Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Enkripsi saat diam di Pen EventBridge jadwal

Bagian ini menjelaskan cara Amazon EventBridge Scheduler mengenkripsi dan mendekripsi data Anda saat istirahat. Data diam adalah data yang disimpan di EventBridge Scheduler dan komponen dasar layanan. EventBridge Scheduler terintegrasi dengan AWS Key Management Service (AWS KMS) untuk mengenkripsi dan mendekripsi data Anda menggunakan. AWS KMS key EventBridge Penjadwal mendukung dua jenis kunci KMS: Kunci milik AWS, dan kunci yang dikelola pelanggan.

Kunci milik AWSadalah kunci KMS yang dimiliki dan AWS dikelola layanan untuk digunakan di beberapa AWS akun. Meskipun penggunaan Pen Kunci milik AWS EventBridge jadwal tidak disimpan di AWS akun Anda, Pen EventBridge jadwal menggunakannya untuk melindungi data dan sumber daya Anda. Secara default, EventBridge Scheduler mengenkripsi dan mendekripsi semua data Anda menggunakan kunci yang AWS dimiliki. Anda tidak perlu mengelola kebijakan akses Anda Kunci milik AWS atau kebijakan aksesnya. Anda tidak dikenakan biaya apa pun saat Pen EventBridge jadwal menggunakan Kunci milik AWS untuk melindungi data Anda, dan penggunaannya tidak dihitung sebagai bagian dari ku AWS KMS ota Anda di akun Anda.

Kunci yang dikelola pelanggan adalah kunci KMS yang disimpan di AWS akun Anda yang Anda buat, miliki, dan kelola. Jika kasus penggunaan spesifik mengharuskan Anda mengontrol dan mengaudit kunci enkripsi yang melindungi data Anda di Pen EventBridge jadwal, Anda dapat menggunakan kunci yang dikelola pelanggan. Jika Anda memilih kunci yang dikelola pelanggan, Anda harus mengelola kebijakan kunci Anda. Kunci yang dikelola pelanggan dikenakan biaya bulanan dan biaya untuk penggunaan melebihi tingkat gratis. Menggunakan kunci yang dikelola pelanggan juga dihitung sebagai bagian dari AWS KMS kuota Anda. Untuk informasi selengkapnya tentang harga, lihat AWS Key Management Service harga.

Artefak enkripsi

Tabel berikut menjelaskan berbagai jenis data yang dienkripsi Pen EventBridge jadwal saat diam, dan jenis kunci KMS yang didukungnya untuk setiap kategori.

EventBridge Penjadwal menggunakan kunci yang dikelola pelanggan Anda hanya saat mengenkripsi dan mendekripsi muatan target, seperti yang dijelaskan dalam tabel sebelumnya. Jika Anda memilih untuk menggunakan kunci yang dikelola pelanggan, Pen EventBridge jadwal mengenkripsi dan mendekripsi payload dua kali: sekali menggunakan default Kunci milik AWS, dan lain kali menggunakan kunci yang dikelola pelanggan yang Anda tentukan. Untuk semua jenis data lainnya, EventBridge Penjadwal hanya menggunakan default Kunci milik AWS untuk melindungi data Anda saat istirahat.

Gunakan Mengelola kunci KMS bagian berikut untuk mempelajari cara mengelola sumber daya IAM dan kebijakan utama agar dapat menggunakan kunci yang dikelola pelanggan dengan Pen EventBridge jadwal.

Mengelola kunci KMS

Anda dapat secara opsional menyediakan kunci yang dikelola pelanggan untuk mengenkripsi dan mendekripsi muatan yang dikirimkan jadwal Anda ke targetnya. EventBridge Scheduler mengenkripsi dan mendekripsi muatan Anda hingga 256KB data. Menggunakan kunci yang dikelola pelanggan dikenakan biaya bulanan dan biaya melebihi tingkat gratis. Menggunakan kunci yang dikelola pelanggan dihitung sebagai bagian dari AWS KMS kuota Anda. Untuk informasi selengkapnya tentang harga, lihat AWS Key Management Service harga

EventBridge Penjadwal menggunakan izin IAM yang terkait dengan prinsipal yang membuat jadwal untuk mengenkripsi data Anda. Ini berarti Anda harus melampirkan izin AWS KMS terkait yang diperlukan ke pengguna, atau peran, yang memanggil API Pen EventBridge jadwal. Selain itu, EventBridge Scheduler menggunakan kebijakan berbasis sumber daya untuk mendekripsi data Anda. Ini berarti bahwa peran eksekusi yang terkait dengan jadwal Anda juga harus memiliki izin AWS KMS terkait yang diperlukan untuk memanggil AWS KMS API saat mendekripsi data.

Gunakan bagian berikut untuk mempelajari cara mengelola kebijakan AWS KMS utama dan izin IAM yang diperlukan untuk menggunakan kunci yang dikelola pelanggan di Pen EventBridge jadwal.

Tambahkan izin IAM

Untuk menggunakan kunci yang dikelola pelanggan, Anda harus menambahkan izin berikut ke prinsipal IAM berbasis identitas yang membuat jadwal, serta peran eksekusi yang Anda kaitkan dengan jadwal.

Identity-based izin untuk kunci yang dikelola pelanggan

Anda harus menambahkan AWS KMS tindakan berikut ke kebijakan izin yang terkait dengan prinsipal (pengguna, grup, atau peran) yang memanggil API EventBridge Penjadwal saat membuat jadwal.

Ini adalah tambahan untuk tindakan berikut:

Izin peran eksekusi untuk kunci yang dikelola pelanggan

Anda harus menambahkan tindakan berikut ke kebijakan izin peran eksekusi jadwal Anda untuk menyediakan akses ke Pen EventBridge jadwal untuk memanggil AWS KMS API saat mendekripsi data Anda.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEventBridgeSchedulerToDecryptDataUsingCMKMS",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/your-key-id"
        }
    ]
}

Jika Anda menggunakan konsol Pen EventBridge jadwal untuk membuat peran eksekusi baru saat Anda membuat jadwal baru, Pen EventBridge jadwal akan secara otomatis melampirkan izin yang diperlukan ke peran eksekusi Anda. Namun, jika Anda memilih peran eksekusi yang ada, Anda harus menambahkan izin yang diperlukan ke peran tersebut agar dapat menggunakan kunci yang dikelola pelanggan Anda.

Kelola kebijakan utama

Saat Anda membuat kunci yang dikelola pelanggan menggunakan AWS KMS, secara default, kunci Anda memiliki kebijakan kunci berikut untuk menyediakan akses ke peran eksekusi jadwal Anda.

Secara opsional, Anda dapat membatasi cakupan kebijakan kunci untuk hanya menyediakan akses ke peran eksekusi. Anda dapat melakukan ini jika ingin menggunakan kunci yang dikelola pelanggan hanya dengan sumber daya Pen EventBridge jadwal Anda. Gunakan contoh kebijakan kunci berikut untuk membatasi sumber daya Pen EventBridge jadwal mana yang dapat menggunakan kunci Anda.

CloudTrail contoh acara

AWS CloudTrail menangkap semua peristiwa panggilan API. Ini termasuk panggilan API setiap kali Pen EventBridge jadwal menggunakan kunci yang dikelola pelanggan Anda untuk mendekripsi data Anda. Contoh berikut menunjukkan entri CloudTrail peristiwa yang menunjukkan Pen EventBridge jadwal menggunakan kms:Decrypt tindakan menggunakan kunci yang dikelola pelanggan.

{
  "eventVersion": "1.08",
  "userIdentity": {
      "type": "AssumedRole",
      "principalId": "ABCDEABCD1AB12ABABAB0:70abcd123a123a12345a1aa12aa1bc12",
      "arn": "arn:aws:sts::123456789012:assumed-role/execution-role/70abcd123a123a12345a1aa12aa1bc12",
      "accountId": "123456789012",
      "accessKeyId": "ABCDEFGHI1JKLMNOP2Q3",
      "sessionContext": {
          "sessionIssuer": {
              "type": "Role",
              "principalId": "ABCDEABCD1AB12ABABAB0",
              "arn": "arn:aws:iam::123456789012:role/execution-role",
              "accountId": "123456789012",
              "userName": "execution-role"
          },
          "webIdFederationData": {},
          "attributes": {
              "creationDate": "2022-10-31T21:03:15Z",
              "mfaAuthenticated": "false"
          }
      }
    },
    "eventTime": "2022-10-31T21:03:15Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Decrypt",
    "awsRegion": "eu-north-1",
    "sourceIPAddress": "13.50.87.173",
    "userAgent": "aws-sdk-java/2.17.295 Linux/4.14.291-218.527.amzn2.x86_64 OpenJDK_64-Bit_Server_VM/11.0.17+9-LTS Java/11.0.17 kotlin/1.3.72-release-468 (1.3.72) vendor/Amazon.com_Inc. md/internal exec-env/AWS_ECS_FARGATE io/sync http/Apache cfg/retry-mode/standard AwsCrypto/2.4.0",
    "requestParameters": {
        "keyId": "arn:aws:kms:us-west-2:123456789012:key/2321abab-2110-12ab-a123-a2b34c5abc67",
        "encryptionAlgorithm": "SYMMETRIC_DEFAULT",
        "encryptionContext": {
            "aws:scheduler:schedule:arn": "arn:aws:scheduler:us-west-2:123456789012:schedule/default/execution-role"
        }
    },
    "responseElements": null,
    "requestID": "request-id",
    "eventID": "event-id",
    "readOnly": true,
    "resources": [
        {
            "accountId": "123456789012",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:123456789012:key/2321abab-2110-12ab-a123-a2b34c5abc67"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
      "tlsVersion": "TLSv1.3",
      "cipherSuite": "TLS_AES_256_GCM_SHA384",
      "clientProvidedHostHeader": "kms.us-west-2.amazonaws.com"
  }
}