Crittografia dei pacchetti di implementazione .zip per Lambda

Lambda fornisce sempre la crittografia lato server dei dati a riposo per i pacchetti di implementazione .zip e i dettagli di configurazione delle funzioni con una AWS KMS key. Per impostazione predefinita, Lambda utilizza un Chiave di proprietà di AWS. Se questo comportamento predefinito si adatta al flusso di lavoro, non è necessario impostare altro. AWS non effettua alcun addebito per l'uso di questa chiave.

Se preferisci, in alternativa puoi fornire una chiave gestita dal cliente AWS KMS. È possibile eseguire questa operazione per avere il controllo sulla rotazione della chiave KMS o per soddisfare i requisiti dell'organizzazione per la gestione delle chiavi KMS. Quando si utilizza una chiave gestita dal cliente, solo gli utenti del tuo account con accesso alla chiave KMS possono visualizzare o gestire il codice o la configurazione della funzione.

Le chiavi gestite dal cliente sono soggette a costi AWS KMS standard. Per ulteriori informazioni, consultare Prezzi di AWS Key Management Service.

Creazione di una chiave gestita dal cliente

Puoi creare una chiave simmetrica gestita dal cliente Console di gestione AWS o le API AWS KMS.

Per creare una chiave simmetrica gestita dal cliente

Segui le fasi descritte in Creazione delle chiavi KMS per la crittografia simmetrica nella Guida per gli sviluppatori di AWS Key Management Service.

Autorizzazioni

Policy della chiave

Le policy della chiave controllano l'accesso alla chiave gestita dal cliente. Ogni chiave gestita dal cliente deve avere esattamente una policy della chiave, che contiene istruzioni che determinano chi può usare la chiave e come la possono usare. Per ulteriori informazioni, consulta Come modificare una policy delle chiavi nella Guida per gli sviluppatori di AWS Key Management Service.

Quando si utilizza una chiave gestita dal cliente per crittografare un pacchetto di implementazione .zip, Lambda non aggiunge alcuna concessione alla chiave. Invece, la tua policy della chiave AWS KMS deve consentire a Lambda di chiamare le seguenti operazioni API AWS KMS per tuo conto:

Il seguente esempio di policy della chiave consente a tutte le funzioni Lambda nell'account 111122223333 di richiamare le operazioni AWS KMS richieste per la chiave gestita dal cliente specificata:

Per informazioni sulla Risoluzione dei problemi delle chiavi di accesso consulta la Guida per gli sviluppatori di AWS Key Management Service.

Autorizzazioni dell’entità principale

Quando si utilizza una chiave gestita dal cliente per crittografare un pacchetto di implementazione .zip, solo i principali che hanno accesso a quella chiave possono accedere al pacchetto di implementazione .zip. Ad esempio, i principali che non hanno accesso alla chiave gestita dal cliente non possono scaricare il pacchetto .zip utilizzando l'URL S3 predefinito incluso nella risposta GetFunction. AccessDeniedException viene restituito nella sessione Code della risposta.

{
    "Code": {
        "RepositoryType": "S3",
        "Error": {
            "ErrorCode": "AccessDeniedException",
            "Message": "KMS access is denied. Check your KMS permissions. KMS Exception: AccessDeniedException KMS Message: User: arn:aws:sts::111122223333:assumed-role/LambdaTestRole/session is not authorized to perform: kms:Decrypt on resource: arn:aws:kms:us-east-1:111122223333:key/key-id with an explicit deny in a resource-based policy"
        },
        "SourceKMSKeyArn": "arn:aws:kms:us-east-1:111122223333:key/key-id"
    },
	...

Per ulteriori informazioni sulle autorizzazioni per le chiavi AWS KMS, consulta Autenticazione e controllo degli accessi per AWS KMS.

Utilizzo di una chiave gestita dal cliente per il pacchetto di implementazione .zip

Utilizza i seguenti parametri API per configurare le chiavi gestite dal cliente per i pacchetti di implementazione .zip:

Quando SourceKMSKeyArn e KMSKeyArn sono specificati entrambi, Lambda utilizza la chiave KMSKeyArn per crittografare la versione decompressa del pacchetto utilizzata da Lambda per richiamare la funzione. Quando SourceKMSKeyArn è specificato ma KMSKeyArn non lo è, Lambda utilizza una Chiave gestita da AWS per crittografare la versione decompressa del pacchetto.