Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Abilitazione della crittografia lato server a livello di oggetto con AWS KMS Chiave

Media Capture Pipeline e Media Concatenation Pipeline possono utilizzare AWS Key Management Service (AWS KMS) chiavi gestite dal cliente per abilitare la crittografia lato server (SSE) per singoli oggetti in un bucket Amazon S3. Per configurarlo, è necessario utilizzare la chiamata API. CreateMediaCapturePipeline La Media Concatenation Pipeline utilizzerà i parametri di crittografia lato server della Media Capture Pipeline associata.

Per abilitare SSE per singoli oggetti (SSE a livello di oggetto) utilizzando la chiave gestita dal AWS KMS cliente, è necessario fornire la struttura e il codice durante la chiamata all'API: SseAwsKeyManagementParams SinkIamRoleArn CreateMediaCapturePipeline

Configurazione

SinkIamRoleArnDeve avere le stesse autorizzazioni e gli stessi accessi del principale per inserire gli artefatti nel bucket Amazon S3. Per ulteriori informazioni sulle autorizzazioni predefinite previste nel bucket Amazon S3, consulta Creazione di un bucket Amazon S3 per Amazon Chime SDK Media Capture Pipelines. Per abilitare SSE per singoli oggetti, il bucket Amazon S3 deve consentire al ruolo IAM specificato utilizzando il di eseguire lo stesso set di azioni che ti SinkIamRoleArn aspetteresti dall'identità IAM chiamante. Puoi ottenere questo risultato aggiungendo il seguente principal alla tua policy di autorizzazione del bucket Amazon S3.

...
"Principal": {
    ...
    "AWS": "arn:aws:iam::<YOUR_ACCOUNT_ID>;:role/<SINK_IAM_ROLE_NAME>"
    ...
},
...

AwsKmsKeyIdDovrebbe indicare una chiave che consenta loro di funzionare. SinkIamRoleArn GenerateDataKey Se si intende utilizzare Media Concatenation Pipeline, la AWS KMS chiave deve consentire anche l'uso dell'azione. Decrypt Guarda l'esempio seguente.

{
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::<YOUR_ACCOUNT_ID>:role/<YOUR_CUSTOMER_ROLE_ID>"
    },
    "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
    ],
    "Resource": "*"
}

Il SinkIamRoleArn ruolo deve avere un rapporto di fiducia che consenta al servizio di assumerlo. Guarda l'esempio seguente.

{
    "Effect": "Allow",
    "Principal": {
        "Service": "mediapipelines.chime.amazonaws.com"
    },
    "Action": "sts:AssumeRole",
    "Condition": {
        "StringEquals": {
            "aws:SourceAccount": "<YOUR_ACCOUNT_ID>"
        },
        "ArnLike": {
            "aws:SourceArn": "arn:aws:chime:*:<YOUR_ACCOUNT_ID>:*"
        }
    }
}

SinkIamRoleArnDovrebbe avere la seguente politica di autorizzazioni minime per Media Capture Pipeline. Guarda l'esempio seguente.

{
    "Effect": "Allow",
    "Action": "kms:GenerateDataKey",
    "Resource": "arn:aws:kms:<KMS_KEY_REGION>:<KMS_KEY_ACCOUNT_ID>:key/<MS_KEY_ID>",
    "Condition": {
        "StringEquals": {
            "aws:SourceAccount": "<YOUR_ACCOUNT_ID>"
        },
        "ArnLike": {
            "aws:SourceArn": "arn:aws:chime:*:<YOUR_ACCOUNT_ID>:*"
        }
    }
},
{
    "Effect": "Allow",
    "Action": ["s3:PutObject", "s3:PutObjectAcl"],
    "Resource": "arn:aws:s3:::<YOUR_DEDICATED_KMS_BUCKET_ID>/*",
    "Condition": {
        "StringEquals": {
            "aws:SourceAccount": "<YOUR_ACCOUNT_ID>"
        },
        "ArnLike": {
            "aws:SourceArn": "arn:aws:chime:*:<YOUR_ACCOUNT_ID>:*"
        }
    }
}

Inoltre, il chiamante deve essere autorizzato a passare SinkIamRoleArn al servizio. Nei casi in cui il chiamante non dispone di tale autorizzazione, deve essere aggiunta esplicitamente. Guarda l'esempio seguente.

{
    "Effect": "Allow",
    "Action": "iam:PassRole",
    "Resource": "<SINK_IAM_ROLE_ARN>",
    "Condition": {
        "ArnLike": {
            "iam:AssociatedResourceArn": "arn:aws:chime:*:<YOUR_ACCOUNT_ID>:media-pipeline/*"
        },
        "StringEquals": {
            "iam:PassedToService": "mediapipelines.chime.amazonaws.com"
        }
    }
}

Implementazione della concatenazione multimediale

Se prevedi di utilizzare Media Concatenation Pipeline dopo Media Capture, consulta per comprendere le autorizzazioni richieste. Creazione di una pipeline di concatenazione multimediale SDK Amazon Chime Per far funzionare la pipeline con la AWS KMS chiave per SSE a livello di oggetto, è necessario estendere SinkIamRoleArn le autorizzazioni (azioni consentite) per la chiave e il bucket Amazon S3. AWS KMS Guarda l'esempio seguente.

...
{
    ...
    {
        ...
        "Action": ["kms:GenerateDataKey","kms:Decrypt"]
        "Resource": "arn:aws:kms:<KMS_KEY_REGION>:<KMS_KEY_ACCOUNT_ID>:key/<KMS_KEY_ID>",
        ...
    }
    ...
    {
        "Action": [ "s3:PutObject", "s3:PutObjectAcl", "s3:GetObject", "s3:ListBucket"],
        "Resource": "arn:aws:s3:::<YOUR_DEDICATED_KMS_BUCKET_ID>/*",
    }
    ...
}
...