Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Crittografia inattiva in Scheduler EventBridge

Questa sezione descrive come Amazon EventBridge Scheduler crittografa e decrittografa i dati inattivi. I dati a riposo sono dati archiviati in EventBridge Scheduler e nei componenti sottostanti del servizio. EventBridge Scheduler si integra con AWS Key Management Service (AWS KMS) per crittografare e decrittografare i dati utilizzando un. AWS KMS key EventBridge Scheduler supporta due tipi di chiavi KMS:, e chiavi gestite dal cliente. Chiavi di proprietà di AWS https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#customer-cmk

Chiavi di proprietà di AWSsono chiavi KMS che un AWS servizio possiede e gestisce per l'utilizzo in più account. AWS Sebbene gli usi di Chiavi di proprietà di AWS EventBridge Scheduler non siano memorizzati nel tuo AWS account, EventBridge Scheduler li utilizza per proteggere i tuoi dati e le tue risorse. Per impostazione predefinita, EventBridge Scheduler crittografa e decrittografa tutti i dati utilizzando una chiave proprietaria. AWS Non è necessario gestire la propria Chiave di proprietà di AWS o la relativa politica di accesso. Non è previsto alcun costo quando EventBridge Scheduler utilizza i dati Chiavi di proprietà di AWS per proteggere i tuoi dati e il loro utilizzo non viene conteggiato come parte delle tue AWS KMS quote nel tuo account.

Le chiavi gestite dal cliente sono chiavi KMS memorizzate nel tuo AWS account che crei, possiedi e gestisci. Se il tuo caso d'uso specifico richiede il controllo e la verifica delle chiavi di crittografia che proteggono i tuoi dati su EventBridge Scheduler, puoi utilizzare una chiave gestita dal cliente. Se scegli una chiave gestita dal cliente, devi gestire la tua politica delle chiavi. Le chiavi gestite dal cliente sono soggette a una tariffa mensile e a una tariffa qualora l'utilizzo superi i termini del piano gratuito. Anche l'utilizzo di una chiave gestita dal cliente fa parte della tua AWS KMS quota. Per ulteriori informazioni sui prezzi, consulta la sezione AWS Key Management Service prezzi.

Artefatti di crittografia

La tabella seguente descrive i diversi tipi di dati che EventBridge Scheduler crittografa quando sono inattivi e quale tipo di chiave KMS supporta per ciascuna categoria.

EventBridge Scheduler utilizza le chiavi gestite dal cliente solo per crittografare e decrittografare il payload di destinazione, come descritto nella tabella precedente. Se scegli di utilizzare una chiave gestita dal cliente, EventBridge Scheduler crittografa e decrittografa il payload due volte: una volta utilizzando l'impostazione predefinita Chiave di proprietà di AWS e un'altra volta utilizzando la chiave gestita dal cliente specificata. Per tutti gli altri tipi di dati, EventBridge Scheduler utilizza solo l'impostazione predefinita Chiave di proprietà di AWS per proteggere i dati inattivi.

Usa la Gestione delle chiavi KMS sezione seguente per scoprire come gestire le tue risorse IAM e le politiche chiave per utilizzare una chiave gestita dal cliente con EventBridge Scheduler.

Gestione delle chiavi KMS

Facoltativamente, puoi fornire una chiave gestita dal cliente per crittografare e decrittografare il payload che la pianificazione consegna alla destinazione. EventBridge Scheduler crittografa e decrittografa il payload fino a 256 KB di dati. L'utilizzo di una chiave gestita dal cliente comporta una tariffa mensile e una commissione superiore a quella del livello gratuito. L'utilizzo di una chiave gestita dal cliente viene conteggiato come parte della tua AWS KMS quota. Per ulteriori informazioni sui prezzi, consulta la sezione AWS Key Management Service prezzi

EventBridge Scheduler utilizza le autorizzazioni IAM associate al committente che crea una pianificazione per crittografare i dati. Ciò significa che devi allegare le autorizzazioni AWS KMS correlate richieste all'utente, o ruolo, che chiama l'API Scheduler. EventBridge Inoltre, EventBridge Scheduler utilizza politiche basate sulle risorse per decrittografare i dati. Ciò significa che il ruolo di esecuzione associato alla pianificazione deve disporre anche delle autorizzazioni AWS KMS correlate necessarie per chiamare l'API durante la decrittografia dei dati. AWS KMS

Usa la sezione seguente per scoprire come gestire la tua policy AWS KMS chiave e le autorizzazioni IAM richieste per utilizzare una chiave gestita dal cliente su Scheduler. EventBridge

Aggiungi le autorizzazioni IAM

Per utilizzare una chiave gestita dal cliente, devi aggiungere le seguenti autorizzazioni al principale IAM basato sull'identità che crea una pianificazione, nonché il ruolo di esecuzione che associ alla pianificazione.

Identity-based autorizzazioni per le chiavi gestite dal cliente

È necessario aggiungere le seguenti AWS KMS azioni alla politica di autorizzazione associata a qualsiasi principale (utenti, gruppi o ruoli) che chiama l'API EventBridge Scheduler durante la creazione di una pianificazione.

Queste sono in aggiunta alle seguenti azioni:

Autorizzazioni del ruolo di esecuzione per le chiavi gestite dal cliente

È necessario aggiungere la seguente azione alla politica delle autorizzazioni dei ruoli di esecuzione della pianificazione per fornire l'accesso a EventBridge Scheduler per chiamare l' AWS KMS API durante la decrittografia dei dati.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEventBridgeSchedulerToDecryptDataUsingCMKMS",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/your-key-id"
        }
    ]
}

Se si utilizza la console EventBridge Scheduler per creare un nuovo ruolo di esecuzione quando si crea una nuova EventBridge pianificazione, Scheduler allegherà automaticamente l'autorizzazione richiesta al ruolo di esecuzione. Tuttavia, se scegli un ruolo di esecuzione esistente, devi aggiungere le autorizzazioni richieste al ruolo per poter utilizzare le chiavi gestite dal cliente.

Gestisci la politica chiave

Quando crei una chiave gestita dal cliente utilizzando AWS KMS, per impostazione predefinita, la chiave ha la seguente politica chiave per fornire l'accesso ai ruoli di esecuzione delle pianificazioni.

Facoltativamente, puoi limitare l'ambito della tua policy chiave in modo da fornire solo l'accesso al ruolo di esecuzione. È possibile eseguire questa operazione se si desidera utilizzare la chiave gestita dal cliente solo con le risorse EventBridge Scheduler. Utilizza il seguente esempio di politica chiave per limitare le risorse di EventBridge Scheduler che possono utilizzare la tua chiave.

CloudTrail esempio di evento

AWS CloudTrail acquisisce tutti gli eventi delle chiamate API. Ciò include le chiamate API ogni volta che EventBridge Scheduler utilizza la chiave gestita dal cliente per decrittografare i dati. L'esempio seguente mostra una voce di CloudTrail evento che dimostra che EventBridge Scheduler utilizza l'kms:Decryptazione utilizzando una chiave gestita dal cliente.

{
  "eventVersion": "1.08",
  "userIdentity": {
      "type": "AssumedRole",
      "principalId": "ABCDEABCD1AB12ABABAB0:70abcd123a123a12345a1aa12aa1bc12",
      "arn": "arn:aws:sts::123456789012:assumed-role/execution-role/70abcd123a123a12345a1aa12aa1bc12",
      "accountId": "123456789012",
      "accessKeyId": "ABCDEFGHI1JKLMNOP2Q3",
      "sessionContext": {
          "sessionIssuer": {
              "type": "Role",
              "principalId": "ABCDEABCD1AB12ABABAB0",
              "arn": "arn:aws:iam::123456789012:role/execution-role",
              "accountId": "123456789012",
              "userName": "execution-role"
          },
          "webIdFederationData": {},
          "attributes": {
              "creationDate": "2022-10-31T21:03:15Z",
              "mfaAuthenticated": "false"
          }
      }
    },
    "eventTime": "2022-10-31T21:03:15Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Decrypt",
    "awsRegion": "eu-north-1",
    "sourceIPAddress": "13.50.87.173",
    "userAgent": "aws-sdk-java/2.17.295 Linux/4.14.291-218.527.amzn2.x86_64 OpenJDK_64-Bit_Server_VM/11.0.17+9-LTS Java/11.0.17 kotlin/1.3.72-release-468 (1.3.72) vendor/Amazon.com_Inc. md/internal exec-env/AWS_ECS_FARGATE io/sync http/Apache cfg/retry-mode/standard AwsCrypto/2.4.0",
    "requestParameters": {
        "keyId": "arn:aws:kms:us-west-2:123456789012:key/2321abab-2110-12ab-a123-a2b34c5abc67",
        "encryptionAlgorithm": "SYMMETRIC_DEFAULT",
        "encryptionContext": {
            "aws:scheduler:schedule:arn": "arn:aws:scheduler:us-west-2:123456789012:schedule/default/execution-role"
        }
    },
    "responseElements": null,
    "requestID": "request-id",
    "eventID": "event-id",
    "readOnly": true,
    "resources": [
        {
            "accountId": "123456789012",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:123456789012:key/2321abab-2110-12ab-a123-a2b34c5abc67"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
      "tlsVersion": "TLSv1.3",
      "cipherSuite": "TLS_AES_256_GCM_SHA384",
      "clientProvidedHostHeader": "kms.us-west-2.amazonaws.com"
  }
}