Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Cifrado en reposo

De forma predeterminada, Amazon Inspector almacena los datos en reposo mediante soluciones de AWS cifrado. Amazon Inspector cifra datos, como los siguientes:

No puede administrar, usar ni ver las claves AWS propias. Sin embargo, no necesita realizar acciones ni cambiar programas para proteger las claves que cifran los datos. Para obtener más información, consulte claves propiedad de AWS.

Al desactivar Amazon Inspector, se eliminan permanentemente todos los recursos almacenados o mantenidos, incluidos los inventarios recopilados y los resultados de seguridad.

Cifrado de código en reposo en los resultados

Para realizar los análisis de código de Lambda, Amazon Inspector colabora conjuntamente con Amazon Q para analizar el código en busca de vulnerabilidades. Cuando se detecta una vulnerabilidad, Amazon Q extrae un fragmento del código que contiene la vulnerabilidad y lo almacena hasta que Amazon Inspector solicite acceso. De forma predeterminada, Amazon Q utiliza una AWS clave propia para cifrar el código extraído. Sin embargo, puede configurar Amazon Inspector para que utilice su propia AWS KMS clave gestionada por el cliente para el cifrado.

En el siguiente flujo de trabajo se describe cómo Amazon Inspector utiliza la clave que ha configurado para cifrar el código:

Permisos para el cifrado de código con una clave administrada por el cliente

Para el cifrado, debe crear una clave de KMS con una política que incluya una instrucción que permita a Amazon Inspector y Amazon Q realizar las siguientes acciones.

Declaración de la política

Puede utilizar la siguiente instrucción de política al crear la clave de KMS.

{
  "Effect": "Allow",
  "Principal": {
    "Service": "q.amazonaws.com"
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:GenerateDataKeyWithoutPlaintext",
    "kms:GenerateDataKey"
  ],
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:EncryptionContext:aws:qdeveloper:lambda-codescan-scope": "account-id"
    },
    "StringEquals": {
      "aws:SourceAccount": "account-id"
    },
    "ArnLike": {
      "aws:SourceArn": "arn:aws:qdeveloper:Region:account-id:scans/*"
    }
  }
},
{
  "Effect": "Allow",
  "Principal": {
    "Service": "q.amazonaws.com"
  },
  "Action": "kms:DescribeKey",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "aws:SourceAccount": "account-id"
    },
    "ArnLike": {
      "aws:SourceArn": "arn:aws:qdeveloper:Region:account-id:scans/*"
    }
  }
},
{
  "Effect": "Allow",
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:GenerateDataKeyWithoutPlaintext",
    "kms:GenerateDataKey"
  ],
  "Principal": {
    "AWS": "role-ARN"
  },
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ViaService": "inspector2.Region.amazonaws.com"
    },
    "StringLike": {
      "kms:EncryptionContext:aws:qdeveloper:lambda-codescan-scope": "account-id"
    }
  }
},
{
  "Effect": "Allow",
  "Action": [
    "kms:DescribeKey"
  ],
  "Principal": {
    "AWS": "role-ARN"
  },
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ViaService": "inspector2.Region.amazonaws.com"
    }
  }
}

La instrucción de la política está formateada en JSON. Después de incluir la instrucción, revise la política para asegurarse de que la sintaxis es válida. Si la instrucción es la última de la política, coloque la coma después del corchete de cierre de la instrucción anterior. Si la instrucción es la primera o está entre dos instrucciones existentes en la política, coloque una coma después del corchete de cierre de la instrucción.

Si configuras, actualizas o restableces la clave de cifrado de tu cuenta, debes usar una política de administrador de Amazon Inspector, como la política AWS gestionadaAmazonInspector2FullAccess.

Configuración del cifrado con una clave administrada por el cliente

Para configurar el cifrado en su cuenta con una clave administrada por el cliente, debe ser administrador de Amazon Inspector y contar con los permisos que se indican en Permisos para el cifrado de código con una clave administrada por el cliente. Además, necesitará una AWS KMS clave en la misma AWS región que sus hallazgos o una clave multirregional. Puede utilizar una clave simétrica existente en su cuenta o crear una clave simétrica gestionada por el cliente mediante la consola de AWS administración o la. AWS KMS APIs Para obtener más información, consulte Creación de AWS KMS claves de cifrado simétricas en la guía del AWS KMS usuario.

Uso de la API de Amazon Inspector para configurar el cifrado

Para configurar una clave de cifrado, el UpdateEncryptionKeyfuncionamiento de la API de Amazon Inspector cuando se ha iniciado sesión como administrador de Amazon Inspector. En la solicitud de API, usa el kmsKeyId campo para especificar el ARN de la AWS KMS clave que deseas usar. Para scanType, introduzca CODE y, para resourceType, introduzca AWS_LAMBDA_FUNCTION.

Puedes usar la UpdateEncryptionKeyAPI para comprobar qué AWS KMS clave utiliza Amazon Inspector para el cifrado.

Si elimina la clave o cambia su política para denegar el acceso a Amazon Inspector o Amazon Q, no podrá acceder a los resultados de vulnerabilidades de código y se producirán errores en los análisis de código de Lambda que realice en la cuenta.

Puede utilizarla ResetEncryptionKey para volver a utilizar una clave AWS propia para cifrar el código extraído como parte de las conclusiones de Amazon Inspector.