EventBridge に対するカスタマーマネージドキーの使用の承認 - Amazon EventBridge
セキュリティに関する考慮事項

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

EventBridge に対するカスタマーマネージドキーの使用の承認

アカウントでカスタマーマネージドキーを使って EventBridge リソースを保護する場合は、その KMS キーのポリシーで、ユーザーに代わってキーを使用するための EventBridge アクセス許可を付与する必要があります。これらのアクセス許可はキーポリシーで付与します。

EventBridge は、 AWS アカウントの EventBridge リソースを保護するためにデフォルトを使用する AWS 所有のキー ための追加の認可を必要としません。

EventBridge では、カスタマーマネージドキーを使用するために次のアクセス許可が必要です。

  • kms:DescribeKey

    EventBridge では、指定されたキー ID の KMS キー ARN を取得し、キーが対称であることを確認するためにこのアクセス許可が必要です。

  • kms:GenerateDataKey

    EventBridge では、データの暗号化キーとしてデータキーを生成するためにこのアクセス許可が必要です。

  • kms:Decrypt

    EventBridge では、暗号化され、暗号化されたデータとともに保存されているデータキーを復号するためにこのアクセス許可が必要です。

    EventBridge はイベントパターンのマッチングにこれを使用します。ユーザーはこのデータにアクセスできません。

EventBridge の暗号化にカスタマーマネージドキーを使用する場合のセキュリティ

セキュリティのベストプラクティスとして、、aws:sourceAccount、または aws:SourceArnkms:EncryptionContext:aws:events:event-bus:arn条件キーを AWS KMS キーポリシーに追加します。IAM グローバル条件キーは、EventBridge が指定されたバスまたはアカウントに対してのみ KMS キーを使用することを保証するのに役立ちます。

次の例は、イベントバスの IAM ポリシーでこのベストプラクティスに従う方法を示しています。

{
      "Sid": "Allow the use of key",
      "Effect": "Allow",
      "Principal": {
        "Service": "events.amazonaws.com"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition" : {
        "StringEquals": {
          "aws:SourceAccount": "arn:aws:events:region:account-id",
          "aws:SourceArn": "arn:aws:events:region:account-id:event-bus/event-bus-name",
          "kms:EncryptionContext:aws:events:event-bus:arn": "arn:aws:events:region:account-id:event-bus/event-bus-arn"
        }
      }