Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Chiffrement au repos avec des clés gérées par le client

Le Resilience Hub de nouvelle génération fournit un chiffrement par défaut pour protéger les données sensibles des clients au repos lors de leur utilisation Clés détenues par AWS.

Bien que vous ne puissiez pas désactiver cette couche de chiffrement ou sélectionner un autre type de chiffrement, vous pouvez ajouter une deuxième couche de chiffrement en spécifiant une clé gérée par le client lorsque vous créez une ressource de service :

Le tableau suivant résume la manière dont Next Generation Resilience Hub chiffre les données sensibles.

Comment le Next Generation Resilience Hub utilise les subventions AWS KMS

Le Resilience Hub de nouvelle génération nécessite une subvention pour utiliser votre clé gérée par le client lors de flux de travail d'évaluation asynchrones.

Lorsque vous créez un service avec une clé gérée par le client, Next generation Resilience Hub crée une subvention en votre nom en envoyant une CreateGrantdemande à AWS KMS. L'autorisation est limitée au contexte de chiffrement de votre service et autorise uniquement les opérations suivantes :

La subvention est supprimée lorsque vous supprimez le service. Vous pouvez également révoquer l'accès à la subvention ou supprimer l'accès du service à la clé gérée par le client à tout moment. Dans ce cas, le Resilience Hub de nouvelle génération ne peut accéder à aucune des données chiffrées par la clé gérée par le client, ce qui affecte les opérations d'API et les flux de travail d'évaluation qui dépendent de ces données.

Pour les opérations d'API synchrones (telles que la création ou la mise à jour d'un service), le Resilience Hub de nouvelle génération utilise directement les autorisations de l'appelant sur la clé KMS, sans nécessiter d'autorisation.

Création d’une clé gérée par le client

Vous pouvez créer une clé de chiffrement symétrique gérée par le client à l'aide des API AWS Management Console ou des AWS KMS API.

Pour créer une clé de chiffrement symétrique gérée par le client

Suivez les étapes de Création de clés KMS de chiffrement symétriques dans le Guide du développeur AWS Key Management Service .

Spécification d'une clé gérée par le client pour le Resilience Hub de nouvelle génération

Vous pouvez spécifier une clé gérée par le client lorsque vous créez un service, un système ou une politique de résilience. Lorsque vous fournissez un identifiant de clé KMS, Next Generation Resilience Hub utilise cette clé pour chiffrer toutes les données sensibles associées à la ressource.

Vous pouvez spécifier la clé à l'aide de l'un des identificateurs de clé suivants :

Pour spécifier une clé gérée par le client, utilisez le kmsKeyId paramètre lorsque vous appelez les opérations CreateServiceCreateSystem, ou CreatePolicy API.

Stratégie de clé

Les stratégies de clé contrôlent l’accès à votre clé gérée par le client. Chaque clé gérée par le client doit avoir exactement une stratégie de clé, qui contient des instructions qui déterminent les personnes pouvant utiliser la clé et comment elles peuvent l’utiliser. Lorsque vous créez votre clé gérée par le client, vous pouvez spécifier une stratégie de clé. Pour plus d'informations, consultez Gestion de l'accès aux clés gérées par le client dans le Guide du développeur AWS Key Management Service .

La politique clé suivante permet à Next Generation Resilience Hub d'utiliser votre clé. Il limite chaque autorisation aux seules opérations requises par Next Generation Resilience Hub, en utilisant des conditions de contexte de chiffrement pour garantir que votre clé ne peut être utilisée que pour vos ressources spécifiques. Remplacez CUSTOMER-ACCOUNT-IDCUSTOMER-ROLE, et REGION par vos valeurs.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "AllowResilienceHubDescribeKey",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": "kms:DescribeKey",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubEncryptDecryptForServices",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:service-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:service/*"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubEncryptDecryptForSystems",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:system-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:system/*"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubEncryptDecryptForPolicies",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:policy-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:policy/*"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubCreateGrantForAsyncWorkflows",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": "kms:CreateGrant",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com",
                    "kms:GrantConstraintType": "EncryptionContextSubset"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:service-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:service/*"
                },
                "ForAllValues:StringEquals": {
                    "kms:GrantOperations": [
                        "Encrypt",
                        "Decrypt",
                        "GenerateDataKey"
                    ]
                }
            }
        }
    ]
}

Les déclarations de politique fournissent les autorisations suivantes :

Pour plus d'informations sur la spécification d'autorisations dans une politique, consultez le Guide du développeur AWS Key Management Service .

Pour plus d'informations sur le dépannage des clés d’accès, consultez le Guide du développeur AWS Key Management Service .

Contexte de chiffrement Resilience Hub de nouvelle génération

Un contexte de chiffrement est un ensemble facultatif de paires clé-valeur qui contient des informations contextuelles supplémentaires sur les données.

AWS KMS utilise le contexte de chiffrement comme données authentifiées supplémentaires pour prendre en charge le chiffrement authentifié. Lorsque vous incluez un contexte de chiffrement dans une demande de chiffrement de données, AWS KMS lie le contexte de chiffrement aux données chiffrées. Pour déchiffrer les données, vous devez inclure le même contexte de chiffrement dans la demande.

Contexte de chiffrement Resilience Hub de nouvelle génération

Le Resilience Hub de nouvelle génération utilise les clés contextuelles de chiffrement suivantes en fonction du type de ressource :

Exemple de contexte de chiffrement pour une opération au niveau du service :

"encryptionContext": {
    "aws:resiliencehub:service-arn": "arn:aws:resiliencehub:us-west-2:111122223333:service/my-service:abc123"
}

Utilisation du contexte de chiffrement pour la surveillance

Lorsque vous utilisez une clé de chiffrement symétrique gérée par le client pour chiffrer vos données, vous pouvez utiliser le contexte de chiffrement dans les enregistrements et les journaux d'audit pour identifier la manière dont la clé gérée par le client est utilisée. Le contexte de chiffrement apparaît dans les journaux générés par AWS CloudTrail.

Utilisation du contexte de chiffrement pour contrôler l'accès

Vous pouvez utiliser le contexte de chiffrement dans les politiques clés et les politiques IAM conditions pour contrôler l'accès à votre clé de chiffrement symétrique gérée par le client. Vous pouvez également utiliser des contraintes de contexte de chiffrement dans un octroi.

Le Resilience Hub de nouvelle génération utilise une contrainte de sous-ensemble de contexte de chiffrement dans les subventions afin de garantir que les flux de travail asynchrones ne peuvent chiffrer et déchiffrer que les données appartenant au service spécifique pour lequel la subvention a été créée.

Surveillance de vos clés de chiffrement pour le Resilience Hub de nouvelle génération

Lorsque vous utilisez une clé gérée par le client avec les ressources de votre hub de résilience de nouvelle génération, vous pouvez l'utiliser AWS CloudTrailpour suivre les demandes auxquelles le hub de résilience de nouvelle génération envoie AWS KMS.

En savoir plus

Les ressources suivantes fournissent plus d'informations sur le chiffrement des données au repos.