Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Crittografia dei metadati delle applicazioni dell' OpenSearch interfaccia utente con chiavi gestite dal cliente

Le risorse visive e le configurazioni vengono archiviate come metadati per le applicazioni dell'interfaccia utente. OpenSearch Ciò include query, visualizzazioni e dashboard salvate. I dati provenienti dalle origini dati associate non vengono archiviati nei metadati. Per informazioni sulla crittografia dei dati nelle tue origini dati, consulta Protezione dei dati in Amazon OpenSearch Service per OpenSearch domini e Crittografia in Amazon OpenSearch Serverless per raccolte serverless.

I metadati OpenSearch dell'interfaccia utente sono protetti con crittografia a riposo. Ciò impedisce l'accesso non autorizzato. La crittografia utilizza AWS Key Management Service (AWS KMS) per archiviare e gestire le chiavi di crittografia. Per impostazione predefinita, OpenSearch i metadati dell'interfaccia utente sono crittografati con chiavi AWS proprietarie.

Puoi anche utilizzare la funzionalità CMK (Customer Managed Key) per gestire le tue chiavi di crittografia. Questo ti aiuta a soddisfare i requisiti normativi e di conformità. Per utilizzare CMK, è necessario creare una nuova applicazione OpenSearch UI e abilitare CMK nel processo di creazione. Attualmente non è supportato l'aggiornamento di un'applicazione OpenSearch UI esistente dalla chiave AWS proprietaria a CMK.

Quando utilizzare le chiavi gestite dal cliente:

Quando utilizzi una chiave gestita dal cliente, hai il pieno controllo sulla chiave. Ciò include la possibilità di:

Prerequisiti per l'utilizzo delle chiavi gestite dal cliente

Prima di poter utilizzare una chiave gestita dal cliente per crittografare i metadati dell'applicazione OpenSearch UI, è necessario creare una chiave di crittografia simmetrica in. AWS KMS Per istruzioni sulla creazione delle chiavi, consulta Creating keys nella Developer Guide. AWS KMS

La politica chiave per la chiave gestita dal cliente deve concedere all' OpenSearch interfaccia utente l'autorizzazione all'uso della chiave. Utilizza la seguente politica chiave, sostituendola placeholder values con le tue informazioni:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowOpenSearchUIToUseKey",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "application.opensearchservice.amazonaws.com"
                ]
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowKeyAdministration",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account-id:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        }
    ]
}

La policy include due dichiarazioni:

Per ulteriori informazioni sulle policy chiave, consulta Using key policy in AWS KMS nella AWS KMS Developer Guide.

Creazione di un'applicazione con crittografia a chiave gestita dal cliente tramite la console

Quando si crea un'applicazione OpenSearch UI nella console, è possibile specificare una chiave gestita dal cliente per crittografare i metadati dell'applicazione.

Creazione di un'applicazione con crittografia a chiave gestita dal cliente utilizzando AWS CLI

Per creare un'applicazione OpenSearch UI con crittografia a chiave gestita dal cliente utilizzando il AWS CLI comando create-application con il --kms-key-arn parametro.

Sostituisci placeholder values con le informazioni appropriate.

aws opensearch create-application \
    --name my-application \
    --kms-key-arn arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012

Se non specifichi il --kms-key-arn parametro, OpenSearch utilizza una chiave AWS gestita per crittografare i metadati dell'applicazione.

Monitoraggio dell'utilizzo delle chiavi gestite dal cliente

Quando si utilizza una chiave gestita dal cliente con un'applicazione OpenSearch UI, AWS KMS registra ogni utilizzo della chiave nei AWS CloudTrail registri. È possibile utilizzare questi registri per monitorare come e quando viene utilizzata la chiave. I log mostrano quale utente o servizio ha avuto accesso alla chiave.

AWS AWS KMS ruota automaticamente le chiavi gestite dal cliente ogni anno. È inoltre possibile ruotare manualmente le chiavi in base alle esigenze. Per ulteriori informazioni sulla rotazione dei tasti, consulta Rotating keys KMS nella Developer Guide. AWS KMS

Per ulteriori informazioni sul monitoraggio dell'utilizzo delle chiavi, consulta Registrazione delle chiamate AWS KMS API con AWS CloudTrail nella Developer Guide. AWS KMS

Aggiornamento delle impostazioni di crittografia

Dopo aver creato un'applicazione OpenSearch UI, non è possibile modificarne le impostazioni di crittografia. Se è necessario utilizzare una chiave gestita dal cliente diversa, è necessario creare una nuova applicazione. Se è necessario passare dalla chiave gestita AWS a quella gestita dal cliente e viceversa, è inoltre necessario creare una nuova applicazione con le impostazioni di crittografia desiderate.

Fasi successive

Dopo aver configurato la crittografia CMK per la tua applicazione, puoi: