Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Sécurité dans le CloudWatch cadre des enquêtes

Cette section inclut des rubriques sur la manière dont CloudWatch les enquêtes s'intègrent aux fonctionnalités AWS de sécurité et d'autorisation.

Autorisations des utilisateurs

AWS a créé trois politiques IAM gérées que vous pouvez utiliser pour les utilisateurs qui travailleront CloudWatch sur des enquêtes.

Nous vous recommandons d'utiliser trois principes IAM, en attribuant à l'un d'eux la politique AIOpsConsoleAdminPolicyIAM, à un autre et au troisième la AIOpsOperatorAccesspolitique. AIOpsReadOnlyAccess Ces principes peuvent être des rôles IAM (recommandés) ou des utilisateurs IAM. Ensuite, vos utilisateurs chargés des CloudWatch enquêtes signeront avec l'un de ces principes.

Comment contrôler les données auxquelles CloudWatch les enquêtes ont accès pendant les enquêtes

Lorsque vous activez la fonctionnalité d' CloudWatch enquêtes, vous spécifiez les autorisations dont disposent les CloudWatch enquêtes pour accéder à vos ressources pendant les enquêtes. Pour ce faire, attribuez un rôle IAM à l'assistant.

Pour permettre aux CloudWatch enquêteurs d'accéder aux ressources et de formuler des suggestions et des hypothèses, la méthode recommandée consiste à associer le rôle de l'assistant AIOpsAssistantPolicyau rôle de l'assistant. Cela donne à l'assistant l'autorisation d'analyser vos AWS ressources lors de vos enquêtes. Pour plus d'informations sur le contenu complet de cette politique, consultezPolitique de l'IAM pour les CloudWatch enquêtes () AIOps AssistantPolicy.

Vous pouvez également choisir d'associer le général AWS ReadOnlyAccessau rôle de l'assistant, en plus de le joindre AIOpsAssistantPolicy. Cela s'explique par le fait que les AWS mises à jour sont ReadOnlyAccessplus fréquentes avec des autorisations pour les nouveaux AWS services et actions publiés. Ils AIOpsAssistantPolicyseront également mis à jour pour les nouvelles actions, mais pas aussi fréquemment.

Si vous souhaitez limiter les autorisations accordées aux CloudWatch enquêtes, vous pouvez associer une politique IAM personnalisée au rôle IAM de l'assistant au lieu de joindre la AIOpsAssistantPolicypolitique. Pour ce faire, établissez votre politique personnalisée avec le contenu de, AIOpsAssistantPolicypuis supprimez les autorisations que vous ne souhaitez pas accorder aux CloudWatch enquêtes. Cela empêchera l'assistant de faire des suggestions en fonction des AWS services ou des actions auxquels vous n'accordez pas l'accès.

Permettre aux CloudWatch enquêtes de déchiffrer les données cryptées pendant les enquêtes

Si vous cryptez vos données dans l'un des services suivants à l'aide d'une clé gérée par le client et que vous souhaitez que les CloudWatch enquêtes puissent déchiffrer les données de ces services et les inclure dans les enquêtes, vous devez associer une ou plusieurs politiques IAM supplémentaires au rôle IAM de l'assistant. AWS KMS

La déclaration de politique doit inclure une clé de contexte pour le contexte de chiffrement afin de limiter les autorisations. Par exemple, la politique suivante permettrait aux CloudWatch investigations de déchiffrer les données d'une machine d'état Step Functions.

{
  "Version": "2012-10-17",
  "Statement": [
        {
            "Sid": "AIOPSKMSAccessForStepFunctions",
            "Effect": "Allow",
            "Principal": {
                "Service": "aiops.amazonaws.com"
            },
            "Action":
            [
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition":
            {
                "StringEquals":
                {
                     "kms:ViaService": "states.*.amazonaws.com",
                     "kms:EncryptionContext:aws:states:stateMachineArn": "arn:aws:states:region:accountId:stateMachine:*"
                }
            }
        }
    ]
}

Pour plus d'informations sur ces types de politiques et sur l'utilisation de ces clés contextuelles, consultez kms : ViaService et kms : EncryptionContext : context-key dans le manuel du AWS Key Management Service développeur, et aws : SourceArn dans le guide de l'utilisateur IAM.

Chiffrement des données d'enquête

Pour le chiffrement de vos données d'enquête, deux options s'offrent à AWS vous :

Pour plus d'informations sur AWS KMS, voir AWS Key Management Service.

Utilisation d'une clé gérée par le client pour votre groupe d'investigation

Vous pouvez associer un groupe d'investigation à une clé gérée par le client, puis toutes les enquêtes créées dans ce groupe utiliseront la clé gérée par le client pour chiffrer vos données d'enquête au repos.

CloudWatch enquêtes L'utilisation des clés gérées par le client répond aux conditions suivantes :

Configuration d'enquêtes pour utiliser une clé gérée par AWS KMS le client

Tout d'abord, si vous ne possédez pas encore de clé symétrique à utiliser, créez-en une nouvelle à l'aide de la commande suivante.

aws kms create-key

La sortie de commande inclut l'ID de clé et le nom de ressource Amazon (ARN) de la clé. Vous en aurez besoin dans les étapes ultérieures de cette section. Voici un exemple de cette sortie.

{
"KeyMetadata": {
"Origin": "AWS_KMS",
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "Description": "",
        "KeyManager": "CUSTOMER",
        "Enabled": true,
        "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "KeyState": "Enabled",
        "CreationDate": 1478910250.94,
        "Arn": "arn:aws:kms:us-west-2:111122223333:key/6f815f63-e628-448c-8251-e4EXAMPLE",
        "AWSAccountId": "111122223333",
        "EncryptionAlgorithms": [
            "SYMMETRIC_DEFAULT"
        ]
    }
}

Définissez les autorisations sur la clé

Définissez ensuite les autorisations sur la clé. Par défaut, toutes les AWS KMS clés sont privées. Seul le propriétaire de la ressource peut l'utiliser pour chiffrer et déchiffrer des données. Cependant, le propriétaire de la ressource peut accorder à d'autres utilisateurs et ressources des autorisations d'accès à la clé. Avec cette étape, vous autorisez le principal du service AI Operations à utiliser la clé. Ce principal de service doit se trouver dans la même AWS région que celle où la clé KMS est stockée.

Il est recommandé de limiter l'utilisation de la clé KMS aux seuls AWS comptes ou ressources que vous spécifiez.

La première étape pour définir les autorisations consiste à enregistrer la politique par défaut de votre clé souspolicy.json. Pour ce faire, utilisez la commande suivante. key-idRemplacez-le par l'identifiant de votre clé.

aws kms get-key-policy --key-id key-id --policy-name default --output text > ./policy.json

Ouvrez le policy.json fichier dans un éditeur de texte et ajoutez-y les sections de stratégie suivantes. Séparez la déclaration existante des nouvelles sections par une virgule. Ces nouvelles sections utilisent Condition des sections pour renforcer la sécurité de la AWS KMS clé. Pour plus d'informations, consultez la section AWS KMS Clés et contexte de chiffrement.

Cette politique fournit des autorisations aux responsables du service pour les raisons suivantes :

{
    "Sid": "Enable AI Operations Admin for the DescribeKey permissions",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::{account-id}:role/{AIOpsConsoleAdmin}"
    },
    "Action": [
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": "aiops.{region}.amazonaws.com"
        }
    }
},
{
   "Sid": "Enable AI Operations Admin and Operator for the Decrypt and GenerateDataKey permissions", 
   "Effect": "Allow",
    "Principal": {
        "AWS": [
            "arn:aws:iam::{account-id}:role/{AIOpsConsoleAdmin}",
            "arn:aws:iam::{account-id}:role/{AIOpsOperator}"
         ]
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "*",
    "Condition": {
       "StringEquals": {
            "kms:ViaService": "aiops.{region}.amazonaws.com"
        },
        "ArnLike": {
            "kms:EncryptionContext:aws:aiops:investigation-group-arn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        }
    }
 },
 {
   "Sid": "Enable AI Operations ReadOnly for the Decrypt permission",
   "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::{account-id}:role/{AIOpsReadOnly}"
    },
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": "*",
    "Condition": {
       "StringEquals": {
            "kms:ViaService": "aiops.{region}.amazonaws.com"
        },
        "ArnLike": {
            "kms:EncryptionContext:aws:aiops:investigation-group-arn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        }
    }
 },
 {
   "Sid": "Enable the AI Operations service to have the DescribeKey permission",
   "Effect": "Allow",
    "Principal": {
        "Service": "aiops.amazonaws.com"
    },
    "Action": [
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
       "StringEquals": {
            "aws:SourceAccount": "{account-id}"
        },
        "StringLike": {
            "aws:SourceArn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        }
    }
 },
 {
   "Sid": "Enable the AI Operations service to have the Decrypt and GenerateDataKey permissions",
   "Effect": "Allow",
    "Principal": {
        "Service": "aiops.amazonaws.com"
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "*",
    "Condition": {
       "StringEquals": {
            "aws:SourceAccount": "{account-id}"
        },
        "StringLike": {
            "aws:SourceArn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        },
        "ArnLike": {
            "kms:EncryptionContext:aws:aiops:investigation-group-arn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        }
    }
 },
 {
    "Sid": "Enable CloudWatch to have the Decrypt and GenerateDataKey permissions",
    "Effect": "Allow",
    "Principal": {
        "Service": "aiops.alarms.cloudwatch.amazonaws.com"
    },
    "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
    ],
    "Resource": "*",
    "Condition": {
        "ArnLike": {
            "kms:EncryptionContext:aws:aiops:investigation-group-arn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        },
        "StringEquals": {
            "aws:SourceAccount": "{account-id}",
            "kms:ViaService": "aiops.{region}.amazonaws.com"
        }, 
        "StringLike": { 
            "aws:SourceArn": "arn:aws:cloudwatch:{region}:{account-id}:alarm:*"
        }
    }
  } 

Après avoir mis à jour la politique, attribuez-la à la clé en saisissant la commande suivante.

aws kms put-key-policy --key-id key-id --policy-name default --policy file://policy.json

Associez la clé au groupe d'investigation

Lorsque vous utilisez la CloudWatch console pour créer un groupe d'investigation, vous pouvez choisir d'associer la AWS KMS clé au groupe d'investigation. Pour de plus amples informations, veuillez consulter Mettre en place des enquêtes opérationnelles.

Vous pouvez également associer une clé gérée par le client à un groupe de recherche existant.

Modification de votre configuration de chiffrement

Vous pouvez mettre à jour un groupe d'investigation pour passer d'une clé gérée par le client à une clé appartenant au service. Vous pouvez également passer d'une clé gérée par le client à une autre. Lorsque vous apportez une telle modification, celle-ci s'applique aux nouvelles enquêtes créées après la modification. Les enquêtes précédentes sont toujours associées à l'ancienne configuration de chiffrement. Les enquêtes en cours continuent également d'utiliser la clé d'origine pour les nouvelles données.

Tant qu'une clé précédemment utilisée est active et qu'Amazon Q y a accès pour les enquêtes, vous pouvez récupérer les anciennes enquêtes chiffrées avec cette méthode, ainsi que les données des enquêtes en cours qui ont été chiffrées avec la clé précédente. Si vous supprimez une clé précédemment utilisée ou si vous révoquez l'accès à celle-ci, les données d'enquête chiffrées avec cette clé ne peuvent pas être récupérées.

Inférence interrégionale

CloudWatch les enquêtes utilisent l'inférence interrégionale pour répartir le trafic entre les différentes régions. AWS Bien que les données restent stockées uniquement dans la région principale, lorsque vous utilisez l'inférence interrégionale, vos données d'enquête peuvent être déplacées en dehors de votre région principale. Toutes les données seront transmises cryptées sur le réseau sécurisé d'Amazon. Pour plus d'informations, voir la section Inférence interrégionale dans le guide de l'utilisateur CloudWatch des enquêtes.

Pour plus de détails sur l'endroit où se produit la distribution d'inférence entre régions pour chaque région, consultez le tableau suivant.