Attestation d’instance Amazon EC2

L’attestation est un processus qui vous permet de prouver de manière cryptographique à toute partie que seuls des logiciels, des pilotes et des processus de démarrage fiables sont exécutés sur une instance Amazon EC2. L’attestation d’instance Amazon EC2 est assurée par NitroTPM (Nitro Trusted Platform Module) et les AMI vérifiables.

La première étape de l’attestation consiste à créer une AMI vérifiable et à déterminer les mesures de référence de cette AMI. Une AMI vérifiable est une AMI créée à partir de zéro pour l’attestation. Les mesures de référence sont des mesures de tous vos logiciels et configurations que vous avez inclus dans votre AMI. Pour plus d’informations sur la façon d’obtenir les mesures de référence, consultez la section Création de l’exemple de description d’image.

L’étape suivante consiste à lancer une instance EC2 compatible Nitro-TPM avec l’AMI vérifiable. Après avoir lancé l’instance, vous pouvez utiliser les outils NitroTPM pour générer le document d’attestation. Vous pouvez ensuite comparer les mesures réelles de votre instance EC2 issues du document d’attestation aux mesures de référence afin de vérifier si l’instance dispose des logiciels et des configurations auxquels vous faites confiance.

En comparant les mesures de référence générées lors du processus de création de l’AMI vérifiable avec les mesures incluses dans le document d’attestation d’une instance, vous pouvez vérifier que seuls les logiciels et codes auxquels vous faites confiance s’exécutent sur l’instance.

Intégration à AWS KMS

Pour faciliter le processus de comparaison des mesures, vous pouvez utiliser AWS Key Management Service (AWS KMS) comme vérificateur pour les documents d’attestation. Avec AWS KMS, vous pouvez créer des stratégies de clé KMS basées sur des attestations qui autorisent des opérations spécifiques avec la clé KMS uniquement si vous fournissez un document d’attestation avec des mesures correspondant aux mesures de référence. Pour ce faire, vous ajoutez des clés de condition spécifiques à vos stratégies de clé KMS qui utilisent les mesures de référence comme valeurs de clé de condition, puis vous spécifiez quelles opérations KMS sont autorisées si la clé de condition est satisfaite.

Lorsque vous effectuez des opérations KMS à l’aide de la clé KMS, vous devez joindre un document d’attestation à la demande KMS. AWS KMS valide ensuite les mesures du document d’attestation par rapport aux mesures de référence de la stratégie de clé KMS, et autorise l’accès aux clés uniquement si les mesures correspondent.

En outre, lorsque vous générez le document d’attestation pour une instance, vous devez spécifier une clé publique pour une paire de clés que vous possédez. La clé publique spécifiée est incluse dans le document d’attestation. Lorsque AWS KMS valide le document d’attestation et qu’il autorise une opération de déchiffrement, il chiffre automatiquement la réponse avec la clé publique incluse dans le document d’attestation avant qu’elle ne soit renvoyée. Cela garantit que la réponse peut être déchiffrée et utilisée uniquement avec la clé privée correspondante à la clé publique incluse dans le document d’attestation.

Cela assure que seules les instances exécutant un logiciel et un code fiables peuvent effectuer des opérations cryptographiques à l’aide d’une clé KMS.

Attestation d’environnements de calcul isolés

En général, vous pouvez créer et configurer une instance EC2 comme un environnement de calcul isolé, qui ne fournit aucun accès interactif et aucun mécanisme permettant à vos administrateurs et utilisateurs d’accéder aux données traitées dans l’instance EC2. Avec l’attestation d’instance EC2, vous pouvez prouver à un tiers ou à un service que votre instance s’exécute en tant qu’environnement de calcul isolé. Pour de plus amples informations, consultez Isolation des données de vos propres opérateurs.

Pour un exemple, consultez l’exemple de description d’image Amazon Linux 2023 qui crée un environnement de calcul isolé. Vous pouvez utiliser cet exemple de description d’image comme point de départ et le personnaliser en fonction de vos besoins.

AWSModèle de responsabilité partagée

NitroTPM et les AMI vérifiables sont des éléments de base qui peuvent vous aider à configurer et à configurer l’attestation sur vos instances EC2. Vous êtes responsable de la configuration de l’AMI en fonction de votre cas d’utilisation respectif. Pour plus d’informations, consultez la section Modèle de responsabilité partagée d’AWS.