Integração do AWS KMS com pacotes personalizados do Amazon OpenSearch Service

Os pacotes personalizados do Amazon OpenSearch Service fornecem criptografia por padrão para proteger os pacotes ZIP-PLUGIN em repouso usando Chaves gerenciadas pela AWS.

Para obter mais informações, consulte Chaves mestras do cliente (CMKs) no AWS Key Management Service Guia do desenvolvedor.

Como o serviço de pacotes personalizados do Amazon OpenSearch Service usa concessões no AWS KMS

Pacotes personalizados do OpenSearch Service exigem uma concessão para usar a chave gerenciada pelo cliente.

Quando você cria um pacote criptografado ZIP-PLUGIN com uma chave gerenciada pelo cliente, o serviço de pacotes personalizados do Amazon OpenSearch Service cria uma concessão em seu nome enviando uma solicitação CreateGrant ao AWS KMS. As concessões do AWS KMS dão acesso ao OpenSearch Service a uma chave do AWS KMS em sua conta. As concessões criadas pelos pacotes personalizados do OpenSearch Service têm uma restrição que permite operações somente quando a solicitação inclui um contexto de criptografia com o ID do pacote personalizado.

O Amazon OpenSearch Service exige a concessão para usar a chave gerenciada pelo cliente para as seguintes operações internas:

É possível revogar o acesso à concessão ou remover o acesso do serviço à chave gerenciada pelo cliente a qualquer momento. Se você fizer isso, o OpenSearch Service não poderá acessar nenhum dos dados criptografados pela chave gerenciada pelo cliente, o que afetará as operações que dependem desses dados. Por exemplo, se você tentar associar um pacote de plug-in que o OpenSearch Service não pode acessar, a operação retornará um erro AccessDeniedException.

Crie uma chave gerenciada pelo cliente

Você pode criar uma chave gerenciada pelo cliente usando o Console de gerenciamento da AWS ou as APIs do AWS KMS.

Política de chave

As políticas de chaves controlam o acesso à chave gerenciada pelo seu cliente. Cada chave gerenciada pelo cliente deve ter exatamente uma política de chaves, que contém declarações que determinam quem pode usar a chave e como pode usá-la. Ao criar a chave gerenciada pelo cliente, é possível especificar uma política de chave. Para obter mais informações, consulte Políticas de chaves no AWS KMS no Guia do desenvolvedor do AWS Key Management Service.

Para usar a chave gerenciada pelo cliente com os recursos, você deve permitir as seguintes operações de API na política de chave:

Os seguintes exemplos são instruções de política que você pode adicionar para pacotes personalizados do OpenSearch Service:

"Statement" : [
  {
    "Sid" : "Allow access to principals authorized to use OpenSearch Service custom packages",
    "Effect" : "Allow",
    "Principal" : {
      "AWS" : "*"
    },
    "Action" : [
      "kms:CreateGrant",
      "kms:GenerateDataKey",
      "kms:GenerateDataKeyWithoutPlaintext",
      "kms:Decrypt"
    ],
    "Resource" : "*",
    "Condition" : {
      "StringEquals" : {
        "kms:ViaService" : "custom-packages.region.amazonaws.com"
      },
      "StringEquals" : {
        "kms:EncryptionContext:packageId": "Id of the package"
      }
    }
  },
  {
    "Sid" : "Allow access to principals authorized to use Amazon OpenSearch Service custom packages",
    "Effect" : "Allow",
    "Principal" : {
      "AWS" : "*"
    },
    "Action" : [
      "kms:DescribeKey"
    ],
    "Resource" : "*",
    "Condition" : {
      "StringEquals" : {
        "kms:ViaService" : "custom-packages.region.amazonaws.com"
      }
    }
  }
]
      

Para obter mais informações sobre a especificação de permissões em uma política, consulte Políticas de chave no AWS KMS no Guia do desenvolvedor do AWS Key Management Service.

Para obter mais informações sobre a solução de problemas de acesso a chaves, consulte Solução de problemas de permissões do AWS KMS no Guia do desenvolvedor do AWS Key Management Service.

Especificar uma chave gerenciada pelo cliente para pacotes personalizados do Amazon OpenSearch Service

Você pode especificar uma chave gerenciada pelo cliente como uma segunda camada de criptografia para pacotes ZIP-PLUGIN.

Ao criar um pacote de plug-in, você pode especificar a chave de dados inserindo um ID de chave do AWS KMS, que os pacotes personalizados do OpenSearch Service usam para criptografar o pacote de plug-in.

ID de chave do AWS KMS: um identificador de chave para uma chave do AWS KMS gerenciada pelo cliente. Insira uma ID de chave, um ARN de chave, um nome de alias ou um ARN de alias.

Contexto de criptografia de pacotes personalizados do Amazon OpenSearch Service

Um contexto de criptografia é um conjunto opcional de pares chave-valor que pode conter informações contextuais adicionais sobre os dados.

AWS KMSO usa o contexto de criptografia como dados autenticados adicionais para viabilizar a criptografia autenticada. Quando você inclui um contexto de criptografia em uma solicitação para criptografar dados, o AWS KMS vincula de forma criptográfica o contexto da criptografia aos dados criptografados. Para descriptografar os dados, você inclui o mesmo contexto de criptografia na solicitação.

Contexto de criptografia de pacotes personalizados do Amazon OpenSearch Service

Os pacotes personalizados do Amazon OpenSearch Service usam o mesmo contexto de criptografia em todas as operações criptográficas do AWS KMS, em que a chave é o packageId e o valor é o package-id do pacote de plug-in.

Usar o contexto de criptografia para monitoramento

Ao usar uma chave simétrica gerenciada pelo cliente para criptografar o pacote de plug-in, você também pode usar o contexto de criptografia em registros e logs de auditoria para identificar como a chave gerenciada pelo cliente está sendo usada. O contexto de criptografia também aparece nos logs gerados pelo AWS CloudTrail ou por Amazon CloudWatch Logs.

Usar o contexto de criptografia para controlar o acesso à chave gerenciada pelo cliente

Você pode usar o contexto de criptografia nas políticas de chave e políticas do IAM como condições para controlar o acesso à sua chave simétrica gerenciada pelo cliente. Você também pode usar restrições no contexto de criptografia em uma concessão.

Os pacotes personalizados do OpenSearch Service usam uma restrição ao contexto de criptografia em concessões para controlar o acesso à chave gerenciada pelo cliente na sua conta ou região. A restrição da concessão exige que as operações permitidas pela concessão usem o contexto de criptografia especificado.

Veja a seguir exemplos de declarações de políticas de chave para conceder acesso a uma chave gerenciada pelo cliente para um contexto de criptografia específico. A condição nesta declaração de política exige que as concessões tenham uma restrição de contexto de criptografia que especifique o contexto de criptografia.

{
    "Sid": "Enable DescribeKey",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/ExampleReadOnlyRole"
    },
    "Action": "kms:DescribeKey",
    "Resource": "*"
},
{
    "Sid": "Enable OpenSearch Service custom packages to use the key",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/ExampleReadOnlyRole"
    },
    "Action" : [
         "kms:CreateGrant",
        "kms:GenerateDataKey",
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:Decrypt"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals" : {
            "kms:EncryptionContext:packageId": "ID of the package"
         }
    }
}
      

Monitorar chaves de criptografia para o serviço de pacotes personalizados do OpenSearch

Ao usar uma chave gerenciada pelo cliente do AWS KMS com os recursos do serviço de pacotes personalizados do OpenSearch Service, você pode usar o CloudTrail ou o CloudWatch Logs para acompanhar as solicitações enviadas pelos pacotes personalizados do OpenSearch ao AWS KMS.

Saiba mais

Os recursos a seguir fornecem mais informações sobre a criptografia de dados em repouso.