View a markdown version of this page

Políticas clave de KMS para las integraciones de venta de entradas de Security Hub - AWS Centro de seguridad
Política de permisos de Security HubAcceso de entidad principal de IAM para operaciones de Security Hub

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Políticas clave de KMS para las integraciones de venta de entradas de Security Hub

Al usar claves de KMS administradas por el cliente con integraciones de venta de entradas de Security Hub, es necesario agregar políticas adicionales a la clave de KMS para permitir que Security Hub interactúe con la clave. Además, es necesario agregar políticas que permitan al director que agrega la clave al conector de Security Hub acceder a la clave.

Política de permisos de Security Hub

La siguiente política describe los permisos que Security Hub necesita para poder acceder y usar la clave de KMS asociada a tu Jira y a tus ServiceNow conectores. Esta política debe agregarse a cada clave de KMS asociada a un conector de Security Hub.

La política contiene los siguientes permisos:

  • Permite a Security Hub proteger, acceder temporalmente o actualizar los tokens utilizados para comunicarse con tus integraciones de venta de entradas mediante la clave. Los permisos se restringen a operaciones relacionadas con conectores específicos de Security Hub mediante el bloque de condición que verifica el ARN de origen y el contexto de cifrado.

  • Permite a Security Hub leer los metadatos sobre la clave de KMS al permitir la DescribeKey operación. Este permiso es necesario para que Security Hub verifique el estado y la configuración de la clave. El acceso se restringe a conectores específicos de Security Hub mediante la condición del ARN de origen. 


{
    "Sid": "Allow Security Hub access to the customer managed key",
    "Effect": "Allow",
    "Principal": {
        "Service": "connector.securityhub.amazonaws.com"
    },
    "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt",
        "kms:ReEncrypt*"
    ],
    "Resource": "*",
    "Condition": {
        "ArnLike": {
            "aws:SourceArn": "arn:aws:securityhub:Region:AccountId:connectorv2/*"
        },
        "StringLike": {
            "kms:EncryptionContext:aws:securityhub:connectorV2Arn": "arn:aws:securityhub:Region:AccountId:connectorv2/*",
            "kms:EncryptionContext:aws:securityhub:providerName": "CloudProviderName"
        }
    }
},
{
    "Sid": "Allow Security Hub read access to the customer managed key",
    "Effect": "Allow",
    "Principal": {
        "Service": "connector.securityhub.amazonaws.com"
    },
    "Action": [
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "ArnLike": {
            "aws:SourceArn": "arn:aws:securityhub:Region:AccountId:connectorv2/*"
        }
    }
}

Edite la política sustituyendo los siguientes valores en el ejemplo de política:

  • Sustituir CloudProviderName JIRA_CLOUD por o SERVICENOW

  • AccountIdSustitúyalo por el identificador de la cuenta en el que está creando el conector Security Hub.

  • RegionSustitúyalo por el de su AWS región (por ejemplo,us-east-1).

Acceso de entidad principal de IAM para operaciones de Security Hub

Cualquier principal que asigne claves de KMS administradas por el cliente a un conector de Security Hub debe tener permisos para realizar las operaciones clave (describir, generar, descifrar, volver a cifrar y enumerar los alias) para la clave que se está agregando al conector. Esto se aplica a las API V2 y V2. CreateConnector CreateTicket La siguiente declaración de política debe incluirse como parte de la política para cualquier entidad principal que interactúe con estas API. 


{
    "Sid": "Allow permissions to access key through Security Hub",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::AccountId:role/RoleName"
    },
    "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt",
        "kms:ReEncrypt*"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": [
                "securityhub.Region.amazonaws.com"
            ]
        },
        "StringLike": {
            "kms:EncryptionContext:aws:securityhub:providerName": "CloudProviderName"
        }
    }
},
{
    "Sid": "Allow read permissions to access key through Security Hub",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::AccountId:role/RoleName"
    },
    "Action": [
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": [
                "securityhub.Region.amazonaws.com"
            ]
        }
    }
}

Edite la política sustituyendo los siguientes valores en el ejemplo de política:

  • RoleNameSustitúyalo por el nombre del rol de IAM que realiza llamadas a Security Hub.

  • Reemplace CloudProviderName por JIRA_CLOUD o SERVICENOW.

  • AccountIdSustitúyalo por el ID de la cuenta en la que está creando el conector de Security Hub.

  • RegionSustitúyalo por el de su AWS región (por ejemplo,us-east-1).