KMS キーを作成して割り当てる CMK を使用するように既存のアプリケーションを更新する CMK からに戻す AWS 所有のキー

APIs を使用した CMK の管理

このトピックでは、Amazon MSF APIs を使用して KMS CMKs を作成および更新する方法について説明します。このトピックで説明されている手順に従うには、KMS キーと Amazon MSF アプリケーションを管理するアクセス許可が必要です。このトピックの手順では、デモンストレーションとテストのみを目的として、許可されたキーポリシーを使用します。このような許可されたキーポリシーを本番ワークロードに使用することはお勧めしません。実稼働ワークロードの実際のシナリオでは、ロール、アクセス許可、ワークフローが分離されます。

KMS キーを作成して割り当てる

開始する前に、KMS キーを作成します。KMS キーの作成については、「デベロッパーガイド」の「KMS キーの作成」を参照してください。 AWS Key Management Service

このセクションの内容

KMS キーポリシーを作成する
アプリケーションライフサイクルオペレーター (API 発信者) のアクセス許可

KMS キーポリシーを作成する

Amazon MSF で CMK を使用するには、キーポリシーに kinesisanalytics.amazonaws.comおよびのサービスプリンシパルを追加する必要がありますinfrastructure.kinesisanalytics.amazonaws.com。Amazon MSF は、検証とリソースアクセスにこれらのサービスプリンシパルを使用します。これらのサービスプリンシパルを含めない場合、Amazon MSF はリクエストを拒否します。

次の KMS キーポリシーにより、Amazon MSF はアプリケーション MyCmkApplication に CMK を使用できます。このポリシーは、Operatorロールと Amazon MSF サービスプリンシパル、kinesisanalytics.amazonaws.comおよびの両方にinfrastructure.kinesisanalytics.amazonaws.com、以下のオペレーションを実行するために必要なアクセス許可を付与します。

CMK の説明
アプリケーションデータを暗号化する
アプリケーションデータの復号
キーの許可を作成する

次の例では、IAM ロールを使用します。次の例をテンプレートとして使用して KMS キーのキーポリシーを作成できますが、必ず以下を実行してください。

を Operatorロールarn:aws:iam::123456789012:role/Operatorに置き換えます。キーポリシーを作成する前に、Operatorロールまたはユーザーを作成する必要があります。これを行わないと、リクエストが失敗します。
をアプリケーションの ARN arn:aws:kinesisanalytics:us-east-1:123456789012:application/MyCmkApplicationに置き換えます。
を対応するリージョンのサービス値kinesisanalytics.us-east-1.amazonaws.comに置き換えます。
123456789012 を CMK のアカウント idKey ポリシーに置き換えます。
追加のポリシーステートメントを追加して、キー管理者が KMS キーを管理できるようにします。これを行わないと、キーを管理するためのアクセスが失われます。

次のキーポリシーステートメントは、明示的であることが意図されており、各アクションに必要な条件を表示するため、大きいです。

表示を増やす

表示を減らす

アプリケーションライフサイクルオペレーター (API 発信者) のアクセス許可

次の IAM ポリシーは、アプリケーションライフサイクルオペレーターがアプリケーション MyCmkApplication に KMS キーを割り当てるために必要なアクセス許可を持っていることを保証します。

表示を増やす

表示を減らす

CMK を使用するように既存のアプリケーションを更新する

Amazon MSF では、 AWS 所有のキー (AOKs) を使用する既存のアプリケーションに CMK ポリシーを適用できます。

デフォルトでは、Amazon MSF は AOKsのアプリケーションストレージ) および耐久性のある (耐久性のあるアプリケーションストレージ) ストレージ内のすべてのデータを暗号化します。つまり、Flink チェックポイントまたはスナップショットの対象となるすべてのデータは、デフォルトで AOKs を使用して暗号化されます。AOK を CMK に置き換えると、新しいチェックポイントとスナップショットは CMK で暗号化されます。ただし、履歴スナップショットは AOK で暗号化されたままになります。

CMK を使用するように既存のアプリケーションを更新するには

次の設定で JSON ファイルを作成します。

の値をアプリケーションのCurrentApplicationVersionId現在のバージョン番号に置き換えてください。DescribeApplication を使用して、アプリケーションの現在のバージョン番号を取得できます。

この JSON 設定では、サンプル値を実際の値に置き換えてください。
```
{
    "ApplicationName": "MyCmkApplication",
    "CurrentApplicationVersionId": 1,
    "ApplicationConfigurationUpdate": {
        "ApplicationEncryptionConfigurationUpdate": {
            "KeyTypeUpdate": "CUSTOMER_MANAGED_KEY",
            "KeyIdUpdate": "arn:aws:kms:us-east-1:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    }
}
```
このファイルを保存します。たとえば、という名前で保存しますenable-cmk.json。
次の例に示すように、update-application AWS CLI コマンドを実行します。このコマンドでは、前のステップで作成した JSON 設定ファイルをファイル引数として指定します。
```
aws kinesisanalyticsv2 update-application \
    --cli-input-json file://enable-cmk.json
```

上記の設定は、次の条件が満たされている場合にのみ、CMK を使用するアプリケーションを更新するために受け入れられます。

API 発信者には、キーへのアクセスを許可するポリシーステートメントがあります。
キーポリシーには、API 発信者にキーへのアクセスを許可するポリシーステートメントがあります。
キーポリシーには、キーkinesisanalytics.amazonaws.comへのアクセスなど、Amazon MSF サービスプリンシパルを許可するポリシーステートメントがあります。

CMK からに戻す AWS 所有のキー

CMK から AOK に戻すには

次の設定で JSON ファイルを作成します。

この JSON 設定では、サンプル値を実際の値に置き換えてください。


{
    "ApplicationName": "MyCmkApplication",
    "CurrentApplicationVersionId": 1,
    "ApplicationConfigurationUpdate": {
        "ApplicationEncryptionConfigurationUpdate": {
            "KeyTypeUpdate": "AWS_OWNED_KEY"
        }
    }
}

このファイルを保存します。たとえば、という名前で保存しますdisable-cmk.json。
次の例に示すように、update-application AWS CLI コマンドを実行します。このコマンドでは、前のステップで作成した JSON 設定ファイルをファイル引数として指定します。
```
aws kinesisanalyticsv2 update-application \
    --cli-input-json file://disable-cmk.json
```

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

コンソールを使用した CMK の管理

Managed Service for Apache Flink の Identity and Access Management