Administración de claves de Amazon SQS

Amazon SQS se integra con AWS Key Management Service (KMS) para administrar las claves de KMS para el cifrado del servidor (SSE). Consulte Cifrado en reposo en Amazon SQS para obtener información sobre SSE y las definiciones de administración de claves. Amazon SQS utiliza las claves de KMS para validar y proteger las claves de datos que cifran y descifran los mensajes. En las siguientes secciones se proporciona información sobre cómo trabajar con las claves de KMS y las claves de datos en el servicio de Amazon SQS.

Configuración de los permisos de AWS KMS

Cada clave de KMS debe tener una política de claves. Tenga en cuenta que no puede modificar la política de claves de una clave de KMS administrada por AWS para Amazon SQS. La política de esta clave de KMS incluye permisos para que todas las entidades principales de la cuenta (que tienen permiso para usar Amazon SQS) utilicen colas cifradas.

Amazon SQS distingue entre quienes realizan llamadas en función de sus credenciales de AWS, ya sea que utilicen diferentes cuentas de AWS, usuarios de IAM o roles de IAM. Además, el mismo rol de IAM con diferentes políticas de alcance se considerará como solicitantes distintos. Sin embargo, cuando se utilizan sesiones de rol de IAM, cambiar solo el RoleSessionName manteniendo el mismo rol de IAM y las mismas políticas de alcance no creará solicitantes distintos. Por lo tanto, al especificar las entidades principales de la política de claves de AWS KMS, evite basarse únicamente en las diferencias de RoleSessionName, ya que estas sesiones se considerarán como el mismo solicitante.

De forma alternativa, puede especificar los permisos necesarios en una política de IAM asignada a las entidades principales que producen y consumen mensajes cifrados. Para obtener más información, consulte Uso de políticas de IAM con AWS KMS en la Guía para desarrolladores de AWS Key Management Service.

Configurar permisos de KMS para servicios de AWS

Varios servicios de AWS actúan como orígenes de eventos que pueden enviar eventos a colas de Amazon SQS. Para permitir que estos orígenes de eventos funcionen con colas cifradas, debe crear una clave de KMS administrada por el cliente y agregar permisos en la política de claves para que el servicio utilice los métodos de la API de AWS KMS requeridos. Realice los siguientes pasos para configurar los permisos.

Configurar permisos de AWS KMS para los productores

Cuando caduca el periodo de reutilización de la clave de datos, la siguiente llamada del productor a SendMessage o SendMessageBatch también desencadena llamadas a kms:Decrypt y kms:GenerateDataKey. La llamada a kms:Decrypt es para verificar la integridad de la nueva clave de datos antes de usarla. Por lo tanto, el productor debe tener los permisos kms:Decrypt y kms:GenerateDataKey para la clave de KMS.

Agregue la siguiente instrucción a la política de IAM del productor. Recuerde utilizar los valores de ARN correctos para el recurso de clave y el recurso de cola.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:us-east-2:123456789012:key/111112222233333"
        },
        {
            "Effect": "Allow",
            "Action": [
                "sqs:SendMessage"
            ],
            "Resource": "arn:aws:sqs:*:123456789012:MyQueue"
        }
    ]
}

Configurar permisos de AWS KMS para los consumidores

Cuando caduca el periodo de reutilización de la clave de datos, la siguiente llamada del cliente a ReceiveMessage también desencadena una llamada a kms:Decrypt, para verificar la integridad de la nueva clave de datos antes de usarla. Por lo tanto, el cliente debe tener el permiso kms:Decrypt para cualquier clave de KMS que se utilice para cifrar los mensajes en la cola especificada. Si la cola funciona como una cola de mensajes fallidos, el consumidor también debe tener el permiso kms:Decrypt para todas las clave de KMS que se utilicen para cifrar los mensajes en la cola de origen. Agregue la siguiente instrucción a la política de IAM del cliente. Recuerde utilizar los valores de ARN correctos para el recurso de clave y el recurso de cola.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-2:123456789012:key/111112222233333"
        },
        {
            "Effect": "Allow",
            "Action": [
                "sqs:ReceiveMessage"
            ],
            "Resource": "arn:aws:sqs:*:123456789012:MyQueue"
        }
    ]
}

Configuración de permisos de AWS KMS con una protección de suplente confuso

Cuando la entidad principal de una instrucción de política de claves es una entidad principal de servicio de AWS, puede utilizar las claves de condición global aws:SourceArn o aws:SourceAccount para protegerse del escenario del suplente confuso. Para utilizar estas claves de condición, establezca el valor al nombre de recurso de Amazon (ARN) o la cuenta del recurso que se está cifrando. Si no conoce el ARN del recurso, utilice aws:SourceAccount en su lugar.

En esta política de claves de KMS, un recurso específico de un servicio que sea propiedad de la cuenta 111122223333 puede llamar a KMS para las acciones Decrypt y GenerateDataKey, que se producen durante el uso de SSE de Amazon SQS.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "sqs.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "ArnEquals": {
                    "aws:SourceArn": [
                        "arn:aws:sqs:us-west-1:111122223333:resource"
                    ]
                }
            }
        }
    ]
}

Cuando se utilizan colas Amazon SQS habilitadas para SSE, los siguientes servicios admiten aws:SourceArn:

Descripción del período de reutilización de la clave de datos

El periodo de reutilización de la clave de datos define la duración máxima de Amazon SQS para reutilizar la misma clave de datos. Cuando finaliza el periodo de reutilización de la clave de datos, Amazon SQS genera una nueva clave de datos. Tenga en cuenta las siguientes directrices sobre el periodo de reutilización.

Estimación de los costos de AWS KMS

Para predecir los costos y entender mejor la factura de AWS, es recomendable que sepa con qué frecuencia Amazon SQS usa la clave de KMS.

Para calcular el número de solicitudes de la API (R) por cola, utilice la siguiente fórmula:

R = (B / D) * (2 * P + C)

B es el período de facturación (en segundos).

D es el período de reutilización de claves de datos (en segundos).

P es el número de entidades principales de producción que realizan envíos a la cola de Amazon SQS.

C es el número de entidades principales de consumo que reciben información desde la cola de Amazon SQS.

A continuación se muestran algunos cálculos de ejemplo. Para obtener información exacta sobre precios, consulte Precios de AWS Key Management Service.

Ejemplo 1: cálculo del número de llamadas a la API de AWS KMS con 2 entidades principales y 1 cola

En este ejemplo se presupone lo siguiente:

(2,678,400 / 300) * (2 * 1 + 1) = 26,784

Ejemplo 2: cálculo del número de llamadas a la API de AWS KMS con varios productores y consumidores y 2 colas

En este ejemplo se presupone lo siguiente:

(2,419,200 / 86,400 * (2 * 3 + 1)) + (2,419,200 / 86,400 * (2 * 5 + 2)) = 532

AWS KMSErrores

Al trabajar con Amazon SQS y AWS KMS, es posible que se produzcan errores. Las siguientes referencias describen los errores y sus posibles soluciones.