Manajemen kunci di AWS IoT FleetWise

AWS Manajemen kunci FleetWise cloud IoT

Secara default, AWS IoT FleetWise digunakan Kunci yang dikelola AWS untuk melindungi data Anda di AWS Cloud. Anda dapat memperbarui pengaturan untuk menggunakan kunci yang dikelola pelanggan untuk mengenkripsi data di AWS IoT FleetWise. Anda dapat membuat, mengelola, dan melihat kunci enkripsi Anda melalui AWS Key Management Service (AWS KMS).

AWS IoT FleetWise mendukung enkripsi sisi server dengan kunci yang dikelola pelanggan yang disimpan AWS KMS untuk mengenkripsi data untuk sumber daya berikut.

Untuk informasi lebih lanjut, lihat Apa itu AWS Key Management Service? dalam Panduan Peng AWS Key Management Service embang.

Aktifkan enkripsi menggunakan kunci KMS (konsol)

Untuk menggunakan kunci yang dikelola pelanggan dengan AWS IoT FleetWise, Anda harus memperbarui FleetWise pengaturan AWS IoT Anda.

Aktifkan enkripsi menggunakan kunci KMS (AWS CLI)

Anda dapat menggunakan operasi PutEncryptionConfiguration API untuk mengaktifkan enkripsi untuk FleetWise akun AWS IoT Anda. Contoh berikut menggunakan AWS CLI.

Untuk mengaktifkan enkripsi, jalankan perintah berikut.

aws iotfleetwise put-encryption-configuration \
      --encryption-type KMS_BASED_ENCRYPTION \
      --kms-key-id kms_key_id

{
 "kmsKeyId": "customer_kms_key_id",
 "encryptionStatus": "PENDING",
 "encryptionType": "KMS_BASED_ENCRYPTION"
}

Kebijakan kunci KMS

Setelah membuat kunci KMS, setidaknya Anda harus menambahkan pernyataan berikut ke kebijakan kunci KMS agar dapat bekerja dengan AWS IoT. FleetWise Prinsi AWS p FleetWise layanan IoT iotfleetwise.amazonaws.com dalam pernyataan kebijakan kunci KMS memungkinkan AWS IoT FleetWise mengakses kunci KMS.

{
  "Sid": "Allow FleetWise to encrypt and decrypt data when customer managed KMS key based encryption is enabled",
  "Effect": "Allow",
  "Principal": {
    "Service": "iotfleetwise.amazonaws.com"
  },
  "Action": [
    "kms:GenerateDataKey*",
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:DescribeKey",
    "kms:CreateGrant",
    "kms:RetireGrant",
    "kms:RevokeGrant"
  ],
  "Resource": "*"
}

Sebagai praktik terbaik keamanan, tambahkan aws:SourceArn dan sesu aws:SourceAccount aikan kunci ke kebijakan kunci KMS. Kunci kondisi global IAM aws:SourceArn membantu memastikan bahwa AWS IoT FleetWise menggunakan kunci KMS hanya untuk sumber daya khusus layanan Amazon Resource Names (ARN).

Jika Anda menetapkan nilaiaws:SourceArn, itu harus selalu begituarn:aws:iotfleetwise:us-east-1:account_id:*. Ini memungkinkan kunci KMS untuk mengakses semua FleetWise sumber daya AWS IoT untuk ini Akun AWS. AWS IoT FleetWise mendukung satu kunci KMS per akun untuk semua sumber daya di dalamnya. Wilayah AWS Menggunakan nilai lain untukSourceArn, atau tidak menggunakan wildcard (*) untuk bidang sumber daya ARN, FleetWise mencegah AWS IoT mengakses kunci KMS.

Nilai aws:SourceAccount adalah ID akun Anda, yang digunakan untuk membatasi kunci KMS lebih lanjut sehingga hanya dapat digunakan untuk akun spesifik Anda. Jika Anda menambahkan aws:SourceAccount dan aws:SourceArn mengkondisikan kunci ke kunci KMS, pastikan kunci tersebut tidak digunakan oleh layanan atau akun lain. Ini membantu menghindari kegagalan.

Kebijakan berikut mencakup prinsipal layanan (pengidentifikasi untuk layanan), serta aws:SourceAccount dan aws:SourceArn diatur untuk digunakan berdasarkan Wilayah AWS dan ID akun Anda.

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {
    "Service": "iotfleetwise.amazonaws.com"
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*",
    "kms:DescribeKey"
  ],
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "aws:SourceAccount": "AWS-account-ID"
    },
    "ArnLike": {
      "aws:SourceArn": "arn:aws:iotfleetwise:region:AWS-account-ID:*"
    }
  }
}

Untuk informasi selengkapnya tentang mengedit kebijakan kunci KMS untuk digunakan dengan AWS IoT FleetWise, lihat Mengubah kebijakan kunci di Panduan Peng AWS Key Management Service embang.

Izin untuk AWS KMS enkripsi

Jika Anda mengaktifkan AWS KMS enkripsi, Anda harus menentukan izin dalam kebijakan peran sehingga Anda dapat memanggil FleetWise API AWS IoT. Kebijakan berikut memungkinkan akses ke semua FleetWise tindakan AWS IoT, serta izin AWS KMS tertentu.

Pernyataan kebijakan berikut diperlukan untuk peran Anda untuk memanggil API enkripsi. Pernyataan kebijakan ini memungkinkan PutEncryptionConfiguration dan GetEncryptionConfiguration tindakan dari AWS IoT FleetWise.

Pemulihan setelah AWS KMS penghapusan kunci

Jika Anda menghapus AWS KMS kunci setelah mengaktifkan enkripsi dengan AWS IoT FleetWise, Anda harus mengatur ulang akun Anda dengan menghapus semua data sebelum menggunakan AWS IoT FleetWise lagi. Anda dapat menggunakan daftar dan menghapus operasi API untuk membersihkan sumber daya di akun Anda.

Anda harus membersihkan sumber daya dengan urutan berikut.