Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Chiffrement au repos dans EventBridge Scheduler

Cette section décrit comment Amazon EventBridge Scheduler chiffre et déchiffre vos données au repos. Les données au repos sont les données stockées dans EventBridge Scheduler et dans les composants sous-jacents du service. EventBridge Scheduler s'intègre à AWS Key Management Service (AWS KMS) pour crypter et déchiffrer vos données à l'aide d'un. AWS KMS key EventBridge Scheduler prend en charge deux types de clés KMS : et Clés détenues par AWS les clés gérées par le client.

Clés détenues par AWSsont des clés KMS qu'un AWS service possède et gère pour être utilisées dans plusieurs AWS comptes. Bien que les utilisations du Clés détenues par AWS EventBridge planificateur ne soient pas stockées dans votre AWS compte, le EventBridge planificateur les utilise pour protéger vos données et vos ressources. Par défaut, EventBridge Scheduler chiffre et déchiffre toutes vos données à l'aide d'une clé personnelle. AWS Vous n'avez pas besoin de gérer votre politique d'accès Clé détenue par AWS ou la sienne. Aucuns frais ne vous sont facturés lorsque EventBridge Scheduler les utilise Clés détenues par AWS pour protéger vos données, et leur utilisation n'est pas prise en compte dans les AWS KMS quotas de votre compte.

Les clés gérées par le client sont des clés KMS stockées dans votre AWS compte que vous créez, possédez et gérez. Si votre cas d'utilisation spécifique nécessite que vous contrôliez et auditiez les clés de chiffrement qui protègent vos données sur EventBridge Scheduler, vous pouvez utiliser une clé gérée par le client. Si vous choisissez une clé gérée par le client, vous devez gérer votre politique en matière de clés. Les clés gérées par le client entraînent des frais mensuels et des frais pour une utilisation au-delà de l'offre gratuite. L'utilisation d'une clé gérée par le client est également prise en compte dans votre AWS KMS quota. Pour plus d'informations sur la tarification, consultez la section AWS Key Management Service Tarification.

Artefacts de chiffrement

Le tableau suivant décrit les différents types de données que EventBridge Scheduler chiffre au repos et le type de clé KMS qu'il prend en charge pour chaque catégorie.

EventBridge Scheduler utilise les clés gérées par votre client uniquement pour chiffrer et déchiffrer la charge utile cible, comme décrit dans le tableau précédent. Si vous choisissez d'utiliser une clé gérée par le client, EventBridge Scheduler chiffre et déchiffre la charge utile deux fois : une fois en utilisant la clé par défaut Clé détenue par AWS et une autre fois en utilisant la clé gérée par le client que vous spécifiez. Pour tous les autres types de données, EventBridge Scheduler utilise uniquement la valeur par défaut Clé détenue par AWS pour protéger vos données au repos.

Consultez la Gestion des clés KMS section suivante pour savoir comment gérer vos ressources IAM et vos politiques clés afin d'utiliser une clé gérée par le client avec EventBridge Scheduler.

Gestion des clés KMS

Vous pouvez éventuellement fournir une clé gérée par le client pour chiffrer et déchiffrer la charge utile que votre calendrier transmet à sa cible. EventBridge Le planificateur chiffre et déchiffre votre charge utile jusqu'à 256 Ko de données. L'utilisation d'une clé gérée par le client entraîne des frais mensuels et des frais supérieurs au niveau gratuit. L'utilisation d'une clé gérée par le client est prise en compte dans votre AWS KMS quota. Pour plus d'informations sur la tarification, consultez la rubrique AWS Key Management Service Tarification

EventBridge Le planificateur utilise les autorisations IAM associées au principal qui crée un calendrier pour chiffrer vos données. Cela signifie que vous devez associer les autorisations AWS KMS associées requises à l'utilisateur, ou au rôle, qui appelle l'API EventBridge Scheduler. En outre, EventBridge Scheduler utilise des politiques basées sur les ressources pour déchiffrer vos données. Cela signifie que le rôle d'exécution associé à votre planification doit également disposer des autorisations AWS KMS associées requises pour appeler l' AWS KMS API lors du déchiffrement des données.

Consultez la section suivante pour savoir comment gérer votre politique de AWS KMS clés et les autorisations IAM requises pour utiliser une clé gérée par le client sur EventBridge Scheduler.

Ajouter des autorisations IAM

Pour utiliser une clé gérée par le client, vous devez ajouter les autorisations suivantes au principal IAM basé sur l'identité qui crée un calendrier, ainsi qu'au rôle d'exécution que vous associez à ce calendrier.

Identity-based autorisations pour les clés gérées par le client

Vous devez ajouter les AWS KMS actions suivantes à la politique d'autorisation associée à tout responsable (utilisateurs, groupes ou rôles) qui appelle l'API EventBridge Scheduler lors de la création d'un calendrier.

Ces mesures s'ajoutent aux actions suivantes :

Autorisations de rôle d'exécution pour les clés gérées par le client

Vous devez ajouter l'action suivante à la politique d'autorisation des rôles d'exécution de votre calendrier pour permettre à EventBridge Scheduler d'appeler l' AWS KMS API lors du déchiffrement de vos données.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEventBridgeSchedulerToDecryptDataUsingCMKMS",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/your-key-id"
        }
    ]
}

Si vous utilisez la console EventBridge Scheduler pour créer un nouveau rôle d'exécution lorsque vous créez un nouveau planning, EventBridge Scheduler associera automatiquement l'autorisation requise à votre rôle d'exécution. Toutefois, si vous choisissez un rôle d'exécution existant, vous devez y ajouter les autorisations requises pour pouvoir utiliser les clés gérées par vos clients.

Gérez la politique clé

Lorsque vous créez une clé gérée par le client en utilisant AWS KMS, par défaut, votre clé possède la politique de clé suivante pour donner accès aux rôles d'exécution de vos plannings.

Vous pouvez éventuellement limiter la portée de votre politique clé pour ne donner accès qu'au rôle d'exécution. Vous pouvez le faire si vous souhaitez utiliser votre clé gérée par le client uniquement avec les ressources de votre EventBridge planificateur. Utilisez l'exemple de politique clé suivant pour limiter les ressources du EventBridge planificateur qui peuvent utiliser votre clé.

CloudTrail exemple d'événement

AWS CloudTrail capture tous les événements d'appels d'API. Cela inclut les appels d'API chaque fois que EventBridge Scheduler utilise votre clé gérée par le client pour déchiffrer vos données. L'exemple suivant montre une entrée d' CloudTrail événement qui montre que EventBridge Scheduler utilise l'kms:Decryptaction à l'aide d'une clé gérée par le client.

{
  "eventVersion": "1.08",
  "userIdentity": {
      "type": "AssumedRole",
      "principalId": "ABCDEABCD1AB12ABABAB0:70abcd123a123a12345a1aa12aa1bc12",
      "arn": "arn:aws:sts::123456789012:assumed-role/execution-role/70abcd123a123a12345a1aa12aa1bc12",
      "accountId": "123456789012",
      "accessKeyId": "ABCDEFGHI1JKLMNOP2Q3",
      "sessionContext": {
          "sessionIssuer": {
              "type": "Role",
              "principalId": "ABCDEABCD1AB12ABABAB0",
              "arn": "arn:aws:iam::123456789012:role/execution-role",
              "accountId": "123456789012",
              "userName": "execution-role"
          },
          "webIdFederationData": {},
          "attributes": {
              "creationDate": "2022-10-31T21:03:15Z",
              "mfaAuthenticated": "false"
          }
      }
    },
    "eventTime": "2022-10-31T21:03:15Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Decrypt",
    "awsRegion": "eu-north-1",
    "sourceIPAddress": "13.50.87.173",
    "userAgent": "aws-sdk-java/2.17.295 Linux/4.14.291-218.527.amzn2.x86_64 OpenJDK_64-Bit_Server_VM/11.0.17+9-LTS Java/11.0.17 kotlin/1.3.72-release-468 (1.3.72) vendor/Amazon.com_Inc. md/internal exec-env/AWS_ECS_FARGATE io/sync http/Apache cfg/retry-mode/standard AwsCrypto/2.4.0",
    "requestParameters": {
        "keyId": "arn:aws:kms:us-west-2:123456789012:key/2321abab-2110-12ab-a123-a2b34c5abc67",
        "encryptionAlgorithm": "SYMMETRIC_DEFAULT",
        "encryptionContext": {
            "aws:scheduler:schedule:arn": "arn:aws:scheduler:us-west-2:123456789012:schedule/default/execution-role"
        }
    },
    "responseElements": null,
    "requestID": "request-id",
    "eventID": "event-id",
    "readOnly": true,
    "resources": [
        {
            "accountId": "123456789012",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:123456789012:key/2321abab-2110-12ab-a123-a2b34c5abc67"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
      "tlsVersion": "TLSv1.3",
      "cipherSuite": "TLS_AES_256_GCM_SHA384",
      "clientProvidedHostHeader": "kms.us-west-2.amazonaws.com"
  }
}