Crittografia dei dati archiviati nei volumi Amazon EBS allegati alle attività Amazon ECS

È possibile usare AWS Key Management Service (AWS KMS) per creare e gestire chiavi crittografiche che proteggono i dati. I volumi Amazon EBS vengono crittografati quando inattivi utilizzando AWS KMS keys. I seguenti tipi di dati sono crittografati:

I volumi Amazon EBS collegati alle attività possono essere crittografati utilizzando un Chiave gestita da AWS predefinito con un alias alias/aws/ebs o una chiave simmetrica gestita dal cliente specificata nella configurazione del volume. Le Chiavi gestite da AWS predefinite sono uniche per ciascun Account AWS per Regione AWS e vengono create automaticamente. Per creare una chiave simmetrica gestita dal cliente, seguire le fasi descritte in Creazione delle chiavi KMS per la crittografia simmetrica nella Guida per gli sviluppatori di AWS KMS.

È possibile configurare la crittografia Amazon EBS per impostazione predefinita in modo che tutti i nuovi volumi creati e collegati a un'attività in una determinata Regione AWS vengano crittografati utilizzando la chiave KMS specificata per l'account. Per ulteriori informazioni sulla crittografia di Amazon EBS e la crittografia per impostazione predefinita, consultare Amazon EBS encryption nella Guida per l'utente di Amazon EBS.

Comportamento di Istanze gestite da Amazon ECS

È possibile crittografare i volumi Amazon EBS abilitando la crittografia, utilizzando la crittografia per impostazione predefinita o abilitando la crittografia al momento della creazione di un volume che si desidera crittografare. Per informazioni su come abilitare la crittografia per impostazione predefinita (a livello di account), consultare Encryption by default nella Guida per l'utente di Amazon EBS.

È possibile configurare qualsiasi combinazione di questi tasti. L'ordine di precedenza delle chiavi KMS è il seguente:

Comportamento di Istanze non gestite da Amazon ECS

È possibile anche configurare la crittografia a livello di cluster di Amazon ECS per l'archiviazione gestita da Amazon ECS quando si crea o aggiorna un cluster. La crittografia a livello di cluster ha effetto a livello di attività e può essere utilizzata per crittografare i volumi di Amazon EBS collegati a ciascuna attività in esecuzione in un cluster specifico utilizzando la chiave KMS specificata. Per ulteriori informazioni sulla configurazione della crittografia a livello di cluster per ogni attività, consultare ManagedStorageConfiguration nel riferimento dell'API Amazon ECS.

È possibile configurare qualsiasi combinazione di questi tasti. L'ordine di precedenza delle chiavi KMS è il seguente:

Policy delle chiavi KMS gestite dal cliente

Per crittografare un volume EBS collegato all'attività utilizzando una chiave gestita dal cliente, è necessario configurare la policy della chiave KMS per garantire che il ruolo IAM utilizzato per la configurazione del volume disponga delle autorizzazioni necessarie per utilizzare la chiave. La policy della chiave deve includere le autorizzazioni kms:CreateGrant e kms:GenerateDataKey*. Le autorizzazioni kms:ReEncryptTo e kms:ReEncryptFrom sono necessarie per crittografare i volumi creati utilizzando gli snapshot. Se desideri configurare e crittografare solo nuovi volumi vuoti da allegare, puoi escludere le autorizzazioni kms:ReEncryptTo e kms:ReEncryptFrom.

Il seguente frammento di codice JSON mostra le dichiarazioni della policy della chiave che puoi allegare alla policy della chiave KMS. L'utilizzo di queste istruzioni consentirà ad Amazon ECS di utilizzare la chiave per crittografare il volume EBS. Per usare gli esempi di dichiarazioni della policy, sostituire user input placeholders con le proprie informazioni. Come sempre, configurare solo le autorizzazioni necessarie.

{
      "Effect": "Allow",
      "Principal": { "AWS": "arn:aws:iam::111122223333:role/ecsInfrastructureRole" },
      "Action": "kms:DescribeKey",
      "Resource":"*"
    },
    {
      "Effect": "Allow",
      "Principal": { "AWS": "arn:aws:iam::111122223333:role/ecsInfrastructureRole" },
      "Action": [
      "kms:GenerateDataKey*",
      "kms:ReEncryptTo",
      "kms:ReEncryptFrom"
      ],
      "Resource":"*",
      "Condition": {
        "StringEquals": {
          "kms:CallerAccount": "aws_account_id",
          "kms:ViaService": "ec2.region.amazonaws.com"
        },
        "ForAnyValue:StringEquals": {
          "kms:EncryptionContextKeys": "aws:ebs:id"
        }
      }
    },
    {
      "Effect": "Allow",
      "Principal": { "AWS": "arn:aws:iam::111122223333:role/ecsInfrastructureRole" },
      "Action": "kms:CreateGrant",
      "Resource":"*",
      "Condition": {
        "StringEquals": {
          "kms:CallerAccount": "aws_account_id",
          "kms:ViaService": "ec2.region.amazonaws.com"
        },
        "ForAnyValue:StringEquals": {
          "kms:EncryptionContextKeys": "aws:ebs:id"
        },
        "Bool": {
          "kms:GrantIsForAWSResource": true
        }
      }
    }

Per maggiori informazioni sulle autorizzazioni e le policy della chiave, consultare Key policies in AWS KMS e permissionsAWS KMS nella Guida per sviluppatori di AWS KMS. Per la risoluzione dei problemi degli allegati dei volumi EBS relativi alle autorizzazioni chiave, consultare Risoluzione dei problemi relativi ai volumi di Amazon EBS collegati alle attività di Amazon ECS .