Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verschlüsselung der Metadaten von OpenSearch UI-Anwendungen mit vom Kunden verwalteten Schlüsseln

Visuelle Elemente und Konfigurationen werden als Metadaten für Ihre OpenSearch UI-Anwendungen gespeichert. Dazu gehören gespeicherte Abfragen, Visualisierungen und Dashboards. Daten aus den zugehörigen Datenquellen werden nicht in den Metadaten gespeichert. Informationen zur Verschlüsselung von Daten in Ihren Datenquellen finden Sie unter Datenschutz in Amazon OpenSearch Service für OpenSearch Domains und Verschlüsselung in Amazon OpenSearch Serverless für serverlose Sammlungen.

Ihre OpenSearch UI-Metadaten sind durch Verschlüsselung im Ruhezustand geschützt. Dies verhindert unbefugten Zugriff. Die Verschlüsselung verwendet AWS Key Management Service (AWS KMS) zum Speichern und Verwalten der Verschlüsselungsschlüssel. Standardmäßig werden OpenSearch UI-Metadaten mit AWS eigenen Schlüsseln verschlüsselt.

Sie können auch die CMK-Funktion (Customer Managed Key) verwenden, um Ihre eigenen Verschlüsselungsschlüssel zu verwalten. Auf diese Weise können Sie gesetzliche Vorschriften und Compliance-Anforderungen erfüllen. Um CMK verwenden zu können, müssen Sie eine neue OpenSearch UI-Anwendung erstellen und CMK im Erstellungsprozess aktivieren. Es wird derzeit nicht unterstützt, eine bestehende OpenSearch UI-Anwendung von einem AWS eigenen Schlüssel auf CMK zu aktualisieren.

Wann sollten vom Kunden verwaltete Schlüssel verwendet werden:

Wenn Sie einen vom Kunden verwalteten Schlüssel verwenden, haben Sie die volle Kontrolle über den Schlüssel. Dies beinhaltet die Fähigkeit:

Voraussetzungen für die Verwendung von vom Kunden verwalteten Schlüsseln

Bevor Sie einen vom Kunden verwalteten Schlüssel zum Verschlüsseln der Metadaten Ihrer OpenSearch UI-Anwendung verwenden können, müssen Sie in einen symmetrischen Verschlüsselungsschlüssel erstellen. AWS KMS Anweisungen zum Erstellen von Schlüsseln finden Sie unter Schlüssel erstellen im AWS KMS Entwicklerhandbuch.

Die Schlüsselrichtlinie für Ihren vom Kunden verwalteten Schlüssel muss die OpenSearch Benutzerschnittstelle zur Verwendung des Schlüssels berechtigen. Verwenden Sie die folgende wichtige Richtlinie und ersetzen Sie sie durch Ihre eigenen Informationen: placeholder values

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AllowOpenSearchUIToUseKey",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "application.opensearchservice.amazonaws.com"
                ]
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowKeyAdministration",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account-id:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        }
    ]
}

Die Richtlinie enthält zwei Anweisungen:

Weitere Informationen zu wichtigen Richtlinien finden Sie unter Verwenden von Schlüsselrichtlinien AWS KMS im AWS KMS Entwicklerhandbuch.

Eine Anwendung mit vom Kunden verwalteter Schlüsselverschlüsselung mithilfe der Konsole erstellen

Wenn Sie eine OpenSearch UI-Anwendung in der Konsole erstellen, können Sie einen vom Kunden verwalteten Schlüssel zum Verschlüsseln der Metadaten der Anwendung angeben.

Erstellen einer Anwendung mit vom Kunden verwalteter Schlüsselverschlüsselung mit dem AWS CLI

Um eine OpenSearch Benutzeroberflächenanwendung mit vom Kunden verwalteter Schlüsselverschlüsselung mit dem zu erstellen AWS CLI, verwenden Sie den Befehl create-application mit dem --kms-key-arn Parameter.

Ersetzen Sie placeholder values durch Ihre Informationen.

aws opensearch create-application \
    --name my-application \
    --kms-key-arn arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012

Wenn Sie den --kms-key-arn Parameter nicht angeben, OpenSearch verwendet einen AWS-verwalteten Schlüssel, um die Metadaten der Anwendung zu verschlüsseln.

Überwachung der Verwendung von vom Kunden verwalteten Schlüsseln

Wenn Sie einen vom Kunden verwalteten Schlüssel mit einer OpenSearch UI-Anwendung verwenden, wird jede Verwendung des Schlüssels in AWS CloudTrail Protokollen AWS KMS aufgezeichnet. Sie können diese Protokolle verwenden, um zu überwachen, wie und wann Ihr Schlüssel verwendet wird. Die Protokolle zeigen, welcher Benutzer oder Dienst auf den Schlüssel zugegriffen hat.

AWS AWS KMS wechselt jedes Jahr automatisch die vom Kunden verwalteten Schlüssel. Sie können Schlüssel auch manuell nach Bedarf drehen. Weitere Informationen zur Schlüsselrotation finden Sie unter Rotation von KMS-Schlüsseln im AWS KMS Entwicklerhandbuch.

Weitere Informationen zur Überwachung der Schlüsselnutzung finden Sie unter Protokollieren von AWS KMS API-Aufrufen mit AWS CloudTrail im AWS KMS Entwicklerhandbuch.

Die Verschlüsselungseinstellungen werden aktualisiert

Nachdem Sie eine OpenSearch UI-Anwendung erstellt haben, können Sie ihre Verschlüsselungseinstellungen nicht mehr ändern. Wenn Sie einen anderen vom Kunden verwalteten Schlüssel verwenden müssen, müssen Sie eine neue Anwendung erstellen. Wenn Sie zwischen AWS-verwalteten und kundenverwalteten Schlüsseln wechseln müssen, müssen Sie auch eine neue Anwendung mit den gewünschten Verschlüsselungseinstellungen erstellen.

Nächste Schritte

Nachdem Sie die CMK-Verschlüsselung für Ihre Anwendung konfiguriert haben, können Sie: