Criptografia em repouso

Por padrão, o Amazon Managed Service for Prometheus fornece automaticamente a criptografia em repouso e faz isso AWS usando chaves de criptografia próprias.

A criptografia de dados em repouso ajuda a reduzir a sobrecarga operacional e a complexidade da proteção de dados confidenciais do cliente, como informações de identificação pessoal. Isso permite que você crie aplicações seguras que atendam aos rigorosos requisitos regulatórios e de conformidade de criptografia.

Como alternativa, é possível usar uma chave gerenciada pelo cliente ao criar o espaço de trabalho:

Escolha se deseja usar as chaves gerenciadas pelo cliente ou as chaves AWS próprias com cuidado. Os espaços de trabalho criados com chaves gerenciadas pelo cliente não podem ser convertidos para usar chaves AWS próprias posteriormente (e vice-versa).

Para obter mais informações sobre AWS KMS, consulte O que é AWS Key Management Service?

Como o Amazon Managed Service for Prometheus usa subsídios em AWS KMS

O Amazon Managed Service for Prometheus exige três concessões para usar a chave gerenciada pelo cliente.

Quando você cria um espaço de trabalho do Amazon Managed Service para Prometheus criptografado com uma chave gerenciada pelo cliente, o Amazon Managed Service for Prometheus cria as três concessões em seu nome enviando solicitações para. CreateGrant AWS KMS As concessões AWS KMS são usadas para dar ao Amazon Managed Service for Prometheus acesso à chave KMS em sua conta, mesmo quando não são chamadas diretamente em seu nome (por exemplo, ao armazenar dados de métricas que foram extraídos de um cluster do Amazon EKS).

O Amazon Managed Service for Prometheus exige as concessões para usar a chave gerenciada pelo cliente para as seguintes operações internas:

O Amazon Managed Service for Prometheus cria três concessões para a chave que permitem que AWS KMS o Amazon Managed Service for Prometheus use a chave em seu nome. É possível remover o acesso à chave alterando a política de chaves, desabilitando a chave ou revogando a concessão. É necessário entender as consequências dessas ações antes de executá-las. Isso pode causar perda de dados no espaço de trabalho.

Se você remover o acesso a qualquer uma das concessões de alguma forma, o Amazon Managed Service for Prometheus não poderá acessar nenhum dos dados criptografados pela chave gerenciada pelo cliente, nem armazenar novos dados enviados para o espaço de trabalho, o que afetará as operações que dependem desses dados. Novos dados enviados para o espaço de trabalho não estarão acessíveis e poderão ser perdidos permanentemente.

Etapa 1: criar uma chave gerenciada pelo cliente

Você pode criar uma chave simétrica gerenciada pelo cliente usando o AWS Management Console, ou o. AWS KMS APIs A chave não precisa estar na mesma conta do espaço de trabalho do Amazon Managed Service for Prometheus, desde que você forneça o acesso correto por meio da política, conforme descrito abaixo.

Para criar uma chave simétrica gerenciada pelo cliente

Siga as etapas de Criar uma chave simétrica gerenciada pelo cliente no Guia do desenvolvedor do AWS Key Management Service .

Política de chave

As políticas de chaves controlam o acesso à chave gerenciada pelo cliente. Cada chave gerenciada pelo cliente deve ter exatamente uma política de chaves, que contém declarações que determinam quem pode usar a chave e como pode usá-la. Ao criar a chave gerenciada pelo cliente, você pode especificar uma política de chaves. Para obter mais informações, consulte Managing access to customer managed keys (Administrando o acesso a chaves gerenciadas pelo cliente) no Guia do desenvolvedor do AWS Key Management Service .

Para usar a chave gerenciada pelo cliente com os espaços de trabalho do Amazon Managed Service for Prometheus, as seguintes operações de API deverão ser permitidas na política de chave:

Veja a seguir exemplos de declarações de política que você pode adicionar ao Amazon Managed Service for Prometheus:

  "Statement" : [ 
    {
      "Sid" : "Allow access to Amazon Managed Service for Prometheus principal within your account",
      "Effect" : "Allow",
      "Principal" : {
        "AWS" : "*"
      },
      "Action" : [ 
        "kms:DescribeKey", 
        "kms:CreateGrant",
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource" : "*",
      "Condition" : {
        "StringEquals" : {
          "kms:ViaService" : "aps.region.amazonaws.com",
          "kms:CallerAccount" : "111122223333"
        }
    },
    {
      "Sid": "Allow access for key administrators - not required for Amazon Managed Service for Prometheus",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:root"
       },
      "Action" : [ 
        "kms:*"
       ],
      "Resource": "arn:aws:kms:region:111122223333:key/key_ID"
    },
    <other statements needed for other non-Amazon Managed Service for Prometheus scenarios>
  ]

Etapa 2: especificar chave gerenciada pelo cliente para o Amazon Managed Service for Prometheus

Ao criar um espaço de trabalho, você pode especificar a chave gerenciada pelo cliente inserindo um ARN da chave do KMS, que o Amazon Managed Service for Prometheus usa para criptografar os dados armazenados pelo espaço de trabalho.

Etapa 3: acessar dados de outros serviços, como o Amazon Managed Grafana

Esta etapa é opcional; só é necessária se você precisar acessar seus dados do Amazon Managed Service for Prometheus de outro serviço.

Seus dados criptografados não podem ser acessados por outros serviços, a menos que eles também tenham acesso para usar a AWS KMS chave. Por exemplo, se você quiser usar o Amazon Managed Grafana para criar um painel ou um alerta sobre seus dados, você deve conceder ao Amazon Managed Grafana acesso à chave.

Seu espaço de trabalho do Amazon Managed Grafana agora pode acessar os dados no seu espaço de trabalho do Amazon Managed Service for Prometheus. Você pode adicionar outros usuários ou perfis aos usuários de chaves para permitir que outros serviços acessem seu espaço de trabalho.

Contexto de criptografia do Amazon Managed Service for Prometheus

Um contexto de criptografia é um conjunto opcional de pares chave-valor que pode conter informações contextuais adicionais sobre os dados.

AWS KMS usa o contexto de criptografia como dados autenticados adicionais para oferecer suporte à criptografia autenticada. Quando você inclui um contexto de criptografia em uma solicitação para criptografar dados, AWS KMS vincula o contexto de criptografia aos dados criptografados. Para descriptografar os dados, você inclui o mesmo contexto de criptografia na solicitação.

Contexto de criptografia do Amazon Managed Service for Prometheus

O Amazon Managed Service for Prometheus usa o mesmo contexto de criptografia em AWS KMS todas as operações criptográficas, onde a chave aws:amp:arn está e o valor é o Amazon Resource Name (ARN) do espaço de trabalho.

"encryptionContext": {
    "aws:aps:arn": "arn:aws:aps:us-west-2:111122223333:workspace/ws-sample-1234-abcd-56ef-7890abcd12ef"
}

Uso do contexto de criptografia para monitoramento

Ao usar uma chave simétrica gerenciada pelo cliente para criptografar os dados do espaço de trabalho, você também pode utilizar o contexto de criptografia em registros de auditoria e logs para identificar como a chave gerenciada pelo cliente está sendo utilizada. O contexto de criptografia também aparece nos registros gerados pelo AWS CloudTrail ou Amazon CloudWatch Logs.

Uso do contexto de criptografia para controlar o acesso à chave gerenciada pelo cliente

Você pode usar o contexto de criptografia nas políticas de chaves e políticas do IAM como conditions e controlar o acesso à sua chave simétrica gerenciada pelo cliente. Você também pode usar restrições no contexto de criptografia em uma concessão.

O Amazon Managed Service for Prometheus utiliza uma restrição de contexto de criptografia em concessões para controlar o acesso à chave gerenciada pelo cliente na conta ou região. A restrição de concessão exige que as operações permitidas pela concessão usem o contexto de criptografia especificado.

{
    "Sid": "Enable DescribeKey",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/ExampleReadOnlyRole"
     },
     "Action": "kms:DescribeKey",
     "Resource": "*"
},
{
     "Sid": "Enable CreateGrant",
     "Effect": "Allow",
     "Principal": {
         "AWS": "arn:aws:iam::111122223333:role/ExampleReadOnlyRole"
     },
     "Action": "kms:CreateGrant",
     "Resource": "*",
     "Condition": {
         "StringEquals": {
             "kms:EncryptionContext:aws:aps:arn": "arn:aws:aps:us-west-2:111122223333:workspace/ws-sample-1234-abcd-56ef-7890abcd12ef"
          }
     }
}

Monitorar as chaves de criptografia do Amazon Managed Service for Prometheus

Ao usar uma chave gerenciada pelo AWS KMS cliente com seus espaços de trabalho do Amazon Managed Service for Prometheus, você pode usar AWS CloudTrailo Amazon Logs para rastrear solicitações enviadas pelo CloudWatch Amazon Managed Service for Prometheus. AWS KMS

Os exemplos a seguir são AWS CloudTrail eventos paraCreateGrant, GenerateDataKeyDecrypt, e DescribeKey para monitorar operações do KMS chamadas pelo Amazon Managed Service para que o Prometheus acesse dados criptografados pela chave gerenciada pelo cliente:

Saiba mais

Os recursos a seguir fornecem mais informações sobre a criptografia de dados em pausa.