Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Crittografia inattiva con chiavi gestite dal cliente

Resilience Hub di nuova generazione fornisce la crittografia di default per proteggere i dati sensibili dei clienti durante l'utilizzo. Chiavi di proprietà di AWS

Sebbene non sia possibile disabilitare questo livello di crittografia o selezionare un tipo di crittografia alternativo, è possibile aggiungere un secondo livello di crittografia specificando una chiave gestita dal cliente quando si crea una risorsa di servizio:

La tabella seguente riassume il modo in cui Resilience Hub di nuova generazione crittografa i dati sensibili.

In che modo Resilience Hub di nuova generazione utilizza le sovvenzioni in AWS KMS

Il Resilience Hub di nuova generazione richiede una concessione per utilizzare la chiave gestita dal cliente durante i flussi di lavoro di valutazione asincroni.

Quando crei un servizio con una chiave gestita dal cliente, Resilience Hub di nuova generazione crea una sovvenzione per tuo conto inviando una richiesta a. CreateGrant AWS KMS La concessione è limitata al contesto di crittografia del servizio e consente solo le seguenti operazioni:

La concessione viene ritirata quando si elimina il servizio. Puoi anche revocare l'accesso alla concessione o rimuovere l'accesso del servizio alla chiave gestita dal cliente in qualsiasi momento. In tal caso, Resilience Hub di nuova generazione non può accedere a nessuno dei dati crittografati dalla chiave gestita dal cliente, il che influisce sulle operazioni delle API e sui flussi di lavoro di valutazione che dipendono da tali dati.

Per le operazioni API sincrone (come la creazione o l'aggiornamento di un servizio), Resilience Hub di nuova generazione utilizza direttamente le autorizzazioni del chiamante sulla chiave KMS, senza richiedere una concessione.

Creazione di una chiave gestita dal cliente

È possibile creare una chiave di crittografia simmetrica gestita dal cliente utilizzando le o le API. Console di gestione AWS AWS KMS

Per creare una chiave di crittografia simmetrica gestita dal cliente

Segui le fasi descritte in Creazione di chiavi KMS simmetriche di crittografia nella Guida per gli sviluppatori di AWS Key Management Service .

Specificare una chiave gestita dal cliente per Resilience Hub di nuova generazione

È possibile specificare una chiave gestita dal cliente quando si crea un servizio, un sistema o una politica di resilienza. Quando fornisci un ID di chiave KMS, Resilience Hub di nuova generazione utilizza tale chiave per crittografare tutti i dati sensibili associati alla risorsa.

È possibile specificare la chiave utilizzando uno dei seguenti identificatori di chiave:

Per specificare una chiave gestita dal cliente, utilizzate il kmsKeyId parametro quando chiamate le CreateService operazioniCreateSystem, o CreatePolicy API.

Policy della chiave

Le policy della chiave controllano l’accesso alla chiave gestita dal cliente. Ogni chiave gestita dal cliente deve avere esattamente una policy della chiave, che contiene istruzioni che determinano chi può usare la chiave e come la possono usare. Quando crei la chiave gestita dal cliente, è possibile specificare una policy della chiave. Per ulteriori informazioni, consulta Gestione dell'accesso alle chiavi gestite dal cliente nella Guida per gli sviluppatori di AWS Key Management Service .

La seguente politica chiave consente a Resilience Hub di nuova generazione di utilizzare la tua chiave. Assegna ogni autorizzazione solo alle operazioni richieste da Resilience Hub di nuova generazione, utilizzando condizioni di contesto di crittografia per garantire che la chiave possa essere utilizzata solo per risorse specifiche. Sostituisci CUSTOMER-ACCOUNT-ID e REGION con i tuoi valori. CUSTOMER-ROLE

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "AllowResilienceHubDescribeKey",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": "kms:DescribeKey",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubEncryptDecryptForServices",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:service-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:service/*"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubEncryptDecryptForSystems",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:system-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:system/*"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubEncryptDecryptForPolicies",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:policy-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:policy/*"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubCreateGrantForAsyncWorkflows",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": "kms:CreateGrant",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com",
                    "kms:GrantConstraintType": "EncryptionContextSubset"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:service-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:service/*"
                },
                "ForAllValues:StringEquals": {
                    "kms:GrantOperations": [
                        "Encrypt",
                        "Decrypt",
                        "GenerateDataKey"
                    ]
                }
            }
        }
    ]
}

Le dichiarazioni politiche forniscono le seguenti autorizzazioni:

Per ulteriori informazioni su come specificare le autorizzazioni in una policy, consulta la Guida per gli sviluppatori di AWS Key Management Service .

Per informazioni sulla Risoluzione dei problemi delle chiavi di accesso consulta la Guida per gli sviluppatori di AWS Key Management Service .

Contesto di crittografia Resilience Hub di nuova generazione

Un contesto di crittografia è un set facoltativo di coppie chiave-valore che contengono ulteriori informazioni contestuali sui dati.

AWS KMS utilizza il contesto di crittografia come dati autenticati aggiuntivi per supportare la crittografia autenticata. Quando includi un contesto di crittografia in una richiesta di crittografia dei dati, AWS KMS associa il contesto di crittografia ai dati crittografati. Per decrittografare i dati, è necessario includere lo stesso contesto di crittografia nella richiesta.

Contesto di crittografia Resilience Hub di nuova generazione

Resilience Hub di nuova generazione utilizza le seguenti chiavi contestuali di crittografia a seconda del tipo di risorsa:

Esempio di contesto di crittografia per un'operazione a livello di servizio:

"encryptionContext": {
    "aws:resiliencehub:service-arn": "arn:aws:resiliencehub:us-west-2:111122223333:service/my-service:abc123"
}

Utilizzo del contesto di crittografia per il monitoraggio

Quando si utilizza una chiave di crittografia simmetrica gestita dal cliente per crittografare i dati, è possibile utilizzare il contesto di crittografia nei record e nei registri di controllo per identificare come viene utilizzata la chiave gestita dal cliente. Il contesto di crittografia viene visualizzato nei log generati da. AWS CloudTrail

Utilizzo del contesto di crittografia per controllare l'accesso

È possibile utilizzare il contesto di crittografia nelle politiche chiave e nelle politiche IAM conditions per controllare l'accesso alla chiave di crittografia simmetrica gestita dal cliente. È possibile utilizzare i vincoli del contesto di crittografia in una concessione.

Resilience Hub di nuova generazione utilizza un vincolo di sottoinsieme del contesto di crittografia nelle concessioni per garantire che i flussi di lavoro asincroni possano crittografare e decrittografare solo i dati appartenenti al servizio specifico per cui è stata creata la concessione.

Monitoraggio delle chiavi di crittografia per Resilience Hub di nuova generazione

Quando utilizzi una chiave gestita dal cliente con le risorse del Resilience Hub di nuova generazione, puoi utilizzarla AWS CloudTrailper tenere traccia delle richieste a cui invia Resilience Hub di nuova generazione. AWS KMS

Ulteriori informazioni

Le seguenti risorse forniscono ulteriori informazioni sulla crittografia dei dati a riposo.