Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Clés gérées par le client pour AWS Security Agent

Par défaut, AWS Security Agent chiffre toutes les données inactives à l'aide de clés de AWS chiffrement gérées. Vous pouvez éventuellement utiliser une clé gérée par le client du service de gestion des AWS clés (AWS KMS) pour chiffrer vos données, ce qui vous donne un contrôle total sur les clés de chiffrement qui protègent vos ressources.

AWS Security Agent prend en charge les clés gérées par le client au niveau des ressources. Lorsque vous créez une ressource de haut niveau telle qu'un espace agent ou une intégration, vous pouvez spécifier une clé KMS pour chiffrer toutes les données appartenant à cette ressource et à ses sous-ressources. Par exemple, la spécification d'une clé gérée par le client lors de la création d'un espace agent chiffre toutes les données associées à cet espace agent, y compris les configurations de l'espace agent, les configurations des tests de pénétration, les tâches et les détails d'exécution, les résultats de sécurité, les points de terminaison découverts et les captures d'écran. Vous pouvez également fournir des AWS ressources déjà chiffrées avec votre propre clé gérée par le client, telles que des compartiments S3, des groupes de CloudWatch journaux Logs ou des secrets Secrets Manager. Pour connaître les autorisations KMS requises, consultezAutorisations KMS requises.

Comment fonctionnent les clés gérées par le client

AWS L'agent de sécurité utilise le jeu de clés hiérarchique AWS KMS pour chiffrer vos données à l'aide de clés gérées par le client. Lorsque vous spécifiez une clé KMS lors de la création d'une ressource, le service crée une clé de branche protégée par votre clé KMS et la stocke dans un magasin de DynamoDB-based clés Amazon. Pour chaque opération de chiffrement, le jeu de clés hiérarchique déduit une clé d'encapsulation unique à partir de la clé de branche active, qui chiffre une clé de chiffrement des données unique pour chaque demande.

Le porte-clés hiérarchique offre les avantages suivants :

Contexte de chiffrement

AWS L'agent de sécurité utilise le contexte de chiffrement dans toutes les opérations cryptographiques effectuées avec votre clé KMS. Le contexte de chiffrement est un ensemble de paires clé-valeur non secrètes qui fournit des données authentifiées supplémentaires pour l'opération de chiffrement.

La clé de contexte de chiffrement suit le formataws:securityagent:_<resource-type>_, où <resource-type> est le type de ressource cryptée (par exemple, agent-space ouintegration). La valeur est le Amazon Resource Name (ARN) de la ressource.

Vous pouvez utiliser le contexte de chiffrement pour étendre votre politique de clé KMS à des types de ressources spécifiques. Pour de plus amples informations, veuillez consulter Autorisations KMS requises.

Default encryption (Chiffrement par défaut)

Lorsque vous créez une ressource sans spécifier de clé gérée par le client, AWS Security Agent chiffre la ressource à l'aide de clés de AWS chiffrement gérées fournies par les services de stockage sous-jacents (Amazon DynamoDB et Amazon S3). Aucune configuration supplémentaire n'est requise pour le chiffrement par défaut.

Clé KMS par défaut pour les applications

Vous pouvez définir une clé KMS par défaut au niveau de l'application. Lorsqu'une clé KMS par défaut est configurée, AWS Security Agent l'utilise comme solution de secours pour les nouveaux espaces d'agent et les intégrations lorsque vous ne spécifiez pas explicitement de clé KMS lors de la création de ressources.

Pour définir une clé KMS par défaut, spécifiez le defaultKmsKeyId paramètre lors de la création ou de la mise à jour de votre application à l'aide de la AWS CLI ou du SDK. La console vous invite à spécifier une clé KMS par défaut lors de la configuration de l'application.

Lorsque vous spécifiez explicitement une clé KMS lors de la création d'une ressource, celle-ci a priorité sur la valeur par défaut au niveau de l'application.

Conditions préalables

Avant de configurer une clé gérée par le client, remplissez les conditions préalables suivantes :

Autorisations KMS requises

AWS L'agent de sécurité nécessite des autorisations KMS dans deux scénarios :

AWS L'agent de sécurité accède à votre clé KMS en utilisant différentes identités en fonction de l'opération :

Les sections suivantes décrivent les autorisations requises pour chaque identité.

Stratégie de clé

Votre politique de clé KMS doit autoriser l'agent de AWS sécurité à utiliser la clé pour des opérations cryptographiques. Les déclarations de politique clés requises dépendent des types de ressources que vous prévoyez de chiffrer et des CMK-encrypted AWS ressources que vous fournissez au service.

Politique clé pour Agent Spaces

La politique clé suivante accorde à AWS Security Agent les autorisations nécessaires pour chiffrer et déchiffrer les données de l'Agent Space, y compris les résultats des tests d'intrusion et les captures d'écran.

Remplacez les valeurs d'espace réservé suivantes dans la politique :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowKeyMetadataValidationForApplicationAndAgentSpaces",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyRole"
      },
      "Action": [
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "securityagent.us-east-1.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AllowUseOfHierarchicalKeyringForAgentSpaces",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyRole"
      },
      "Action": [
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:ReEncryptTo",
        "kms:ReEncryptFrom",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:securityagent:agent-space": "arn:aws:securityagent:us-east-1:111122223333:agent-space/*"
        },
        "StringEquals": {
          "kms:ViaService": "securityagent.us-east-1.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AllowSynchronousDataAccessForAgentSpaces",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyApplicationRole"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:securityagent:agent-space": "arn:aws:securityagent:us-east-1:111122223333:agent-space/*"
        },
        "StringEquals": {
          "kms:ViaService": "securityagent.us-east-1.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AllowAsynchronousDataAccessForAgentSpaces",
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": [
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:Decrypt",
        "kms:ReEncryptTo",
        "kms:ReEncryptFrom"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:securityagent:agent-space": "arn:aws:securityagent:us-east-1:111122223333:agent-space/*"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:securityagent:us-east-1:111122223333:agent-space/*"
        }
      }
    },
    {
      "Sid": "AllowAsynchronousDataAccessForCodeRemediation",
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
      ],
      "Resource": "*"
    }
  ]
}

Politique clé en matière d'intégrations

La politique clé suivante accorde à AWS Security Agent les autorisations nécessaires pour chiffrer et déchiffrer les données d'intégration, y compris les résultats de la révision du code.

Remplacez les valeurs d'espace réservé suivantes dans la politique :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowKeyAccessValidationForIntegrations",
      "Effect": "Allow",
      "Principal": {
          "AWS": "arn:aws:iam::111122223333:role/MyRole"
      },
      "Action": [
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:ReEncryptTo",
        "kms:ReEncryptFrom"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws-crypto-ec:aws:securityagent:integration": "arn:aws:securityagent:us-east-1:111122223333:integration/*"
        },
        "StringEquals": {
          "kms:ViaService": "securityagent.us-east-1.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AllowKeyMetadataValidationForIntegrations",
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    },
    {
      "Sid": "AllowAsynchronousDataAccessForIntegrations",
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": [
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:ReEncryptTo",
        "kms:ReEncryptFrom"
      ],
      "Resource": "*",
      "Condition": {
        "ArnLike": {
          "aws:SourceArn": "arn:aws:securityagent:us-east-1:111122223333:integration/*"
        },
        "StringLike": {
          "kms:EncryptionContext:aws-crypto-ec:aws:securityagent:integration": "arn:aws:securityagent:us-east-1:111122223333:integration/*"
        }
      }
    }
  ]
}

Politique clé pour les packs d'exigences de sécurité

La politique clé suivante accorde à AWS Security Agent les autorisations nécessaires pour chiffrer et déchiffrer les données du pack d'exigences de sécurité. Les packs d'exigences de sécurité n'utilisent pas de rôle d'application Web. La politique utilise deux chemins d'accès :

Remplacez les valeurs suivantes dans la politique :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowKeyMetadataValidation",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyRole"
      },
      "Action": [
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "securityagent.us-east-1.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AllowUseOfHierarchicalKeyringForSecurityPacks",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyRole"
      },
      "Action": [
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:ReEncryptTo",
        "kms:ReEncryptFrom",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "securityagent.us-east-1.amazonaws.com"
        },
        "StringLike": {
          "kms:EncryptionContext:aws:securityagent:security-requirement-pack": "arn:aws:securityagent:us-east-1:111122223333:security-requirement-pack/*"
        }
      }
    },
    {
      "Sid": "AllowAsynchronousDataAccessForSecurityPacks",
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": [
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:Decrypt",
        "kms:ReEncryptTo",
        "kms:ReEncryptFrom"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:securityagent:security-requirement-pack": "arn:aws:securityagent:us-east-1:111122223333:security-requirement-pack/*"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:securityagent:us-east-1:111122223333:security-requirement-pack/*"
        }
      }
    }
  ]
}

La politique contient trois déclarations :

Contrairement à la politique clé d'Agent Spaces, la politique du pack d'exigences de sécurité n'inclut pas de principal de rôle d'application Web. Les packs d'exigences de sécurité sont accessibles via la console de AWS gestion en utilisant votre rôle d'administrateur, et non via l'application Web AWS Security Agent. Toutes les opérations synchrones utilisent le rôle d'appelant unique (viakms:ViaService).

Politique clé pour CMK-encrypted AWS resources

Si vous fournissez des AWS ressources chiffrées à l'aide d'une clé gérée par le client à AWS Security Agent, vous devez mettre à jour la politique relative aux clés KMS de chaque ressource afin d'accorder les autorisations nécessaires. Cela s'applique aux ressources suivantes :

Les principales déclarations de politique suivantes accordent les autorisations requises pour les CMK-encrypted ressources. N'incluez que les instructions qui s'appliquent à votre configuration. Si une ressource utilise la même clé KMS que celle que vous avez spécifiée pour votre espace agent, ajoutez ces instructions à la politique de cette clé. Si une ressource utilise une autre clé KMS, ajoutez plutôt ces instructions à la politique de cette clé.

Remplacez les valeurs d'espace réservé suivantes dans la politique :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowKmsKeyAccessForCreatingSecrets",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyApplicationRole"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "secretsmanager.*.amazonaws.com",
          "kms:EncryptionContext:SecretARN": "arn:aws:secretsmanager:us-east-1:111122223333:secret:*"
        }
      }
    },
    {
      "Sid": "AllowKmsKeyDecryptionForS3Objects",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyPenTestServiceRole"
      },
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "s3.*.amazonaws.com",
          "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::YOUR-BUCKET-NAME*"
        }
      }
    },
    {
      "Sid": "AllowKmsKeyDecryptionForSecretsManagerSecrets",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyPenTestServiceRole"
      },
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "secretsmanager.*.amazonaws.com",
          "kms:EncryptionContext:SecretARN": "arn:aws:secretsmanager:us-east-1:111122223333:secret:YOUR-SECRET-NAME*"
        }
      }
    },
    {
      "Sid": "AllowKmsKeyValidationForCloudWatchLogsLogGroups",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyPenTestServiceRole"
      },
      "Action": [
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "logs.*.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AllowKmsKeyAccessForCloudWatchLogsLogGroups",
      "Effect": "Allow",
      "Principal": {
        "Service": "logs.us-east-1.amazonaws.com"
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        },
        "StringLike": {
          "kms:EncryptionContext:aws:logs:arn": "arn:aws:logs:us-east-1:111122223333:log-group:YOUR-LOG-GROUP-NAME*"
        }
      }
    }
  ]
}

Rôle d'administrateur

Aucune politique IAM supplémentaire n'est requise pour le rôle d'administrateur (le rôle IAM que vous utilisez pour gérer l'agent AWS de sécurité dans la console).

Rôle de l'application

Outre la politique de clé KMS, associez la stratégie IAM suivante au rôle d'application spécifié lors de la configuration de l'agent AWS de sécurité. Cette politique accorde au rôle l'autorisation d'utiliser les clés gérées par le client pour chiffrer et déchiffrer les données Agent Space et créer des secrets dans Secrets Manager. AWS

Remplacez les valeurs d'espace réservé suivantes dans la politique :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowSynchronousDataAccessForAgentSpaces",
      "Effect": "Allow",
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": [
        "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890cd"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333",
          "kms:ViaService": "securityagent.us-east-1.amazonaws.com"
        },
        "StringLike": {
          "kms:EncryptionContext:aws:securityagent:agent-space": "arn:aws:securityagent:us-east-1:111122223333:agent-space/*"
        }
      }
    },
    {
      "Sid": "AllowKmsKeyAccessForCreatingSecrets",
      "Effect": "Allow",
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": [
        "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890cd"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "secretsmanager.*.amazonaws.com",
          "kms:EncryptionContext:SecretARN": "arn:aws:secretsmanager:us-east-1:111122223333:secret:*"
        }
      }
    }
  ]
}

Rôle de service

Pendant les tests d'intrusion, AWS Security Agent joue le rôle de service de test d'intrusion pour accéder à vos AWS ressources. Si l'une de ces ressources est chiffrée à l'aide d'une clé gérée par le client, vous devez accorder au rôle de service l'autorisation d'utiliser les clés KMS correspondantes. Cela s'applique aux ressources suivantes :

Associez la politique IAM suivante au rôle de service de test d'intrusion. N'incluez que les instructions qui s'appliquent à votre configuration.

Remplacez les valeurs d'espace réservé suivantes dans la politique :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowKmsAccessForEncryptedS3Buckets",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": [
        "arn:aws:kms:us-east-1:111122223333:key/EXAMPLE-S3-KEY-ID"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "s3.*.amazonaws.com",
          "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::YOUR-BUCKET-NAME*"
        }
      }
    },
    {
      "Sid": "AllowKmsAccessForEncryptedSecrets",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": [
        "arn:aws:kms:us-east-1:111122223333:key/EXAMPLE-SECRETS-KEY-ID"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "secretsmanager.*.amazonaws.com",
          "kms:EncryptionContext:SecretARN": "arn:aws:secretsmanager:us-east-1:111122223333:secret:YOUR-SECRET-NAME*"
        }
      }
    },
    {
      "Sid": "AllowKmsKeyValidationForCloudWatchLogsLogGroups",
      "Effect": "Allow",
      "Action": [
        "kms:DescribeKey"
      ],
      "Resource": [
        "arn:aws:kms:us-east-1:111122223333:key/EXAMPLE-CLOUDWATCH-LOGS-KEY-ID"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "logs.*.amazonaws.com"
        }
      }
    }
  ]
}

Création d'une ressource à l'aide d'une clé gérée par le client

Vous pouvez spécifier une clé gérée par le client lors de la configuration AWS de Security Agent ou lors de la création de ressources individuelles. La clé KMS chiffre toutes les données appartenant à cette ressource et à ses sous-ressources.

Définir une clé KMS par défaut lors de l'installation (console)

Vous pouvez configurer une clé KMS par défaut lors de la configuration initiale AWS de l'agent de sécurité. Cette clé est utilisée par défaut pour les nouveaux espaces d'agent et les intégrations, sauf si vous spécifiez une autre clé.

AWS L'agent de sécurité valide la clé KMS pour confirmer qu'elle existe, qu'elle est activée et qu'elle utilise un chiffrement symétrique. Si la validation échoue, l'installation ne se poursuit pas et vous recevez un message d'erreur.

Création d'un espace d'agent avec une clé gérée par le client (console)

Création d'une intégration à l'aide d'une clé gérée par le client (console)

Créez une ressource à l'aide d'une clé gérée par le client (AWS CLI ou SDK)

Pour spécifier une clé gérée par le client à l'aide de la AWS CLI ou du SDK :

Pour plus de détails sur les paramètres, consultez le document AWS de référence de l'API Security Agent.

Si vous ne spécifiez pas de clé KMS, AWS Security Agent utilise la clé KMS par défaut au niveau de l'application si elle est configurée. Dans le cas contraire, la ressource est chiffrée avec des clés AWS gérées par -managed.

Rotation des clés d'accès

AWS Security Agent fait automatiquement pivoter les clés de branche de façon périodique. La rotation de la clé de branche crée une nouvelle version active de la clé de branche tout en conservant toutes les versions précédentes. Après la rotation :

La rotation des clés de branche est distincte de la rotation des clés KMS. Vous pouvez activer la rotation automatique des clés KMS pour votre clé gérée par le client de manière indépendante. Pour plus d'informations, voir Rotation des clés KMS dans le Guide du développeur du service de gestion des AWS clés.

Après une rotation de clé de branche, il existe une brève période pendant laquelle les copies mises en cache de la clé de branche précédente peuvent encore être utilisées pour de nouvelles opérations de chiffrement. Cette fenêtre est déterminée par la durée de vie du cache interne (TTL) et n'affecte pas la sécurité de vos données.

Considérations

Tenez compte des points suivants lorsque vous utilisez des clés gérées par le client avec AWS Security Agent :