Chiffrement des packages de déploiement Lambda au format .zip

Lambda fournit toujours le chiffrement côté serveur au repos pour les packages de déploiement .zip et les détails de configuration des fonctions avec une AWS KMS key. Par défaut, Lambda utilise une Clé détenue par AWS. Si ce comportement par défaut convient à votre flux de travail, vous n’avez pas besoin de configurer quoi que ce soit d’autre. AWS ne vous facture pas l’utilisation de cette clé.

Si vous préférez, vous pouvez fournir une clé gérée par le client AWS KMSà la place. Vous pouvez procéder ainsi pour contrôler la rotation de la clé KMS ou pour répondre aux exigences de votre organisation en matière de gestion des clés KMS. Lorsque vous utilisez une clé gérée par le client, seuls les utilisateurs de votre compte ayant accès à la clé KMS peuvent visualiser ou gérer le code ou la configuration de la fonction.

Les clés gérés par le client entraînent des frais AWS KMS standard. Pour plus d’informations, consultez Tarification d’AWS Key Management Service.

Création d’une clé gérée par le client

Vous pouvez créer une clé symétrique gérée par le client à l'aide de la AWS Management Console ou des API AWS KMS.

Pour créer une clé symétrique gérée par le client

Suivez les étapes de la rubrique Create a symmetric encryption KMS key dans le Guide du développeur AWS Key Management Service.

Autorisations

Stratégie de clé

Les stratégies de clé contrôlent l’accès à votre clé gérée par le client. Chaque clé gérée par le client doit avoir exactement une stratégie de clé, qui contient des instructions qui déterminent les personnes pouvant utiliser la clé et comment elles peuvent l’utiliser. Pour plus d’informations, consultez How to change a key policy dans le Guide du développeur AWS Key Management Service.

Lorsque vous utilisez une clé gérée par le client pour chiffrer un package de déploiement .zip, Lambda n’ajoute aucun octroi à la clé. Au lieu de cela, votre stratégie de clé AWS KMS doit autoriser Lambda à appeler les opérations d’API AWS KMS suivantes en votre nom :

L’exemple de stratégie de clé suivant permet à toutes les fonctions Lambda du compte 111122223333 d’appeler les opérations AWS KMS requises pour la clé gérée par le client spécifiée :

Pour plus d'informations sur le dépannage des clés d’accès, consultez le Guide du développeur AWS Key Management Service.

Autorisations de principal

Lorsque vous utilisez une clé gérée par le client pour chiffrer un package de déploiement .zip, seuls les principaux ayant accès à cette clé peuvent accéder au package de déploiement .zip. Par exemple, les principaux qui n’ont pas accès à la clé gérée par le client ne peuvent pas télécharger le package .zip à l’aide de l’URL S3 présignée incluse dans la réponse de GetFunction. Une AccessDeniedException est renvoyée dans la section Code de la réponse.

{
    "Code": {
        "RepositoryType": "S3",
        "Error": {
            "ErrorCode": "AccessDeniedException",
            "Message": "KMS access is denied. Check your KMS permissions. KMS Exception: AccessDeniedException KMS Message: User: arn:aws:sts::111122223333:assumed-role/LambdaTestRole/session is not authorized to perform: kms:Decrypt on resource: arn:aws:kms:us-east-1:111122223333:key/key-id with an explicit deny in a resource-based policy"
        },
        "SourceKMSKeyArn": "arn:aws:kms:us-east-1:111122223333:key/key-id"
    },
	...

Pour obtenir des informations détaillées sur les autorisations pour les clés AWS KMS, consultez Authentication and access control for AWS KMS.

Utilisation d’une clé gérée par le client pour votre package de déploiement .zip

Utilisez les paramètres d’API suivants pour configurer les clés gérées par le client pour les packages de déploiement .zip :

Lorsque SourceKMSKeyArn et KMSKeyArn sont tous deux spécifiés, Lambda utilise la clé KMSKeyArn pour chiffrer la version décompressée du package que Lambda utilise pour invoquer la fonction. Lorsque SourceKMSKeyArn est spécifié mais que KMSKeyArn ne l’est pas, Lambda utilise une Clé gérée par AWSpour chiffrer la version décompressée du package.