Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Enkripsi data saat diam di AWS IoT Core

Secara default, semua AWS IoT Core data yang diam dienkripsi menggunakan kunci AWS yang dimiliki. AWS IoT Core juga mendukung kunci yang dikelola pelanggan simetris dari AWS Key Management Service (AWS KMS). Dengan kunci yang dikelola pelanggan, Anda dapat membuat, memiliki, dan mengelola AWS KMS kunci di AWS akun Anda. AWS IoT Core akan menggunakan kunci KMS Anda untuk mengenkripsi data Anda saat istirahat. Anda memiliki kontrol penuh atas kunci KMS ini, termasuk membuat dan memelihara kebijakan utama mereka. Anda juga dapat mengonfigurasi kebijakan IAM untuk peran yang mengakses izin kontrol AWS KMS untuk kunci ini.

AWS kunci yang dimiliki

AWS kunci yang dimiliki adalah kumpulan kunci KMS yang dimiliki dan AWS dikelola layanan untuk digunakan di beberapa AWS akun. AWS layanan dapat menggunakan kunci yang AWS dimiliki untuk melindungi data Anda. Secara default, AWS IoT Core mengenkripsi data saat diam menggunakan kunci yang AWS dimiliki. Kunci ini dikelola oleh layanan. Anda tidak dapat melihat, mengelola, atau menggunakan kunci AWS yang dimiliki. Namun, Anda tidak perlu mengambil tindakan apa pun untuk melindungi kunci ini.

Untuk informasi selengkapnya tentang kunci yang AWS AWS dimiliki, lihat kunci yang dimiliki di Panduan AWS Key Management Service Pengembang.

Kunci yang dikelola pelanggan

Kunci yang dikelola pelanggan adalah kunci KMS di AWS akun Anda yang Anda buat, miliki, dan kelola. Anda memiliki kontrol penuh atas AWS KMS kunci ini, termasuk membuat dan memelihara kebijakan utama mereka. Anda juga dapat mengonfigurasi kebijakan IAM untuk peran yang mengakses izin kontrol AWS KMS untuk kunci ini. Anda dapat mengonfigurasi AWS IoT Core untuk menggunakan kunci KMS yang dikelola pelanggan untuk mengenkripsi data Anda.

Untuk informasi selengkapnya tentang kunci yang dikelola pelanggan, lihat Kunci yang dikelola pelanggan di Panduan Developer AWS Key Management Service .

Untuk memilih masuk ke kunci yang dikelola pelanggan AWS IoT Core, ikuti langkah-langkah berikut:

Langkah 1: Buat kunci yang dikelola pelanggan

Anda dapat membuat kunci yang dikelola pelanggan simetris dengan menggunakan AWS KMS konsol atau perintah AWS KMS CLI. Yang keySpec harus SYMMETRIC_DEFAULT dan yang keyUsage harus adaENCRYPT_DECRYPT.

Berikut ini adalah contoh AWS CLI perintah untuk membuat kunci KMS yang dapat digunakan AWS IoT Core untuk kunci yang dikelola pelanggan.

aws kms create-key --key-spec SYMMETRIC_DEFAULT --key-usage ENCRYPT_DECRYPT --region us-west-2

Berikut ini adalah contoh output dari perintah.

{
    "KeyMetadata": {
        "AWSAccountId": "111122223333",
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "CreationDate": "2024-09-19T11:45:23.982000-07:00",
        "Enabled": true,
        "Description": "",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "KeyState": "Enabled",
        "Origin": "AWS_KMS",
        "KeyManager": "CUSTOMER",
        "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
        "KeySpec": "SYMMETRIC_DEFAULT",
        "EncryptionAlgorithms": [
            "SYMMETRIC_DEFAULT"
        ],
        "MultiRegion": false
    }
}

Untuk informasi selengkapnya, lihat Membuat kunci yang dikelola pelanggan simetris di Panduan Peng AWS Key Management Service embang.

Kebijakan kunci

Saat membuat kunci yang dikelola pelanggan, Anda dapat menentukan kebijakan kunci. Kebijakan utama mengontrol akses ke kunci yang dikelola pelanggan Anda. Setiap kunci yang dikelola pelanggan harus memiliki tepat satu kebijakan kunci, yang berisi pernyataan yang menentukan siapa yang dapat menggunakan kunci dan bagaimana mereka dapat menggunakannya. Untuk informasi selengkapnya, lihat Kebijakan Utama di Panduan AWS Key Management Service Pengembang.

AWS IoT Core menggunakan peran IAM di akun Anda untuk mengakses kunci yang dikelola pelanggan Anda. Jika Anda menggunakan kebijakan kunci khusus, pastikan peran IAM yang dibuat pada kunci ini memiliki izin berikut:

Langkah 2: Buat peran IAM untuk diberikan AWS IoT Core izin untuk menggunakan kunci KMS

AWS IoT Core Untuk menggunakan kunci KMS yang Anda buat untuk mengenkripsi data saat diam, Anda juga perlu membuat peran IAM di akun Anda, yang AWS IoT Core dapat diasumsikan untuk mengakses kunci KMS.

Peran harus memiliki kebijakan kepercayaan berikut untuk memungkinkan AWS IoT Core untuk mengambil peran.

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Principal": {
            "Service": "iot.amazonaws.com"
        },
        "Action": "sts:AssumeRole",
        "Condition": {
            "StringEquals": {
                "aws:SourceAccount": "111122223333"
            },
            "ArnLike": {
                "aws:SourceArn": "arn:aws:iot:us-west-2:111122223333:*"
            }
        }
    }
}

Pastikan kebijakan IAM yang dilampirkan ke peran IAM memiliki izin berikut pada kunci KMS:

Berikut ini adalah contoh kebijakan IAM dengan izin yang diperlukan untuk kunci yang dikelola pelanggan.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowIoTToAccessKMSResource",
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey",
                "kms:Decrypt",
                "kms:Encrypt",
                "kms:ReEncryptTo",
                "kms:ReEncryptFrom",
                "kms:GenerateDataKeyWithoutPlaintext"
            ],
            "Resource": [
                "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
            ],
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws-crypto-ec:vendor": "iot.amazonaws.com"
                }
            }
        }
    ]
}

Untuk informasi selengkapnya, lihat Membuat peran untuk mendelegasikan izin ke pengguna IAM di Panduan AWS Identity and Access Management Pengguna.

Langkah 3: Bergabunglah dengan kunci yang dikelola pelanggan di AWS IoT Core

Setelah Anda menyelesaikan semua langkah sebelumnya, jalankan perintah update-encryption-configuration CLI untuk ikut serta menggunakan kunci yang dikelola pelanggan. AWS IoT Core Saat Anda memilih kunci yang dikelola pelanggan, semua AWS IoT Core sumber daya di AWS akun Anda akan dienkripsi menggunakan AWS KMS kunci yang ditentukan.

Langkah 4: Izin tambahan diperlukan untuk AWS IoT Core operasi pesawat kontrol

Setelah Anda memilih kunci yang dikelola pelanggan, semua AWS IoT Core sumber daya milik AWS akun Anda dienkripsi dengan kunci KMS yang disediakan. Semua operasi bidang kontrol sekarang mengharuskan pemanggil memiliki kms:Decrypt izin pada kunci KMS selain izin yang diperlukan untuk operasi tertentu pada sumber daya. AWS IoT Core Jika pemanggil tidak memiliki kms:Decrypt izin dan mereka membuat panggilan API yang memerlukan enkripsi atau dekripsi data (misalnya,GetPolicy), mereka akan menerima. UnauthorizedException

Misalnya, saat memanggilGetPolicy, Anda memerlukan keduanya iot:GetPolicy dan kms:Decrypt izin pada kunci KMS yang dikelola pelanggan agar panggilan API berhasil.

AWS KMS izin untuk UpdateEncryptionConfiguration

Pang UpdateEncryptionConfiguration gilan API memerlukan AWS KMS izin berikut pada kunci KMS untuk dapat memilih masuk ke kunci yang dikelola pelanggan atau untuk mengubah konfigurasi kunci:

AWS KMS izin untuk semua API bidang kontrol lainnya

Sebagian besar API bidang kontrol memerlukan kms:Decrypt izin saat kunci yang dikelola pelanggan diaktifkan. Namun, API tertentu tidak memerlukan izin tambahan ini:

Langkah 5: Mengelola kunci

AWS IoT Core menjalankan pemeriksaan berkala pada konfigurasi kunci yang dikelola pelanggan Anda untuk memastikan operasi enkripsi dan dekripsi tidak terpengaruh. Pemeriksaan kesehatan ini berjalan sekali setiap menit dan memverifikasi AWS IoT Core kemampuan untuk mengakses dan menggunakan AWS KMS kunci dan peran IAM terkait untuk enkripsi dan mendekripsi operasi.

Tindakan pelanggan yang dapat memengaruhi kesehatan kunci

Beberapa tindakan pelanggan dapat menyebabkan status kesehatan utama berubah dari HEALTHY menjadiUNHEALTHY:

Memperbarui konfigurasi enkripsi

Perbarui konfigurasi enkripsi Anda AWS IoT Core untuk mengubah dari satu kunci yang dikelola pelanggan ke kunci lain, atau antara kunci AWS yang dimiliki dan kunci yang dikelola pelanggan.

Untuk mengubah konfigurasi ke kunci yang dikelola pelanggan yang berbeda:

Untuk mengubah konfigurasi dari kunci yang dikelola pelanggan kembali ke kunci AWS yang dimiliki:

aws iot update-encryption-configuration --encryption-type "AWS_OWNED_KMS_KEY"

Skenario dan dampak kegagalan umum

Tabel berikut menjelaskan skenario kegagalan umum saat kunci dihapus atau dinonaktifkan:

Pencegahan dan praktik terbaik

Untuk mencegah penghapusan atau penonaktifan kunci yang tidak disengaja dan meminimalkan risiko kegagalan layanan:

Langkah 6: Memantau kesehatan kunci

Sebagai bagian dari pemeriksaan berkala, AWS IoT Core met CloudWatch rik dan log dipancarkan untuk memberikan visibilitas pada status kesehatan konfigurasi kunci yang dikelola pelanggan Anda

AWS IoT Core memancarkan CMK.Health metrik CloudWatch setidaknya sekali setiap menit. Metrik memberikan informasi tentang status kesehatan kunci yang dikelola pelanggan yang digunakan AWS IoT Core untuk mengenkripsi dan mendekripsi data Anda.

Met CMK.Health rik dapat memiliki nilai-nilai berikut:

AWS IoT Core juga memancarkan log AWS IoT V2 ketika status kesehatan kunci enkripsi berubah. Log ini memberikan rincian tambahan tentang pembaruan status kesehatan. Untuk melihat log ini, Anda harus mengaktifkan log AWS IoT V2. HEALTHYLog dipancarkan pada INFO tingkat, dan UNHEALTHY log dipancarkan di ERROR level. Untuk informasi selengkapnya tentang level log, lihat Lev el log.

Contoh berikut adalah entri CloudWatch log yang dipancarkan oleh AWS IoT Core untuk menunjukkan pembaruan status kesehatan dari kunci yang dikelola pelanggan.

Untuk secara efektif memantau dan menanggapi perubahan status kesehatan utama:

Dari TIDAK SEHAT hingga SEHAT

Ketika status kunci enkripsi diperbarui dari UNHEALTHY keHEALTHY, AWS IoT Core akan memancarkan pesan log AWS IoT V2 dalam format berikut.

{
    "timestamp": "2017-08-10 15:37:23.476",
    "logLevel": "INFO",
    "traceId": "8421693b-f4f0-4e4a-9235-0cff8bab897d",
    "accountId": "111122223333",
    "status": "SUCCESS",
    "cmkStatus": "HEALTHY",
    "kmsKeyArn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "kmsAccessRoleArn": "arn:aws:iam::111122223333:role/myrole",
    "eventType": "CmkHealthCheck"
}

Dari Sehat ke Tidak Sehat

Ketika status kunci enkripsi diperbarui dari HEALTHY keUNHEALTHY, AWS IoT Core akan memancarkan pesan log AWS IoT V2 dalam format berikut.

{
    "timestamp": "2017-08-10 15:37:23.476",
    "logLevel": "ERROR",
    "traceId": "8421693b-f4f0-4e4a-9235-0cff8bab897d",
    "accountId": "111122223333",
    "status": "FAILURE",
    "cmkStatus": "UNHEALTHY",
    "errorCode": "KMS_KEY_VALIDATION_ERROR / ROLE_VALIDATION_ERROR",
    "errorMessage": "Error message on why there was a failure",
    "kmsKeyArn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "kmsAccessRoleArn": "arn:aws:iam::111122223333:role/myrole",
    "eventType": "CmkHealthCheck"
}

Memantau kesehatan rotasi kunci cabang

AWS IoT Core menggunakan struktur kunci hierarkis untuk mengenkripsi data Anda. Di bagian atas hierarki ini adalah AWS KMS kunci Anda (kunci yang dikelola pelanggan yang Anda konfigurasikan). Di bawahnya, AWS IoT Core pertahankan kunci cabang — kunci internal yang berasal dari AWS KMS kunci Anda. AWS IoT Core kemudian menggunakan kunci cabang ini untuk menghasilkan kunci pembungkus unik, yang melakukan enkripsi dan dekripsi data Anda yang sebenarnya. Pendekatan berlapis ini membatasi ruang lingkup kunci tunggal dan mengikuti praktik terbaik AWS enkripsi. AWS IoT Core mengelola kunci cabang sebagai detail implementasi internal, terpisah dari rotasi AWS KMS kunci Anda, yang dikelola AWS KMS secara langsung. Untuk informasi selengkapnya, lihat Putar kunci cabang aktif Anda.

AWS IoT Core memutar kunci cabang setiap tahun sebagai praktik terbaik keamanan. Rotasi membuat versi kunci cabang aktif baru sambil mempertahankan versi sebelumnya untuk mendekripsi data yang ada. Rotasi ini memerlukan kms:Encrypt izin pada peran IAM yang terkait dengan konfigurasi kunci yang dikelola pelanggan Anda. AWS IoT Core memancarkan CMK.BranchKeyRotationHealth metrik untuk CloudWatch sekali setiap menit untuk menunjukkan apakah peran AWS KMS akses Anda memiliki izin yang diperlukan untuk rotasi.

Met CMK.BranchKeyRotationHealth rik dapat memiliki nilai-nilai berikut:

Untuk diberitahu ketika rotasi kunci cabang tidak dapat dilanjutkan, atur CloudWatch alarm untuk CMK.BranchKeyRotationHealth metrik:

aws cloudwatch put-metric-alarm --region us-west-2 \
  --alarm-name "IoTCore-CMK-BranchKeyRotationHealth-Alert" \
  --alarm-description "Alert when IoT Core branch key rotation health is degraded" \
  --metric-name "CMK.BranchKeyRotationHealth" \
  --namespace "AWS/IoT" \
  --statistic "Minimum" \
  --period 300 \
  --evaluation-periods 1 \
  --threshold 1 \
  --comparison-operator "LessThanThreshold" \
  --alarm-actions "arn:aws:sns:us-west-2:111122223333:iot-alerts"

AWS CloudTrail peristiwa

Anda juga dapat memantau AWS IoT Core penggunaan kunci KMS untuk enkripsi operasi dekripsi. AWS IoT Core akan membuatDescribeKey,, DecryptReEncrypt, dan GenerateDataKeyWithoutPlaintext operasi pada kunci KMS Anda untuk mengenkripsi/mendekripsi data milik AWS akun Anda yang disimpan saat istirahat.

Ada CloudTrail acara untukDescribeKey,Decrypt,ReEncrypt, danGenerateDataKeyWithoutPlaintext. Peristiwa ini memantau AWS KMS operasi yang dipanggil oleh AWS IoT Core untuk mengakses data yang dienkripsi oleh kunci yang dikelola pelanggan Anda.

Contoh de kripsi

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "*********************",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "*****"
            },
            "attributes": {
                "creationDate": "2024-09-16T20:23:39Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "iot.amazonaws.com"
    },
    "eventTime": "2024-09-16T20:32:48Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Decrypt",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "iot.amazonaws.com",
    "userAgent": "iot.amazonaws.com",
    "requestParameters": {
        "encryptionContext": {
            "kms-arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
            "aws-crypto-ec:vendor": "iot.amazonaws.com",
            "branch-key-id": "111122223333",
            "type": "branch:ACTIVE"
        },
        "encryptionAlgorithm": "SYMMETRIC_DEFAULT",
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    "responseElements": null,
    "requestID": "1afb6d98-8388-455d-8b48-e62c9e0cf7f4",
    "eventID": "b59a5f16-0d98-46d8-a590-0e040a48b39b",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}