon S3 gespeicherten Ephemeride.

Verwendung des Verschlüsselungskontextes zur Steuerung des Zugriffs auf den kundenseitig verwalteten Schlüssel

Sie können IAM-Zustandsanweisungen verwenden, um den AWS Ground Station Zugriff auf Ihren vom Kunden verwalteten Schlüssel zu kontrollieren. Das Hinzufügen einer Zustandserklärung zu den kms:Decrypt Aktionen kms:GenerateDataKey und schränkt ein, für welche Bodenstationen a verwendet werden AWS KMS können.

Im Folgenden finden Sie Beispiele für wichtige Richtlinienerklärungen, mit denen Sie einer bestimmten Bodenstation AWS Ground Station Zugriff auf Ihren vom Kunden verwalteten Schlüssel in einer bestimmten Region gewähren können. Die Bedingung in dieser Richtlinienerklärung erfordert, dass alle den Zugriff auf den Schlüssel verschlüsseln und entschlüsseln, der einen Verschlüsselungskontext angibt, der der Bedingung in der Schlüsselrichtlinie entspricht.

Beispiel für eine Schlüsselrichtlinie, die AWS Ground Station Zugriff auf einen vom Kunden verwalteten Schlüssel für eine bestimmte Bodenstation gewährt

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "Allow AWS Ground Station to Describe key",
            "Effect": "Allow",
            "Principal": {
                "Service": "groundstation.us-east-1.amazonaws.com"
            },
            "Action": "kms:DescribeKey",
            "Resource": "*"
        },
        {
            "Sid": "Allow AWS Ground Station to Encrypt and Decrypt with key",
            "Effect": "Allow",
            "Principal": {
                "Service": "groundstation.us-east-1.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws:groundstation:ground-station-id": "specific-ground-station-name"
                }
            }
        }
    ]
}

Beispiel für eine Schlüsselrichtlinie, die AWS Ground Station den Zugriff auf einen vom Kunden verwalteten Schlüssel für mehrere Bodenstationen gewährt

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "Allow AWS Ground Station to Describe key",
            "Effect": "Allow",
            "Principal": {
                "Service": "groundstation.us-east-1.amazonaws.com"
            },
            "Action": "kms:DescribeKey",
            "Resource": "*"
        },
        {
            "Sid": "Allow AWS Ground Station to Encrypt and Decrypt with key",
            "Effect": "Allow",
            "Principal": {
                "Service": "groundstation.us-east-1.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "kms:EncryptionContext:aws:groundstation:ground-station-id": [
                        "specific-ground-station-name-1",
                        "specific-ground-station-name-2"
                    ]
                }
            }
        }
    ]
}

Überwachen Sie Ihre Verschlüsselungsschlüssel auf Azimut-Ephemeriden

Wenn Sie einen vom AWS KMS Kunden verwalteten Schlüssel mit Ihren Azimut-Elevation-Ephemeriden-Ressourcen verwenden, können Sie OR-Protokolle verwenden CloudTrail, um Anfragen nachzuverfolgen, die an gesendet werden. CloudWatch AWS Ground Station AWS KMS Bei den folgenden Beispielen handelt es sich um CloudTrail Ereignisse für GenerateDataKeyund Decrypt zur Überwachung von AWS KMS Vorgängen, die aufgerufen werden, um auf Daten zuzugreifen AWS Ground Station , die mit Ihrem vom Kunden verwalteten Schlüssel verschlüsselt wurden.

GenerateDataKey

Wenn Sie einen vom AWS KMS Kunden verwalteten Schlüssel verwenden, um Ihre Azimut-Ephemeridenressourcen zu verschlüsseln, AWS Ground Station sendet eine GenerateDataKeyAnfrage an, um einen Datenschlüssel zu AWS KMS generieren, mit dem Sie Ihre Daten verschlüsseln können.

Das folgende Beispielereignis zeichnet den Vorgang für Azimut-Elevation-Ephemeriden auf GenerateDataKey: 

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "ASIAIOSFODNN7EXAMPLE",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/SampleUser01",
        "accountId": "111122223333",
        "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "ASIAIOSFODNN7EXAMPLE",
                "arn": "arn:aws:iam::111122223333:role/Admin",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "attributes": {
                "creationDate": "2025-08-25T14:45:48Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2025-08-25T14:52:02Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "GenerateDataKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": {
        "keySpec": "AES_256",
        "encryptionContext": {
            "aws:groundstation:arn": "arn:aws:groundstation:us-west-2:111122223333:ephemeris/bb650670-7a4b-4152-bd60-SAMPLE",
            "aws:groundstation:ground-station-id": "Ohio 1",
            "aws:s3:arn": "arn:aws:s3:::customerephemerisbucket/bb650670-7a4b-4152-bd60-SAMPLE/raw"
        },
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "responseElements": null,
    "requestID": "ef6f9a8f-8ef6-46a1-bdcb-123456SAMPLE",
    "eventID": "952842d4-1389-3232-b885-123456SAMPLE",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "sharedEventID": "8424f6b6-2280-4d1d-b9fd-0348b1546cba",
    "eventCategory": "Management"
}
Decrypt

Wenn Sie einen vom AWS KMS Kunden verwalteten Schlüssel verwenden, um Ihre Azimut-Elevation-Ephemeriden-Ressourcen zu verschlüsseln, AWS Ground Station verwendet die Operation Decrypt, um die bereitgestellten Azimut-Elevation-Ephemeridendaten zu entschlüsseln, sofern sie bereits mit demselben vom Kunden verwalteten Schlüssel verschlüsselt sind.

Das folgende Beispielereignis zeichnet den Decrypt-Vorgang für Azimut-Elevation-Ephemeriden auf: 

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "ASIAIOSFODNN7EXAMPLE",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/SampleUser01",
        "accountId": "111122223333",
        "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "ASIAIOSFODNN7EXAMPLE",
                "arn": "arn:aws:iam::111122223333:role/Admin",
                "accountId": "111122223333",
                "userName": "Admin"
            }
        },
        "attributes": {
            "creationDate": "2025-08-25T14:45:48Z",
            "mfaAuthenticated": "false"
        }
    },
    "invokedBy": "AWS Internal",
    "eventTime": "2025-08-25T14:54:01Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Decrypt",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": {
        "encryptionContext": {
            "aws:groundstation:arn": "arn:aws:groundstation:us-west-2:111122223333:ephemeris/bb650670-7a4b-4152-bd60-SAMPLE",
            "aws:groundstation:ground-station-id": "Ohio 1",
            "aws:s3:arn": "arn:aws:s3:::customerephemerisbucket/bb650670-7a4b-4152-bd60-SAMPLE/raw"
        },
        "encryptionAlgorithm": "SYMMETRIC_DEFAULT"
    },
    "responseElements": null,
    "requestID": "a2f46066-49fb-461a-93cb-123456SAMPLE",
    "eventID": "e997b426-e3ad-31c7-a308-123456SAMPLE",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "sharedEventID": "477b568e-7f56-4f04-905c-623ff146f30d",
    "eventCategory": "Management"
}