Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Attestation EC2 d'instance Amazon

L'attestation est un processus qui vous permet de prouver de manière cryptographique à toute partie que seuls des logiciels, des pilotes et des processus de démarrage fiables sont exécutés sur une EC2 instance Amazon. L'attestation d' EC2 instance Amazon est alimentée par le module Nitro Trusted Platform (NitroTPM) et Attestable. AMIs

La première étape de l'attestation consiste à créer une AMI attestable et à déterminer les mesures de référence de cette AMI. Une AMI attestable est une AMI créée à partir de zéro pour l'attestation. Les mesures de référence sont des mesures de tous vos logiciels et configurations que vous avez inclus dans votre AMI. Pour plus d'informations sur la manière d'obtenir les mesures de référence, consultezCréez la description de l'image d'exemple.

L'étape suivante consiste à lancer une EC2 instance compatible Nitro-TPM avec l'AMI Attestable. Après avoir lancé l'instance, vous pouvez utiliser les outils NitroTPM pour générer le document d'attestation. Vous pouvez ensuite comparer les mesures réelles de votre EC2 instance figurant dans le document d'attestation aux mesures de référence pour vérifier si l'instance possède le logiciel et les configurations auxquels vous faites confiance.

En comparant les mesures de référence générées lors du processus de création de l'AMI attestable avec les mesures incluses dans le document d'attestation d'une instance, vous pouvez vérifier que seuls le logiciel et le code auxquels vous faites confiance sont exécutés sur l'instance.

Intégration avec AWS KMS

Pour faciliter le processus de comparaison des mesures, vous pouvez utiliser AWS Key Management Service (AWS KMS) comme vérificateur pour les documents d'attestation. Avec AWS KMS, vous pouvez créer des politiques clés KMS basées sur des attestations qui autorisent des opérations spécifiques avec la clé KMS uniquement si vous fournissez un document d'attestation avec des mesures correspondant aux mesures de référence. Pour ce faire, vous ajoutez des clés de condition spécifiques à vos politiques de clé KMS qui utilisent les mesures de référence comme valeurs de clé de condition, puis vous spécifiez quelles opérations KMS sont autorisées si la clé de condition est satisfaite.

Lorsque vous effectuez des opérations KMS à l'aide de la clé KMS, vous devez joindre un document d'attestation à la demande KMS. AWS KMS valide ensuite les mesures du document d'attestation par rapport aux mesures de référence de la politique des clés KMS, et autorise l'accès aux clés uniquement si les mesures correspondent.

En outre, lorsque vous générez le document d'attestation pour une instance, vous devez spécifier une clé publique pour une paire de clés que vous possédez. La clé publique spécifiée est incluse dans le document d'attestation. Lorsque le document d'attestation est AWS KMS validé et qu'il autorise une opération de déchiffrement, il chiffre automatiquement la réponse avec la clé publique incluse dans le document d'attestation avant qu'elle ne soit renvoyée. Cela garantit que la réponse peut être déchiffrée et utilisée uniquement avec la clé privée correspondante à la clé publique incluse dans le document d'attestation.

Cela garantit que seules les instances exécutant un logiciel et un code fiables peuvent effectuer des opérations cryptographiques à l'aide d'une clé KMS.

Attestation d'environnements informatiques isolés

En général, vous pouvez créer et configurer une EC2 instance pour qu'elle soit un environnement informatique isolé, qui ne fournit aucun accès interactif et aucun mécanisme permettant à vos administrateurs et utilisateurs d'accéder aux données traitées dans l' EC2 instance. Grâce à l'attestation d' EC2 instance, vous pouvez prouver à un tiers ou à un service que votre instance s'exécute en tant qu'environnement informatique isolé. Pour de plus amples informations, veuillez consulter Isolez les données de vos propres opérateurs.

Pour un exemple, consultez l'exemple de description de l'image Amazon Linux 2023 qui crée un environnement de calcul isolé. Vous pouvez utiliser cet exemple de description d'image comme point de départ et le personnaliser en fonction de vos besoins.

AWS modèle de responsabilité partagée

NitroTPM et Attestable AMIs sont des éléments de base qui peuvent vous aider à configurer et à configurer l'attestation sur vos instances. EC2 Vous êtes responsable de la configuration de l'AMI en fonction de votre cas d'utilisation respectif. Pour plus d’informations, consultez AWS Modèle de responsabilité partagée.