Verschlüsselung im Ruhezustand

Standardmäßig bietet Ihnen Amazon Managed Service for Prometheus automatisch Verschlüsselung im Ruhezustand, wobei AWS eigene Verschlüsselungsschlüssel verwendet werden.

Die Verschlüsselung von Daten im Ruhezustand trägt dazu bei, den betrieblichen Aufwand und die Komplexität zu reduzieren, die mit dem Schutz sensibler Kundendaten, z. B. personenbezogener Daten, verbunden sind. Sie können damit sichere Anwendungen erstellen, die strenge Verschlüsselungsvorschriften und gesetzliche Auflagen erfüllen.

Wenn Sie Ihren Workspace erstellen, können Sie sich alternativ dafür entscheiden, einen kundenverwalteten Schlüssel zu verwenden:

Wählen Sie sorgfältig aus, ob Sie vom Kunden verwaltete Schlüssel oder AWS eigene Schlüssel verwenden möchten. Workspaces, die mit kundenverwalteten Schlüsseln erstellt wurden, können später nicht mehr in die Verwendung AWS eigener Schlüssel umgewandelt werden (und umgekehrt).

Weitere Informationen zu AWS KMS finden Sie unter Was ist AWS Key Management Service?

So verwendet Amazon Managed Service for Prometheus Zuschüsse in AWS KMS

Amazon Managed Service for Prometheus benötigt drei Erteilungen, um Ihren kundenverwalteten Schlüssel verwenden zu können.

Wenn Sie einen Amazon Managed Service for Prometheus Workspace erstellen, der mit einem vom Kunden verwalteten Schlüssel verschlüsselt ist, erstellt Amazon Managed Service for Prometheus die drei Grants in Ihrem Namen, indem es Anfragen an sendet. CreateGrant AWS KMS Grants in AWS KMS werden verwendet, um Amazon Managed Service for Prometheus Zugriff auf den KMS-Schlüssel in Ihrem Konto zu gewähren, auch wenn dieser nicht direkt in Ihrem Namen aufgerufen wird (z. B. beim Speichern von Metrikdaten, die aus einem Amazon EKS-Cluster gescrapt wurden).

Amazon Managed Service for Prometheus benötigt die Erteilung, um Ihren kundenverwalteten Schlüssel für die folgenden internen Vorgänge zu verwenden:

Amazon Managed Service for Prometheus gewährt dem AWS KMS Schlüssel drei Zuschüsse, sodass Amazon Managed Service for Prometheus den Schlüssel in Ihrem Namen verwenden kann. Sie können den Zugriff auf den Schlüssel entziehen, indem Sie die Schlüsselrichtlinie ändern, den Schlüssel deaktivieren oder die Erteilung widerrufen. Machen Sie sich mit den Konsequenzen dieser Aktionen vertraut, bevor Sie sie ausführen. Andernfalls kann es zu Datenverlusten in Ihrem Workspace kommen.

Wenn Sie den Zugriff auf eine der Erteilungen widerrufen, kann Amazon Managed Service for Prometheus mit dem kundenverwalteten Schlüssel weder auf die verschlüsselten Daten zugreifen noch neue an den Workspace gesendete Daten speichern, was sich nachteilig auf die Vorgänge auswirkt, die auf diese Daten angewiesen sind. Auf neue an den Workspace gesendete Daten kann nicht zugegriffen werden und sie können dauerhaft verloren gehen.

Schritt 1: Erstellen eines kundenverwalteten Schlüssels

Sie können einen symmetrischen, vom Kunden verwalteten Schlüssel erstellen, indem Sie den, oder den verwenden. AWS Management Console AWS KMS APIs Der Schlüssel muss sich nicht in demselben Konto wie der Workspace in Amazon Managed Service for Prometheus befinden, solange Sie wie unten beschrieben über die Richtlinie den erforderlichen Zugriff gewähren.

Einen symmetrischen kundenverwalteten Schlüssel erstellen

Folgen Sie den Schritten zum Erstellen eines symmetrischen kundenverwalteten Schlüssels im Entwicklerhandbuch zum AWS Key Management Service .

Schlüsselrichtlinie

Schlüsselrichtlinien steuern den Zugriff auf den vom Kunden verwalteten Schlüssel. Jeder vom Kunden verwaltete Schlüssel muss über genau eine Schlüsselrichtlinie verfügen, die aussagt, wer den Schlüssel wie verwenden kann. Wenn Sie Ihren vom Kunden verwalteten Schlüssel erstellen, können Sie eine Schlüsselrichtlinie angeben. Weitere Informationen finden Sie unter Verwalten des Zugriffs auf kundenverwaltete Schlüssel im Entwicklerhandbuch zum AWS Key Management Service .

In der Schlüsselrichtlinie müssen die folgenden API-Vorgänge zugelassen sein, um Ihren kundenverwalteten Schlüssel mit Ihren Workspaces in Amazon Managed Service for Prometheus zu verwenden:

Im Folgenden sind Beispiele für Richtlinienanweisungen aufgeführt, die Sie für den Amazon Managed Service for Prometheus hinzufügen können:

  "Statement" : [ 
    {
      "Sid" : "Allow access to Amazon Managed Service for Prometheus principal within your account",
      "Effect" : "Allow",
      "Principal" : {
        "AWS" : "*"
      },
      "Action" : [ 
        "kms:DescribeKey", 
        "kms:CreateGrant",
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource" : "*",
      "Condition" : {
        "StringEquals" : {
          "kms:ViaService" : "aps.region.amazonaws.com",
          "kms:CallerAccount" : "111122223333"
        }
    },
    {
      "Sid": "Allow access for key administrators - not required for Amazon Managed Service for Prometheus",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:root"
       },
      "Action" : [ 
        "kms:*"
       ],
      "Resource": "arn:aws:kms:region:111122223333:key/key_ID"
    },
    <other statements needed for other non-Amazon Managed Service for Prometheus scenarios>
  ]

Schritt 2: Angeben eines vom Kunden verwalteten Schlüssels für Amazon Managed Service for Prometheus

Wenn Sie einen Workspace erstellen, können Sie den kundenverwalteten Schlüssel angeben, indem Sie einen KMS-Schlüssel-ARN eingeben, den Amazon Managed Service for Prometheus verwendet, um die im Workspace gespeicherten Daten zu verschlüsseln.

Schritt 3: Zugreifen auf Daten von anderen Diensten wie Amazon Managed Grafana

Dieser Schritt ist optional — er ist nur erforderlich, wenn Sie von einem anderen Service aus auf Ihre Amazon Managed Service for Prometheus-Daten zugreifen müssen.

Auf Ihre verschlüsselten Daten kann von anderen Diensten nicht zugegriffen werden, es sei denn, diese haben ebenfalls Zugriff auf den AWS KMS Schlüssel. Wenn Sie beispielsweise Amazon Managed Grafana verwenden möchten, um ein Dashboard oder eine Warnung für Ihre Daten zu erstellen, müssen Sie Amazon Managed Grafana Zugriff auf den Schlüssel gewähren.

Ihr Amazon Managed Grafana-Arbeitsbereich kann jetzt auf die Daten in Ihrem Amazon Managed Service for Prometheus-Arbeitsbereich zugreifen. Sie können den Hauptbenutzern weitere Benutzer oder Rollen hinzufügen, damit andere Dienste auf Ihren Workspace zugreifen können.

Verschlüsselungskontext im Amazon Managed Service for Prometheus

Ein Verschlüsselungskontext ist ein optionaler Satz von Schlüssel-Wert-Paaren, die zusätzliche kontextbezogene Informationen zu den Daten enthalten.

AWS KMS verwendet den Verschlüsselungskontext als zusätzliche authentifizierte Daten, um die authentifizierte Verschlüsselung zu unterstützen. Wenn Sie einen Verschlüsselungskontext in eine Anforderung zum Verschlüsseln von Daten einbeziehen, wird der Verschlüsselungskontext AWS KMS an die verschlüsselten Daten gebunden. Zur Entschlüsselung von Daten müssen Sie denselben Verschlüsselungskontext in der Anfrage übergeben.

Verschlüsselungskontext im Amazon Managed Service for Prometheus

Amazon Managed Service for Prometheus verwendet bei allen AWS KMS kryptografischen Vorgängen denselben Verschlüsselungskontext, wobei der Schlüssel aws:amp:arn und der Wert der Amazon-Ressourcenname (ARN) des Workspace ist.

"encryptionContext": {
    "aws:aps:arn": "arn:aws:aps:us-west-2:111122223333:workspace/ws-sample-1234-abcd-56ef-7890abcd12ef"
}

Verwenden des Verschlüsselungskontexts für die Überwachung

Wenn Sie einen symmetrischen, vom Kunden verwalteten Schlüssel verwenden, um Ihre Workspace-Daten zu verschlüsseln, können Sie den Verschlüsselungskontext auch in Prüfaufzeichnungen und Protokollen verwenden, um zu ermitteln, wie der kundenverwaltete Schlüssel verwendet wird. Der Verschlüsselungskontext erscheint auch in Protokollen, die von Amazon CloudWatch Logs generiert wurden AWS CloudTrail.

Verwendung des Verschlüsselungskontextes zur Steuerung des Zugriffs auf den vom Kunden verwalteten Schlüssel

Sie können den Verschlüsselungskontext in Schlüsselrichtlinien und IAM-Richtlinien als conditions verwenden, um den Zugriff auf Ihren symmetrischen, kundenverwalteten Schlüssel zu kontrollieren. Sie können Verschlüsselungskontext-Einschränkungen auch in einer Genehmigung verwenden.

Amazon Managed Service for Prometheus verwendet eine Einschränkung des Verschlüsselungskontextes bei Erteilungen, um den Zugriff auf den kundenverwalteten Schlüssel in Ihrem Konto oder Ihrer Region zu steuern. Eine Genehmigungseinschränkung erfordert, dass durch die Genehmigung ermöglichte Vorgänge den angegebenen Verschlüsselungskontext verwenden.

{
    "Sid": "Enable DescribeKey",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/ExampleReadOnlyRole"
     },
     "Action": "kms:DescribeKey",
     "Resource": "*"
},
{
     "Sid": "Enable CreateGrant",
     "Effect": "Allow",
     "Principal": {
         "AWS": "arn:aws:iam::111122223333:role/ExampleReadOnlyRole"
     },
     "Action": "kms:CreateGrant",
     "Resource": "*",
     "Condition": {
         "StringEquals": {
             "kms:EncryptionContext:aws:aps:arn": "arn:aws:aps:us-west-2:111122223333:workspace/ws-sample-1234-abcd-56ef-7890abcd12ef"
          }
     }
}

Überwachen Ihrer Verschlüsselungsschlüssel für Amazon Managed Service for Prometheus

Wenn Sie einen vom AWS KMS Kunden verwalteten Schlüssel mit Ihren Amazon Managed Service for Prometheus Workspaces verwenden, können Sie AWS CloudTrailoder Amazon CloudWatch Logs verwenden, um Anfragen nachzuverfolgen, an die Amazon Managed Service for Prometheus sendet. AWS KMS

Die folgenden Beispiele sind AWS CloudTrail Ereignisse fürCreateGrant,GenerateDataKey, und DescribeKey zur Überwachung von KMS-VorgängenDecrypt, die von Amazon Managed Service for Prometheus aufgerufen werden, um auf Daten zuzugreifen, die mit Ihrem vom Kunden verwalteten Schlüssel verschlüsselt wurden:

Weitere Informationen

Die folgenden Ressourcen enthalten weitere Informationen zur Datenverschlüsselung im Ruhezustand: