Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Cifrado en reposo con claves gestionadas por el cliente

Resilience Hub de última generación proporciona cifrado de forma predeterminada para proteger los datos confidenciales de los clientes que están en reposo. Claves propiedad de AWS

Si bien no puede deshabilitar esta capa de cifrado ni seleccionar un tipo de cifrado alternativo, puede agregar una segunda capa de cifrado especificando una clave administrada por el cliente al crear un recurso de servicio:

La siguiente tabla resume cómo Resilience Hub de próxima generación cifra los datos confidenciales.

Cómo utiliza Resilience Hub de próxima generación las subvenciones en AWS KMS

La próxima generación de Resilience Hub requiere una subvención para utilizar su clave gestionada por el cliente durante los flujos de trabajo de evaluación asincrónica.

Cuando crea un servicio con una clave gestionada por el cliente, Resilience Hub de próxima generación crea una subvención en su nombre enviando una CreateGrantsolicitud a. AWS KMS La concesión se limita al contexto de cifrado de su servicio y solo permite las siguientes operaciones:

La subvención se retira cuando se elimina el servicio. También puedes revocar el acceso a la concesión o eliminar el acceso del servicio a la clave gestionada por el cliente en cualquier momento. Si lo hace, Resilience Hub de próxima generación no podrá acceder a ninguno de los datos cifrados por la clave gestionada por el cliente, lo que afectará a las operaciones de la API y a los flujos de trabajo de evaluación que dependen de esos datos.

Para las operaciones de API sincrónicas (como crear o actualizar un servicio), Resilience Hub de última generación utiliza directamente los permisos de la persona que llama en la clave KMS, sin necesidad de concederlos.

Creación de una clave administrada por el cliente

Puede crear una clave de cifrado simétrico gestionada por el cliente mediante las API Consola de administración de AWS o las API. AWS KMS

Para crear una clave de cifrado simétrico gestionada por el cliente

Siga los pasos de Creación de claves de KMS de cifrado simétricas en la Guía para desarrolladores de AWS Key Management Service .

Especificar una clave gestionada por el cliente para Resilience Hub de próxima generación

Puede especificar una clave gestionada por el cliente al crear un servicio, un sistema o una política de resiliencia. Cuando proporciona un identificador de clave de KMS, Resilience Hub de próxima generación utiliza esa clave para cifrar todos los datos confidenciales asociados al recurso.

Puede especificar la clave mediante cualquiera de los siguientes identificadores clave:

Para especificar una clave gestionada por el cliente, utilice el kmsKeyId parámetro al llamar a las operaciones CreateServiceCreateSystem, o de la CreatePolicy API.

Política de claves

Las políticas de clave controlan el acceso a la clave administrada por el cliente. Cada clave administrada por el cliente debe tener exactamente una política de clave, que contiene instrucciones que determinan quién puede usar la clave y cómo puede utilizarla. Cuando crea la clave administrada por el cliente, puede especificar una política de clave. Para obtener más información, consulte Administración del acceso a las claves en la Guía para desarrolladores de AWS Key Management Service .

La siguiente política clave permite que Resilience Hub de próxima generación utilice su clave. Limita cada permiso únicamente a las operaciones que requiere la próxima generación de Resilience Hub, y utiliza condiciones de contexto de cifrado para garantizar que su clave solo se pueda utilizar para sus recursos específicos. Reemplace CUSTOMER-ACCOUNT-ID CUSTOMER-ROLE y REGION con sus valores.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "AllowResilienceHubDescribeKey",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": "kms:DescribeKey",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubEncryptDecryptForServices",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:service-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:service/*"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubEncryptDecryptForSystems",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:system-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:system/*"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubEncryptDecryptForPolicies",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:policy-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:policy/*"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubCreateGrantForAsyncWorkflows",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": "kms:CreateGrant",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com",
                    "kms:GrantConstraintType": "EncryptionContextSubset"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:service-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:service/*"
                },
                "ForAllValues:StringEquals": {
                    "kms:GrantOperations": [
                        "Encrypt",
                        "Decrypt",
                        "GenerateDataKey"
                    ]
                }
            }
        }
    ]
}

Las declaraciones de política proporcionan los siguientes permisos:

Para obtener más información sobre cómo especificar permisos en una política, consulte la Guía para desarrolladores de AWS Key Management Service .

Para obtener información sobre la solución de problemas de acceso a las claves, consulte la Guía para desarrolladores de AWS Key Management Service .

Contexto de cifrado de Resilience Hub de última generación

Un contexto de cifrado es un conjunto opcional de pares clave-valor que pueden contener información contextual adicional sobre los datos.

AWS KMS utiliza el contexto de cifrado como datos autenticados adicionales para respaldar el cifrado autenticado. Al incluir un contexto de cifrado en una solicitud de cifrado de datos, AWS KMS vincula el contexto de cifrado a los datos cifrados. Para descifrar los datos, debe incluir el mismo contexto de cifrado en la solicitud.

Contexto de cifrado Resilience Hub de última generación

La próxima generación de Resilience Hub utiliza las siguientes claves de contexto de cifrado según el tipo de recurso:

Ejemplo de contexto de cifrado para una operación de nivel de servicio:

"encryptionContext": {
    "aws:resiliencehub:service-arn": "arn:aws:resiliencehub:us-west-2:111122223333:service/my-service:abc123"
}

Uso del contexto de cifrado para la supervisión

Si utiliza una clave de cifrado simétrico gestionada por el cliente para cifrar sus datos, puede utilizar el contexto de cifrado en los registros y registros de auditoría para identificar cómo se utiliza la clave gestionada por el cliente. El contexto de cifrado aparece en los registros generados por. AWS CloudTrail

Uso del contexto de cifrado para controlar el acceso

Puede utilizar el contexto de cifrado en las políticas clave y en las políticas de IAM conditions para controlar el acceso a su clave de cifrado simétrico gestionada por el cliente. Puede usar también una restricción de contexto de cifrado en una concesión.

La próxima generación de Resilience Hub utiliza una restricción de subconjunto del contexto de cifrado en las subvenciones para garantizar que los flujos de trabajo asíncronos solo puedan cifrar y descifrar los datos que pertenezcan al servicio específico para el que se creó la subvención.

Supervisión de sus claves de cifrado para Resilience Hub de última generación

Cuando utiliza una clave gestionada por el cliente con sus recursos de Resilience Hub de próxima generación, puede utilizarla AWS CloudTrailpara realizar un seguimiento de las solicitudes que envía Resilience Hub de próxima generación AWS KMS.

Más información

Los siguientes recursos proporcionan más información sobre cifrado de datos en reposo.