Chiffrement de votre catalogue de données

Pour activer le chiffrement à l’aide de la console

1. Connectez-vous à la AWS Management Console et ouvrez la console AWS Glue à l’adresse https://console.aws.amazon.com/glue/.

2. Dans le panneau de navigation, choisissez Catalogue de données.

3. Sur la page Paramètres du catalogue de données, cochez la case Chiffrement des métadonnées, puis choisissez une clé AWS KMS.

   Lorsque vous activez le chiffrement, si vous ne spécifiez pas de clé gérée par le client, les paramètres de chiffrement utilisent une clé KMS gérée par AWS.

4. (Facultatif) Lorsque vous utilisez une clé gérée par le client pour chiffrer votre catalogue de données, celui-ci propose une option permettant d’enregistrer un rôle IAM pour chiffrer et déchiffrer les ressources. Vous devez accorder à votre rôle IAM des autorisations dont AWS Glue peut disposer en votre nom. Cela inclut les autorisations AWS KMS pour chiffrer et déchiffrer des données.

   Lorsque vous créez une ressource dans le catalogue de données, AWS Glue endosse le rôle IAM fourni pour chiffrer les données. De même, lorsqu’un consommateur accède à la ressource, AWS Glue endosse le rôle IAM pour déchiffrer les données. Si vous enregistrez un rôle IAM avec les autorisations requises, le principal appelant n’a plus besoin d’autorisations pour accéder à la clé et déchiffrer les données.

   Important

   Vous ne pouvez déléguer des opérations KMS à un rôle IAM que si vous utilisez une clé gérée par le client pour chiffrer les ressources du catalogue de données. La fonctionnalité de délégation de rôles KMS ne prend pas en charge l’utilisation de clés gérées par AWS pour chiffrer les ressources du catalogue de données pour le moment.

   Avertissement

   Lorsque vous activez un rôle IAM pour déléguer les opérations KMS, vous ne pouvez plus accéder aux ressources du catalogue de données précédemment chiffrées à l’aide d’une clé gérée par AWS.

   1. Pour activer un rôle IAM qu’AWS Glue peut endosser pour chiffrer et déchiffrer les données en votre nom, sélectionnez l’option Déléguer les opérations KMS à un rôle IAM.

   2. Ensuite, choisissez un rôle IAM.

      Pour créer un rôle IAM, consultez Create an IAM role for AWS Glue.

      Le rôle IAM qu’AWS Glue endosse pour accéder au catalogue de données doit être autorisé à chiffrer et à déchiffrer des métadonnées dans le catalogue de données. Vous pouvez créer un rôle IAM et y attacher les politiques en ligne suivantes :

      • Ajoutez la politique suivante pour inclure les autorisations AWS KMS permettant de chiffrer et de déchiffrer le catalogue de données.

        JSON

        JSON

        {
          "Version":"2012-10-17",		 	 	 
          "Statement": [
            {
              "Effect": "Allow",
              "Action": [
                "kms:Decrypt",
                "kms:Encrypt",
                "kms:GenerateDataKey"
              ],
              "Resource": "arn:aws:kms:us-east-1:111122223333:key/<key-id>"
            }
          ]
        }
        

      • Ensuite, ajoutez la politique d’approbation suivante au rôle afin que le service AWS Glue endosse le rôle IAM.

        JSON

        JSON

        {
          "Version":"2012-10-17",		 	 	 
          "Statement": [
            {
              "Sid": "",
              "Effect": "Allow",
              "Principal": {
                "Service": "glue.amazonaws.com"
              },
              "Action": "sts:AssumeRole"
            }
          ]
        }
        

      • Ajoutez ensuite l’autorisation iam:PassRole au rôle IAM.

        JSON

        JSON

        {
          "Version":"2012-10-17",		 	 	 
          "Statement": [
            {
              "Effect": "Allow",
              "Action": [
                "iam:PassRole"
              ],
              "Resource": [
                "arn:aws:iam::111122223333:role/<encryption-role-name>"
              ]
            }
          ]
        }
        

   Lorsque vous activez le chiffrement, si vous n’avez pas spécifié de rôle IAM qu’AWS Glue endossera, le principal accédant au catalogue de données doit être autorisé à effectuer les opérations d’API suivantes :

   • kms:Decrypt

   • kms:Encrypt

   • kms:GenerateDataKey

Pour activer le chiffrement à l’aide du kit SDK ou de l’AWS CLI

• Utilisez l’opération d’API PutDataCatalogEncryptionSettings. Si aucune clé n’est spécifiée, AWS Glue utilise une clé de chiffrement gérée par AWS pour le compte client afin de chiffrer le catalogue de données.

  aws glue put-data-catalog-encryption-settings \
    --data-catalog-encryption-settings '{
        "EncryptionAtRest": {
        "CatalogEncryptionMode": "SSE-KMS-WITH-SERVICE-ROLE",
        "SseAwsKmsKeyId": "arn:aws:kms:<region>:<account-id>:key/<key-id>",
        "CatalogEncryptionServiceRole":"arn:aws:iam::<account-id>:role/<encryption-role-name>"
      }
  
    }'