As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Criptografia em repouso com chaves gerenciadas pelo cliente

O Resilience Hub de próxima geração fornece criptografia por padrão para proteger dados confidenciais de clientes em repouso usando Chaves pertencentes à AWS.

Embora não seja possível desativar essa camada de criptografia ou selecionar um tipo de criptografia alternativo, você pode adicionar uma segunda camada de criptografia especificando uma chave gerenciada pelo cliente ao criar um recurso de serviço:

A tabela a seguir resume como o Resilience Hub de próxima geração criptografa dados confidenciais.

Como o Next Generation Resilience Hub usa subsídios em AWS KMS

O Resilience Hub de próxima geração exige uma concessão para usar sua chave gerenciada pelo cliente durante fluxos de trabalho de avaliação assíncrona.

Quando você cria um serviço com uma chave gerenciada pelo cliente, o Next Generation Resilience Hub cria uma concessão em seu nome enviando uma CreateGrantsolicitação para AWS KMS. A concessão é restrita ao contexto de criptografia do seu serviço e permite somente as seguintes operações:

O subsídio é retirado quando você exclui o serviço. Você também pode revogar o acesso à concessão ou remover o acesso do serviço à chave gerenciada pelo cliente a qualquer momento. Se você fizer isso, o Resilience Hub de próxima geração não poderá acessar nenhum dos dados criptografados pela chave gerenciada pelo cliente, o que afeta as operações da API e os fluxos de trabalho de avaliação que dependem desses dados.

Para operações síncronas de API (como criar ou atualizar um serviço), o Next Generation Resilience Hub usa as permissões do chamador diretamente na chave KMS, sem exigir uma concessão.

Criar uma chave gerenciada pelo cliente

Você pode criar uma chave gerenciada pelo cliente com criptografia simétrica usando as Console de gerenciamento da AWS ou as AWS KMS APIs.

Para criar uma chave gerenciada pelo cliente com criptografia simétrica

Siga as etapas para Criar chaves do KMS de criptografia simétrica no Guia do desenvolvedor do AWS Key Management Service .

Especificação de uma chave gerenciada pelo cliente para o Resilience Hub de próxima geração

Você pode especificar uma chave gerenciada pelo cliente ao criar um serviço, sistema ou política de resiliência. Quando você fornece um ID de chave KMS, o Next Generation Resilience Hub usa essa chave para criptografar todos os dados confidenciais associados ao recurso.

Você pode especificar a chave usando qualquer um dos seguintes identificadores de chave:

Para especificar uma chave gerenciada pelo cliente, use o kmsKeyId parâmetro ao chamar as operações CreateServiceCreateSystem, ou CreatePolicy da API.

Política de chave

As políticas de chaves controlam o acesso à chave gerenciada pelo cliente. Cada chave gerenciada pelo cliente deve ter exatamente uma política de chaves, que contém declarações que determinam quem pode usar a chave e como pode usá-la. Ao criar a chave gerenciada pelo cliente, você pode especificar uma política de chaves. Para obter mais informações, consulte Gerenciamento do acesso às chaves gerenciadas pelo cliente no Guia do desenvolvedor do AWS Key Management Service .

A política principal a seguir permite que o Next Generation Resilience Hub use sua chave. Ele define cada permissão apenas para as operações que o Resilience Hub de próxima geração exige, usando condições de contexto de criptografia para garantir que sua chave só possa ser usada para seus recursos específicos. Substitua CUSTOMER-ACCOUNT-IDCUSTOMER-ROLE,, e REGION por seus valores.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "AllowResilienceHubDescribeKey",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": "kms:DescribeKey",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubEncryptDecryptForServices",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:service-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:service/*"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubEncryptDecryptForSystems",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:system-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:system/*"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubEncryptDecryptForPolicies",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:policy-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:policy/*"
                }
            }
        },
        {
            "Sid": "AllowResilienceHubCreateGrantForAsyncWorkflows",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::CUSTOMER-ACCOUNT-ID:role/CUSTOMER-ROLE"
            },
            "Action": "kms:CreateGrant",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "resiliencehub.REGION.amazonaws.com",
                    "kms:GrantConstraintType": "EncryptionContextSubset"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:resiliencehub:service-arn": "arn:aws:resiliencehub:*:CUSTOMER-ACCOUNT-ID:service/*"
                },
                "ForAllValues:StringEquals": {
                    "kms:GrantOperations": [
                        "Encrypt",
                        "Decrypt",
                        "GenerateDataKey"
                    ]
                }
            }
        }
    ]
}

As declarações de política fornecem as seguintes permissões:

Para obter mais informações sobre especificar permissões em uma política, consulte o Guia do desenvolvedor do AWS Key Management Service .

Para obter mais informações sobre solução de problemas de acesso à chave, consulte o Guia do Desenvolvedor do AWS Key Management Service .

Contexto de criptografia do Resilience Hub de próxima geração

Um contexto de criptografia é um conjunto opcional de pares de chave/valor que pode conter informações contextuais adicionais sobre os dados.

AWS KMS usa o contexto de criptografia como dados autenticados adicionais para oferecer suporte à criptografia autenticada. Quando você inclui um contexto de criptografia em uma solicitação para criptografar dados, AWS KMS vincula o contexto de criptografia aos dados criptografados. Para descriptografar dados, você deve incluir o mesmo contexto de criptografia na solicitação.

Contexto de criptografia do Resilience Hub de próxima geração

O Resilience Hub de próxima geração usa as seguintes chaves de contexto de criptografia, dependendo do tipo de recurso:

Exemplo de contexto de criptografia para uma operação em nível de serviço:

"encryptionContext": {
    "aws:resiliencehub:service-arn": "arn:aws:resiliencehub:us-west-2:111122223333:service/my-service:abc123"
}

Uso do contexto de criptografia para monitoramento

Ao usar uma chave gerenciada pelo cliente com criptografia simétrica para criptografar seus dados, você pode usar o contexto de criptografia nos registros e registros de auditoria para identificar como a chave gerenciada pelo cliente está sendo usada. O contexto de criptografia aparece nos registros gerados por AWS CloudTrail.

Usando contexto de criptografia para controlar o acesso

Você pode usar o contexto de criptografia nas políticas de chaves e nas políticas do IAM conditions para controlar o acesso à sua chave de criptografia simétrica gerenciada pelo cliente. Você também pode usar restrições no contexto de criptografia em uma concessão.

O Resilience Hub de próxima geração usa uma restrição de subconjunto de contexto de criptografia nas concessões para garantir que fluxos de trabalho assíncronos só possam criptografar e descriptografar dados pertencentes ao serviço específico para o qual a concessão foi criada.

Monitorando suas chaves de criptografia para o Resilience Hub de próxima geração

Ao usar uma chave gerenciada pelo cliente com seus recursos do Next Generation Resilience Hub, você pode usá-la AWS CloudTrailpara rastrear solicitações enviadas pelo Next Generation Resilience Hub. AWS KMS

Saiba mais

Os recursos a seguir fornecem mais informações sobre a criptografia de dados em pausa.