Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verschlüsselung im Ruhezustand mit vom Kunden verwalteten Schlüsseln

Resilience Hub der nächsten Generation bietet standardmäßig Verschlüsselung, um sensible Kundendaten im Speicher zu schützen. AWS-eigene Schlüssel

Sie können diese Verschlüsselungsebene zwar nicht deaktivieren oder einen anderen Verschlüsselungstyp auswählen, aber Sie können eine zweite Verschlüsselungsebene hinzufügen, indem Sie beim Erstellen einer Serviceressource einen vom Kunden verwalteten Schlüssel angeben:

In der folgenden Tabelle wird zusammengefasst, wie Resilience Hub der nächsten Generation sensible Daten verschlüsselt.

So verwendet Resilience Hub der nächsten Generation Zuschüsse in AWS KMS

Resilience Hub der nächsten Generation benötigt einen Zuschuss für die Nutzung Ihres vom Kunden verwalteten Schlüssels bei asynchronen Bewertungsabläufen.

Wenn Sie einen Service mit einem vom Kunden verwalteten Schlüssel erstellen, erstellt Resilience Hub der nächsten Generation in Ihrem Namen einen Zuschuss, indem er eine CreateGrantAnfrage an AWS KMS sendet. Der Zuschuss ist auf den Verschlüsselungskontext Ihres Dienstes beschränkt und erlaubt nur die folgenden Operationen:

Der Zuschuss wird zurückgezogen, wenn Sie den Service löschen. Sie können auch jederzeit den Zugriff auf den Zuschuss widerrufen oder dem Service den Zugriff auf den vom Kunden verwalteten Schlüssel entziehen. Wenn Sie dies tun, kann Resilience Hub der nächsten Generation nicht auf die mit dem vom Kunden verwalteten Schlüssel verschlüsselten Daten zugreifen, was sich auf API-Operationen und Bewertungsworkflows auswirkt, die von diesen Daten abhängen.

Für synchrone API-Operationen (wie das Erstellen oder Aktualisieren eines Dienstes) verwendet Resilience Hub der nächsten Generation die Berechtigungen des Aufrufers für den KMS-Schlüssel direkt, ohne dass eine Genehmigung erforderlich ist.

Erstellen eines kundenseitig verwalteten Schlüssels

Sie können mithilfe der APIs AWS-Managementkonsole oder der APIs einen vom Kunden verwalteten symmetrischen Verschlüsselungsschlüssel erstellen. AWS KMS

Um einen vom Kunden verwalteten Schlüssel für symmetrische Verschlüsselung zu erstellen

Befolgen Sie die Schritte zur Erstellung von KMS-Schlüsseln mit symmetrischer Verschlüsselung im AWS Key Management Service -Entwicklerhandbuch.

Angabe eines vom Kunden verwalteten Schlüssels für Resilience Hub der nächsten Generation

Sie können einen vom Kunden verwalteten Schlüssel angeben, wenn Sie eine Service-, System- oder Resilienzrichtlinie erstellen. Wenn Sie eine KMS-Schlüssel-ID angeben, verwendet Resilience Hub der nächsten Generation diesen Schlüssel, um alle vertraulichen Daten zu verschlüsseln, die mit der Ressource verknüpft sind.

Sie können den Schlüssel mit einer der folgenden Schlüsselkennungen angeben:

Um einen vom Kunden verwalteten Schlüssel anzugeben, verwenden Sie den kmsKeyId Parameter beim Aufrufen der CreatePolicy API-Operationen CreateServiceCreateSystem, oder.

Schlüsselrichtlinie

Schlüsselrichtlinien steuern den Zugriff auf den vom Kunden verwalteten Schlüssel. Jeder vom Kunden verwaltete Schlüssel muss über genau eine Schlüsselrichtlinie verfügen, die aussagt, wer den Schlüssel wie verwenden kann. Wenn Sie Ihren kundenseitig verwalteten Schlüssel erstellen, können Sie eine Schlüsselrichtlinie angeben. Weitere Informationen finden Sie unter Verwalten des Zugriffs auf kundenverwaltete Schlüssel im Entwicklerhandbuch zum AWS Key Management Service .

Die folgende wichtige Richtlinie ermöglicht es Resilience Hub der nächsten Generation, Ihren Schlüssel zu verwenden. Sie beschränkt jede Berechtigung nur auf die Vorgänge, die Resilience Hub der nächsten Generation benötigt, und verwendet Verschlüsselungskontextbedingungen, um sicherzustellen, dass Ihr Schlüssel nur für Ihre spezifischen Ressourcen verwendet werden kann. Ersetzen Sie CUSTOMER-ACCOUNT-IDCUSTOMER-ROLE, und REGION durch Ihre Werte.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "AllowResilienceHubDescribeKey",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": "kms:DescribeKey",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubEncryptDecryptForServices",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:service-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:service/*"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubEncryptDecryptForSystems",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:system-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:system/*"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubEncryptDecryptForPolicies",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:policy-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:policy/*"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubCreateGrantForAsyncWorkflows",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": "kms:CreateGrant",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com",
                    "kms:GrantConstraintType": "EncryptionContextSubset"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:service-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:service/*"
                },
                "ForAllValues:StringEquals": {
                    "kms:GrantOperations": [
                        "Encrypt",
                        "Decrypt",
                        "GenerateDataKey"
                    ]
                }
            }
        }
    ]
}

Die Richtlinienerklärungen bieten die folgenden Berechtigungen:

Weitere Informationen zum Festlegen von Berechtigungen in einer Richtlinie finden Sie im AWS Key Management Service -Entwicklerhandbuch.

Weitere Informationen zur Fehlerbehebung beim Schlüsselzugriff finden Sie im AWS Key Management Service -Entwicklerhandbuch.

Resilience Hub-Verschlüsselungskontext der nächsten Generation

Ein Verschlüsselungskontext ist ein optionaler Satz von Schlüssel-Wert-Paaren, die zusätzliche kontextbezogene Informationen zu den Daten enthalten.

AWS KMS verwendet den Verschlüsselungskontext als zusätzliche authentifizierte Daten, um die authentifizierte Verschlüsselung zu unterstützen. Wenn Sie einen Verschlüsselungskontext in eine Anforderung zum Verschlüsseln von Daten einbeziehen, wird der Verschlüsselungskontext AWS KMS an die verschlüsselten Daten gebunden. Um Daten zu entschlüsseln, müssen Sie denselben Verschlüsselungskontext in die Anforderung aufnehmen.

Resilience Hub-Verschlüsselungskontext der nächsten Generation

Resilience Hub der nächsten Generation verwendet je nach Ressourcentyp die folgenden Verschlüsselungskontextschlüssel:

Beispiel für einen Verschlüsselungskontext für einen Vorgang auf Service-Ebene:

"encryptionContext": {
    "aws:resiliencehub:service-arn": "arn:aws:resiliencehub:us-west-2:111122223333:service/my-service:abc123"
}

Verwenden des Verschlüsselungskontexts für die Überwachung

Wenn Sie einen vom Kunden verwalteten symmetrischen Verschlüsselungsschlüssel zur Verschlüsselung Ihrer Daten verwenden, können Sie den Verschlüsselungskontext in Prüfaufzeichnungen und Protokollen verwenden, um zu ermitteln, wie der vom Kunden verwaltete Schlüssel verwendet wird. Der Verschlüsselungskontext erscheint in Protokollen, die von generiert wurden. AWS CloudTrail

Verwendung des Verschlüsselungskontextes zur Zugriffskontrolle

Sie können den Verschlüsselungskontext in Schlüsselrichtlinien und IAM-Richtlinien verwenden, conditions um den Zugriff auf Ihren vom Kunden verwalteten symmetrischen Verschlüsselungsschlüssel zu kontrollieren. Sie können Verschlüsselungskontext-Einschränkungen auch in einer Genehmigung verwenden.

Resilience Hub der nächsten Generation verwendet bei Zuschüssen eine Einschränkung der Teilmenge des Verschlüsselungskontextes, um sicherzustellen, dass asynchrone Workflows nur Daten verschlüsseln und entschlüsseln können, die zu dem spezifischen Dienst gehören, für den der Zuschuss erstellt wurde.

Überwachung Ihrer Verschlüsselungsschlüssel für Resilience Hub der nächsten Generation

Wenn Sie einen vom Kunden verwalteten Schlüssel mit Ihren Resilience Hub-Ressourcen der nächsten Generation verwenden, können Sie AWS CloudTraildamit Anfragen verfolgen, an die Resilience Hub der nächsten Generation sendet AWS KMS.

Weitere Informationen

Die folgenden Ressourcen enthalten weitere Informationen zur Datenverschlüsselung im Ruhezustand: