As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Gerenciar chaves e custos de criptografia do Amazon SNS

As seções a seguir contêm informações sobre como trabalhar com chaves gerenciadas pelo AWS Key Management Service (AWS KMS).

Estimar os custos do AWS KMS

Para prever custos e entender melhor a sua fatura da AWS, talvez seja interessante saber com que frequência o Amazon SNS usa sua chave do AWS KMS key.

Para calcular o número de solicitações de APIs (R) por tópico, use a seguinte fórmula:

R = B / D * (2 * P)

B é o período de faturamento (em segundos).

D é o período de reutilização da chave de dados (em segundos: o Amazon SNS reutiliza uma chave de dados por até cinco minutos).

P é o número de principais de publicação enviados para o tópico do Amazon SNS.

Estes são cálculos de exemplo. Para obter informações sobre a definição de preços, consulte Definição de preços do AWS Key Management Service.

Exemplo 1: Cálculo do número de chamadas à API do AWS KMS para 1 editor e 1 tópico

Este exemplo supõe o seguinte:

2,678,400 / 300 * (2 * 1) = 17,856

Exemplo 2: Cálculo do número de chamadas à API do AWS KMS para vários editores e 2 tópicos

Este exemplo supõe o seguinte:

(2,419,200 / 300 * (2 * 3)) + (2,419,200 / 300 * (2 * 5)) = 129,024

Configurar permissões do AWS KMS

Antes que possa usar a SSE, você deve configurar as políticas de chaves do AWS KMS key para permitir a criptografia de tópicos, bem como a criptografia e a descriptografia de mensagens. Para obter exemplos e mais informações sobre as permissões do AWS KMS, consulte AWS KMS API Permissions: Actions and Resources Reference no Guia do desenvolvedor do AWS Key Management Service. Para obter detalhes sobre como configurar um tópico do Amazon SNS com a criptografia do lado do servidor, consulte Mais informações.

É necessário garantir também que as políticas de chave do AWS KMS key concedam as permissões necessárias. Para fazer isso, indique as entidades principais que produzem e consomem mensagens criptografadas no Amazon SNS como usuários na política de chaves do KMS.

Como alternativa, você pode especificar as ações necessárias do AWS KMS e o ARN do KMS em uma política do IAM atribuída às entidades principais que publicam e se inscrevem para receber mensagens criptografadas no Amazon SNS. Para obter mais informações, consulte Gerenciar o acesso ao AWS KMS no Guia do desenvolvedor do AWS Key Management Service.

Se você estiver selecionando uma chave gerenciada pelo cliente para seu tópico do Amazon SNS e estiver usando aliases para controlar o acesso às chaves do KMS usando políticas do IAM ou políticas de chave do KMS com a chave de condição kms:ResourceAliases, a chave gerenciada pelo cliente selecionada também deverá ter um alias associado. Para obter mais informações sobre o uso de alias para controlar o acesso às chaves do KMS, consulte Usar aliases para controlar o acesso às chaves do KMS no Guia do desenvolvedor do AWS Key Management Service.

Permitir que um usuário envie mensagens a um tópico com SSE

O editor deve ter as permissões kms:GenerateDataKey* e kms:Decrypt para o AWS KMS key.

{
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "kms:GenerateDataKey*",
      "kms:Decrypt"
    ],
    "Resource": "arn:aws:kms:us-east-2:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
  }, {
    "Effect": "Allow",
    "Action": [
      "sns:Publish"
    ],
    "Resource": "arn:aws:sns:*:123456789012:MyTopic"
  }]
}

Habilitar a compatibilidade entre as fontes de eventos de tópicos criptografados e de serviços da AWS

Vários serviços da AWS publicam eventos nos tópicos do Amazon SNS. Para permitir que essas fontes de eventos trabalhem com tópicos criptografados, você deve executar as seguintes etapas:

AWS KMSErros do

Ao trabalhar com o Amazon SNS e o AWS KMS, você poderá encontrar erros. A lista a seguir descreve os erros e as possíveis soluções de problemas.