View a markdown version of this page

Activation du chiffrement côté serveur au niveau de l'objet avec AWS KMS clé - Kit SDK Amazon Chime
ConfigurationImplémentation de la concaténation des médias

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Activation du chiffrement côté serveur au niveau de l'objet avec AWS KMS clé

Media Capture Pipeline et Media Concatenation Pipeline peuvent utiliser AWS Key Management Service (AWS KMS) des clés gérées par le client pour activer le chiffrement côté serveur (SSE) pour les objets individuels d'un compartiment Amazon S3. Pour configurer cela, vous devez utiliser l'appel CreateMediaCapturePipeline d'API. Le pipeline de concaténation des médias utilisera les paramètres de chiffrement côté serveur du pipeline de capture multimédia associé.

Pour activer le SSE pour des objets individuels (SSE au niveau de l'objet) à l'aide de votre clé gérée par le AWS KMS client, vous devez fournir la SseAwsKeyManagementParams structure et les informations suivantes SinkIamRoleArn lors de l'appel d'CreateMediaCapturePipelineAPI :

  1. Utilisez le AwsKmsKeyId paramètre de la SseAwsKeyManagementParams structure pour spécifier la AWS KMS clé. Vous pouvez spécifier l'ID de clé à l'aide de l'ID, de l'ARN ou de l'alias de la clé.

  2. Utilisez le SinkIamRoleArn paramètre pour spécifier le rôle IAM permettant d'accéder à la AWS KMS clé et au compartiment Amazon S3 récepteur.

  3. Vous pouvez éventuellement utiliser le AwsKmsEncryptionContext paramètre de la SseAwsKeyManagementParams structure pour spécifier le contexte de chiffrement à utiliser ainsi que des artefacts AWS KMS clés pour renforcer la sécurité.

Note

Les SinkIamRoleArn paramètres AwsKmsKeyId et sont co-dépendants. Lorsque les deux sont présents et valides, le Media Capture Pipeline assume le rôle et place chaque artefact dans le bucket sink Amazon S3 spécifié avec la clé spécifiée. AWS KMS L'appel CreateMediaConcatenationPipeline d'API ne comporte pas de nouveaux paramètres mais utilisera les paramètres susmentionnés s'ils sont spécifiés. Si vous envisagez de concaténer des artefacts, assurez-vous que la configuration de vos ressources est définie comme décrit dans la Configuration section suivante et qu'elle est persistante dans le temps.

Configuration

Ils SinkIamRoleArn doivent disposer des mêmes autorisations et des mêmes accès que le principal pour placer des artefacts dans le compartiment Amazon S3. Pour plus d'informations sur les autorisations par défaut attendues dans le compartiment Amazon S3, consultez Création d'un compartiment Amazon S3 pour les pipelines de capture multimédia Amazon Chime SDK. Pour activer le SSE pour des objets individuels, votre compartiment Amazon S3 doit autoriser le rôle IAM spécifié SinkIamRoleArn à l'aide du à effectuer le même ensemble d'actions que vous attendez de l'identité IAM appelante. Vous pouvez y parvenir en ajoutant le principal suivant à votre politique d'autorisation du compartiment Amazon S3.

...
"Principal": {
    ...
    "AWS": "arn:aws:iam::<YOUR_ACCOUNT_ID>;:role/<SINK_IAM_ROLE_NAME>"
    ...
},
...

Le AwsKmsKeyId devrait pointer vers une touche qui lui permet SinkIamRoleArn de fonctionnerGenerateDataKey. Si Media Concatenation Pipeline doit être utilisé, la AWS KMS clé doit également autoriser l'utilisation de l'action. Decrypt Consultez l'exemple suivant.

Note

La ressource est configurée pour utiliser un caractère générique qui“*”, dans ce contexte d'une politique AWS KMS clé, signifie « elle-même ».

{
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::<YOUR_ACCOUNT_ID>:role/<YOUR_CUSTOMER_ROLE_ID>"
    },
    "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
    ],
    "Resource": "*"
}

Le SinkIamRoleArn rôle doit avoir une relation de confiance permettant au service de l'assumer. Consultez l'exemple suivant.

{
    "Effect": "Allow",
    "Principal": {
        "Service": "mediapipelines.chime.amazonaws.com"
    },
    "Action": "sts:AssumeRole",
    "Condition": {
        "StringEquals": {
            "aws:SourceAccount": "<YOUR_ACCOUNT_ID>"
        },
        "ArnLike": {
            "aws:SourceArn": "arn:aws:chime:*:<YOUR_ACCOUNT_ID>:*"
        }
    }
}

La politique d'autorisations minimales suivante SinkIamRoleArn doit être respectée pour Media Capture Pipeline. Consultez l'exemple suivant.

{
    "Effect": "Allow",
    "Action": "kms:GenerateDataKey",
    "Resource": "arn:aws:kms:<KMS_KEY_REGION>:<KMS_KEY_ACCOUNT_ID>:key/<MS_KEY_ID>",
    "Condition": {
        "StringEquals": {
            "aws:SourceAccount": "<YOUR_ACCOUNT_ID>"
        },
        "ArnLike": {
            "aws:SourceArn": "arn:aws:chime:*:<YOUR_ACCOUNT_ID>:*"
        }
    }
},
{
    "Effect": "Allow",
    "Action": ["s3:PutObject", "s3:PutObjectAcl"],
    "Resource": "arn:aws:s3:::<YOUR_DEDICATED_KMS_BUCKET_ID>/*",
    "Condition": {
        "StringEquals": {
            "aws:SourceAccount": "<YOUR_ACCOUNT_ID>"
        },
        "ArnLike": {
            "aws:SourceArn": "arn:aws:chime:*:<YOUR_ACCOUNT_ID>:*"
        }
    }
}

De plus, l'appelant doit être autorisé à accéder SinkIamRoleArn au service. Dans les cas où l'appelant ne dispose pas d'une telle autorisation, celle-ci doit être ajoutée explicitement. Consultez l'exemple suivant.

{
    "Effect": "Allow",
    "Action": "iam:PassRole",
    "Resource": "<SINK_IAM_ROLE_ARN>",
    "Condition": {
        "ArnLike": {
            "iam:AssociatedResourceArn": "arn:aws:chime:*:<YOUR_ACCOUNT_ID>:media-pipeline/*"
        },
        "StringEquals": {
            "iam:PassedToService": "mediapipelines.chime.amazonaws.com"
        }
    }
}

Implémentation de la concaténation des médias

Si vous envisagez d'utiliser Media Concatenation Pipeline après Media Capture, consultez Création d'un pipeline de concaténation multimédia pour le SDK Amazon Chime pour comprendre les autorisations requises. Pour que le pipeline fonctionne avec la AWS KMS clé pour le SSE au niveau de l'objet, les SinkIamRoleArn autorisations (actions autorisées) doivent être étendues pour la AWS KMS clé et le compartiment Amazon S3. Consultez l'exemple suivant.

...
{
    ...
    {
        ...
        "Action": ["kms:GenerateDataKey","kms:Decrypt"]
        "Resource": "arn:aws:kms:<KMS_KEY_REGION>:<KMS_KEY_ACCOUNT_ID>:key/<KMS_KEY_ID>",
        ...
    }
    ...
    {
        "Action": [ "s3:PutObject", "s3:PutObjectAcl", "s3:GetObject", "s3:ListBucket"],
        "Resource": "arn:aws:s3:::<YOUR_DEDICATED_KMS_BUCKET_ID>/*",
    }
    ...
}
...