Verschlüsselung im Ruhezustand für Webfunktionen

AWS Lambda verschlüsselt die Daten für Ihre Lambda Web Functions im Ruhezustand auf der Serverseite. Auf dieser Seite werden die verfügbaren Verschlüsselungsoptionen und die Konfiguration eines vom Kunden verwalteten Schlüssels erläutert.

Optionen für die Verschlüsselung im Ruhezustand

Die Verschlüsselung im Ruhezustand ist immer aktiviert. Lambda verschlüsselt Ihr Webfunktions-Code-Artefakt und Ihre Umgebungsvariablen auf der Serverseite, und Sie können diese Verschlüsselung nicht ausschalten. Standardmäßig verwendet Lambda eine AWS-eigener Schlüssel. Sie können stattdessen einen vom Kunden verwalteten Schlüssel konfigurieren.

Sie haben zwei Optionen für den AWS KMS Schlüssel, der Ihre Daten schützt:

Verschlüsselung von Daten im Ruhezustand mithilfe eines vom Kunden verwalteten Schlüssels

In den folgenden Abschnitten wird erklärt, wie Web Functions einen vom Kunden verwalteten Schlüssel verwenden, wie der Schlüssel und seine Berechtigungen konfiguriert werden und wie der Zugriff darauf eingeschränkt werden kann.

Wie Web Functions einen vom Kunden verwalteten Schlüssel verwendet

Wenn Sie einen vom Kunden verwalteten Schlüssel angeben, verwendet Lambda die Umschlagverschlüsselung. Das bedeutet, dass Lambda die Daten der Revision mit einem Datenschlüssel verschlüsselt und Ihr KMS-Schlüssel diesen Datenschlüssel verschlüsselt. Lambda ruft den Datenschlüssel von Ihrem KMS-Schlüssel ab AWS KMS und entschlüsselt ihn mit diesem, wenn es die Daten lesen muss. Nur Prinzipale mit Zugriff auf den KMS-Schlüssel können auf den Code und die Umgebungsvariablen der Revision zugreifen.

Lambda verschlüsselt die folgenden Web Function-Ressourcen mit Ihrem vom Kunden verwalteten Schlüssel:

Lambda verwendet keine AWS KMS Zuschüsse für Webfunktionen. Der Zugriff wird über die Schlüsselrichtlinie und die IAM-Berechtigungen des aufrufenden Prinzipals autorisiert.

Lambda ruft AWS KMS beim Erstellen und Starten von Revisionsressourcen auf und kann entschlüsseltes Material in aktiven Ausführungsumgebungen zwischenspeichern. Das Widerrufen des Schlüsselzugriffs ist kein sofortiger Mechanismus zur Eindämmung des Datenverkehrs, da bestehende Umgebungen zwischengespeichertes Material für einen unbestimmten Zeitraum weiterhin verwenden können.

Testen Sie nach einer Änderung der Schlüsselrichtlinie das erwartete Verhalten und überwachen Sie die Version und den Zustand der Endgeräte. Um den Notfall einzudämmen, beenden Sie die Weiterleitung des Datenverkehrs zu den betroffenen Versionen oder deaktivieren Sie den Endpunkt, anstatt sich nur auf die Sperrung von Schlüsseln zu verlassen.

Lambda legt den folgenden Verschlüsselungskontext für alle AWS KMS Operationen für Webfunktionen fest:

Sie können diesen Verschlüsselungskontext in wichtigen Richtlinien verwenden, um den Zugriff auf bestimmte Webfunktionen oder Revisionen einzuschränken. Weitere Informationen finden Sie unter Einschränkung des Zugriffs auf Ihren KMS-Schlüssel.

Konfiguration eines vom Kunden verwalteten Schlüssels

Der AWS KMS Schlüssel muss ein symmetrischer Verschlüsselungsschlüssel sein (SchlüsselspezifikationSYMMETRIC_DEFAULT, SchlüsselverwendungENCRYPT_DECRYPT). Sie können keine asymmetrischen Schlüssel verwenden.

Webfunktionen unterstützen Tasten für mehrere Regionen. Die Art des Schlüssels, den Sie benötigen, hängt von Ihrer Endpunktkonfiguration ab:

Informationen zum Erstellen von Schlüsseln für mehrere Regionen finden Sie unter Erstellen von Primärschlüsseln für mehrere Regionen im AWS Key Management Service Entwicklerhandbuch.

Da Schlüsselrichtlinien AWS KMS nicht zwischen verwandten Schlüsseln mit mehreren Regionen kopiert oder synchronisiert werden, müssen Sie jede Schlüsselrichtlinie separat konfigurieren. Konfigurieren Sie die Schlüsselrichtlinie für den Primärschlüssel und für jeden Replikatschlüssel. Die Richtlinie jedes Replikatschlüssels muss mindestens den Aufruf durch den Lambda-Serviceprinzipal ermöglichen. kms:Decrypt Diese Berechtigung ermöglicht Lambda, den Datenschlüssel in dieser Region zu entschlüsseln. Weitere Informationen finden Sie unter Autorisieren der Verwendung von Schlüsseln für mehrere Regionen im Entwicklerhandbuch.AWS Key Management Service

Konfiguration von Berechtigungen zur Verwendung eines vom Kunden verwalteten Schlüssels

Um eine Revision mit einem vom Kunden verwalteten Schlüssel zu erstellen, benötigen Sie die folgenden Berechtigungen für den AWS KMS Schlüssel:

Die Erstellungsanforderung schlägt fehl, wenn der Schlüssel fehlt, deaktiviert ist, kein symmetrischer Verschlüsselungsschlüssel ist oder der Zugriff mit den erforderlichen Berechtigungen nicht möglich ist.

Die AWS KMS Schlüsselrichtlinie muss auch dem Lambda-Service Principal (lambda.amazonaws.com) den Aufruf kms:Decrypt ermöglichen. Lambda verwendet diese Berechtigung, um den Datenschlüssel zu entschlüsseln, wenn es Ausführungsumgebungen für die Revision startet. Der Service Principal benötigt nicht. kms:DescribeKey Der Principal, der die Webfunktion oder Revision erstellt, benötigt diese Berechtigung.

Beispiel für eine Schlüsselrichtlinie

Die folgende wichtige Richtlinie enthält die drei Anweisungen, die für Webfunktionen erforderlich sind, wobei jeweils die unter beschriebenen Bedingungen gelten. Einschränkung des Zugriffs auf Ihren KMS-Schlüssel Die erste Anweisung gewährt dem Lambda-Serviceprinzipal die Berechtigungen, die er benötigt, um Ausführungsumgebungen zu starten. Die zweite und dritte gewähren dem Prinzipal, der Revisionen erstellt, die Berechtigungen, die er zum Zeitpunkt der Erstellung benötigt.

kms:DescribeKeybefindet sich in einer separaten Anweisung, da es sich um einen Metadatenvorgang handelt, der keinen Verschlüsselungskontext enthält. Eine Bedingung für den Verschlüsselungskontext würde niemals mit einer DescribeKey Anfrage übereinstimmen, sodass diese Bedingung nur für die Anweisung gilt, die kms:GenerateDataKey und gewährtkms:Decrypt.

Dieses Beispiel zeigt nur die Anweisungen, die Lambda für Web Functions benötigt. Fügen Sie diese Anweisungen zu Ihrer bestehenden Schlüsselrichtlinie hinzu, anstatt sie zu ersetzen, und behalten Sie die Anweisungen bei, die Ihren Administratoren Zugriff auf die Verwaltung des Schlüssels gewähren.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Allow Lambda to decrypt the data key for Web Function revisions",
            "Effect": "Allow",
            "Principal": { "Service": "lambda.amazonaws.com" },
            "Action": "kms:Decrypt",
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "kms:EncryptionContext:aws:lambda:WebFunctionRevisionArn": "arn:aws:lambda:us-east-1:111122223333:web-function/my-function/revision/*",
                    "aws:SourceArn": "arn:aws:lambda:us-east-1:111122223333:web-function/my-function/revision/*"
                }
            }
        },
        {
            "Sid": "Allow the revision creator to generate and validate data keys",
            "Effect": "Allow",
            "Principal": { "AWS": "arn:aws:iam::111122223333:role/MyWebFunctionDeployRole" },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "kms:EncryptionContext:aws:lambda:WebFunctionRevisionArn": "arn:aws:lambda:us-east-1:111122223333:web-function/my-function/revision/*"
                },
                "StringEquals": {
                    "kms:ViaService": "lambda.us-east-1.amazonaws.com"
                }
            }
        },
        {
            "Sid": "Allow the revision creator to describe the key",
            "Effect": "Allow",
            "Principal": { "AWS": "arn:aws:iam::111122223333:role/MyWebFunctionDeployRole" },
            "Action": "kms:DescribeKey",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "lambda.us-east-1.amazonaws.com"
                }
            }
        }
    ]
}

Weitere Informationen zu AWS KMS wichtigen Richtlinien finden Sie unter Wichtige Richtlinien AWS KMS im AWS Key Management Service Entwicklerhandbuch.

Eine Version der Webfunktion mit einem vom Kunden verwalteten Schlüssel erstellen

Um eine Revision mit einem vom Kunden verwalteten Schlüssel zu verschlüsseln, geben Sie den Schlüssel-ARN im kmsKeyArn Parameter der Revisionskonfiguration an. Sie können diesen Parameter festlegen, wenn Sie CreateWebFunctionoder CreateWebFunctionRevisionaufrufen. Wenn Sie es weglassenkmsKeyArn, verschlüsselt Lambda die Revision mit dem. AWS-eigener Schlüssel

Ändern der Verschlüsselungskonfiguration einer vorhandenen Webfunktion

Der kmsKeyArn Parameter ist für die gesamte Lebensdauer einer Revision festgelegt. Da Revisionen unveränderlich sind, können Sie den Schlüssel, der eine bestehende Revision schützt, nicht ändern. Um die Verschlüsselungskonfiguration zu ändern, erstellen Sie eine neue Version, die den neuen Schlüssel spezifiziert, und leiten Sie dann den Datenverkehr an diese Version weiter.

Webfunktionen unterstützen die folgenden Tastenübergänge:

Lambda verschlüsselt bestehende Revisionen nicht erneut, wenn Sie eine neue Revision mit einem anderen Schlüssel erstellen. Jede Revision bleibt mit dem Schlüssel verschlüsselt, den Sie bei der Erstellung angegeben haben. Das bedeutet, dass, solange eine frühere Version noch Traffic empfangen kann, ihr ursprünglicher Schlüssel aktiviert und für den Lambda-Serviceprinzipal zugänglich bleiben muss. Bevor Sie einen Schlüssel deaktivieren oder löschen, stellen Sie sicher, dass die Revisionsgewichte eines Endpunkts immer noch auf keine mit diesem Schlüssel verschlüsselte Version verweisen.

Einschränkung des Zugriffs auf Ihren KMS-Schlüssel

Die Schlüsselrichtlinie in Beispiel für eine Schlüsselrichtlinie schränkt den Zugriff mit den folgenden Bedingungsschlüsseln ein. Jede dieser Optionen schränkt die Verwendung des Schlüssels ein, sodass der Zugriff auf den Schlüssel nicht umfassender ist, als für die Webfunktion erforderlich ist.

Verschlüsselungskontext

Lambda legt den Verschlüsselungskontext aws:lambda:WebFunctionRevisionArn bei jeder AWS KMS Revisionsanforderung fest. Verwenden Sie eine StringLike Bedingung aufkms:EncryptionContext:aws:lambda:WebFunctionRevisionArn, um den Schlüssel auf Revisionen einer bestimmten Webfunktion zu beschränken. Wenden Sie diese Bedingung sowohl auf die Creator-Anweisung als auch auf die Lambda-Serviceprinzipal-Anweisung an.

Wenden Sie diese Bedingung nicht auf eine Erklärung an, die gewährtkms:DescribeKey. Für diesen Vorgang gibt es keinen Verschlüsselungskontext, daher würde die Bedingung ihn ablehnen.

Das folgende Beispiel zeigt die Creator-Anweisung mit der Bedingung für den Verschlüsselungskontext.

{
    "Sid": "Allow the revision creator to generate and validate data keys",
    "Effect": "Allow",
    "Principal": { "AWS": "arn:aws:iam::111122223333:role/MyWebFunctionDeployRole" },
    "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
    ],
    "Resource": "*",
    "Condition": {
        "StringLike": {
            "kms:EncryptionContext:aws:lambda:WebFunctionRevisionArn": "arn:aws:lambda:us-east-1:111122223333:web-function/my-function/revision/*"
        }
    }
}

kms: ViaService Zustand

Die kms:ViaService Bedingung schränkt den Schlüssel ein, sodass ihn nur Anfragen verwenden können, die Lambda in Ihrem Namen stellt. Der Wert ist Region-specific:. lambda.us-east-1.amazonaws.com

Mit dieser Bedingung werden direkte Aufrufe AWS KMS verweigert, die mit denselben Anmeldeinformationen getätigt wurden (z. B. wenn Sie es aws kms generate-data-key selbst ausführen), aber das Erstellen einer Webfunktion ist erfolgreich, da Lambda die AWS KMS Aufrufe für Sie durchführt.

AWS KMS verwendet keine gemeinsamen Richtlinien für verknüpfte Schlüssel aus mehreren Regionen. Jeder Replikatschlüssel hat seine eigene Richtlinie. Wenn Sie die kms:ViaService Bedingung mit einem Schlüssel für mehrere Regionen verwenden, verwenden Sie den regionalen Dienstnamen, der der Region jedes Schlüssels entspricht (z. B. lambda.us-east-1.amazonaws.com in der Schlüsselrichtlinie us-east-1 und lambda.us-west-2.amazonaws.com in der replikatschlüsselrichtlinie us-west-2). Sie können auch mehrere regionale Werte in einer Bedingung auflisten, da StringEquals eine Reihe von Werten akzeptiert wird.

Das folgende Beispiel zeigt die Creator-Anweisung sowohl mit der Bedingung als auch mit der kms:ViaService Bedingung für den Verschlüsselungskontext.

{
    "Sid": "Allow the revision creator to generate and validate data keys",
    "Effect": "Allow",
    "Principal": { "AWS": "arn:aws:iam::111122223333:role/MyWebFunctionDeployRole" },
    "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
    ],
    "Resource": "*",
    "Condition": {
        "StringLike": {
            "kms:EncryptionContext:aws:lambda:WebFunctionRevisionArn": "arn:aws:lambda:us-east-1:111122223333:web-function/my-function/revision/*"
        },
        "StringEquals": {
            "kms:ViaService": "lambda.us-east-1.amazonaws.com"
        }
    }
}

Verwirrter Abgeordneter, Schutz

Das Problem des verwirrten Stellvertreters tritt auf, wenn eine Entität, die nicht berechtigt ist, eine Aktion auszuführen, eine Entität mit mehr Rechten dazu zwingt. Da der Lambda Service Principal Ihren vom Kunden verwalteten Schlüssel verwenden kann, beschränken Sie diesen Zugriff auf die Web Function-Revisionen, die Sie besitzen. Weitere Informationen finden Sie unter Das Problem des verwirrten Stellvertreters im IAM-Benutzerhandbuch.

Wenn Lambda AWS KMS mit seinen eigenen Dienstanmeldedaten aufruft, um eine Ausführungsumgebung zu starten, sendet es den Revision-ARN als Quell-ARN und Ihre AWS-Konto ID als Quellkonto. Verwenden Sie den Schlüssel aws: SourceArn condition in der Lambda Service Principal-Anweisung, um den Schlüssel auf Revisionen einer bestimmten Webfunktion zu beschränken.

{
    "Sid": "Allow Lambda to decrypt the data key for Web Function revisions",
    "Effect": "Allow",
    "Principal": { "Service": "lambda.amazonaws.com" },
    "Action": "kms:Decrypt",
    "Resource": "*",
    "Condition": {
        "StringLike": {
            "aws:SourceArn": "arn:aws:lambda:us-east-1:111122223333:web-function/my-function/revision/*"
        }
    }
}

Um den Schlüssel auf Ihr Konto und nicht auf eine bestimmte Webfunktion zu beschränken, verwenden Sie den SourceAccount Bedingungsschlüssel aws: mit Ihrer AWS-Konto ID.

Wenden Sie diese Bedingung auf die Lambda-Serviceprinzipalanweisung an. Die kms:ViaService unter beschriebene Bedingung kms: ViaService Zustand schränkt ein, welcher Dienst den Schlüssel verwenden kann, bietet aber keinen Schutz für verwirrte Stellvertreter.

Verhalten bei Fehlern

Lambda validiert den AWS KMS Schlüssel, wenn Sie eine Revision erstellen. Die folgenden Fehler können bei der Erstellung auftreten:

Verschlüsselung mit MultiRegion Endpunkten PerRegion

Bei Webfunktionen mit MultiRegion oder PerRegion Endpunkten überprüft Lambda während der Replikation die Schlüsselverfügbarkeit in jeder Region. Wenn das Schlüsselreplikat für mehrere Regionen in einer Zielregion fehlt oder nicht darauf zugegriffen werden kann, schlägt die Replikation nur für diese Region fehl. Andere Regionen funktionieren weiterhin normal.

Sie können den Bundesstaat jeder Region einsehen und den Status aktualisieren, indem Sie anrufenGetWebFunctionEndpoint. Der Eintrag jeder Region regionalEndpoints enthält state und stateReason (den Bereitstellungsstatus der Region) updateStatus und und updateStatusReason (das Ergebnis der letzten Aktualisierung). Das Verhalten unterscheidet sich je nachdem, ob der Endpunkt erstellt oder aktualisiert wird:

Um eine fehlerhafte Region zu beheben, erstellen Sie ein Schlüsselreplikat in dieser Region oder stellen Sie den Zugriff auf das vorhandene Replikat wieder her und aktualisieren Sie dann den Endpunkt, um die Replikation erneut zu versuchen.

Überwachung der Interaktion der Webfunktionen mit AWS KMS

Sie können CloudTrail damit die AWS KMS Anfragen verfolgen, die Lambda in Ihrem Namen stellt, wenn Sie einen vom Kunden verwalteten Schlüssel mit einer Webfunktion verwenden. Informationen zum Auffinden von AWS KMS Ereignissen in Ihren CloudTrail Protokollen finden Sie unter Suchen von CloudTrail Protokollen nach AWS KMS API-Aufrufen im AWS Key Management Service Entwicklerhandbuch.

In der folgenden Tabelle sind die AWS KMS Ereignisse aufgeführt, die von Webfunktionen generiert werden, sowie die Werte, die Sie bei jedem Ereignis überprüfen können.

Die Decrypt Ereignisse GenerateDataKey und beinhalten den Verschlüsselungskontext aws:lambda:WebFunctionRevisionArn mit dem Revision-ARN. Verwenden Sie diesen Wert, um AWS KMS Anfragen für eine bestimmte Webfunktions-Revision zu identifizieren.