WorkSpaces criptografados no WorkSpaces Personal

O WorkSpaces é integrado ao AWS Key Management Service (AWS KMS). Isso permite que você criptografe volumes de armazenamento de WorkSpaces usando a chave do AWS KMS. Quando você executa um WorkSpace, é possível criptografar o volume raiz (para Microsoft Windows, a unidade C: e, para Linux, /) e o volume do usuário (para Windows, a unidade D: e, para Linux, /home). Isso garante que os dados armazenados em repouso, E/S do disco para o volume e snapshots criados a partir dos volumes sejam todos criptografados.

Pré-requisitos

Você precisa de uma chave do AWS KMS antes de iniciar o processo de criptografia. Essa chave do KMS pode ser a chave do KMS gerenciada pela AWS para Amazon WorkSpaces (aws/workspaces) ou uma chave do KMS simétrica gerenciada pelo cliente.

Você deve atender aos seguintes requisitos para usar uma chave do AWS KMS para criptografar os WorkSpaces:

Limites

Visão geral da criptografia do WorkSpaces usando o AWS KMS

Quando você cria WorkSpaces com volumes criptografados, o WorkSpaces usa o Amazon Elastic Block Store (Amazon EBS) para criar e gerenciar esses volumes. O Amazon EBS criptografa os volumes com uma chave de dados usando o algoritmo AES-256 padrão do setor. Tanto o Amazon EBS quanto o Amazon WorkSpaces usam a chave do KMS para trabalhar com os volumes criptografados. Para obter mais informações sobre a criptografia de volumes do EBS, consulte Amazon EBS Encryption no Guia do usuário do Amazon EC2.

Quando você executa WorkSpaces com volumes criptografados, o processo completo funciona desta forma:

Contexto de criptografia do WorkSpaces

O WorkSpaces não usa sua chave do KMS diretamente para operações de criptografia (como Encrypt, Decrypt, GenerateDataKey etc.), o que significa que ele não envia solicitações ao AWS KMS que incluem um contexto de criptografia. No entanto, quando o Amazon EBS solicita uma chave de dados criptografada para os volumes criptografados dos WorkSpaces (Passo 3 em Visão geral da criptografia do WorkSpaces usando o AWS KMS) e quando ele solicita uma cópia de texto simples dessa chave de dados (Passo 5), ele inclui o contexto de criptografia na solicitação.

O contexto de criptografia fornece dados autenticados adicionais (AAD) que o AWS KMS usa para garantir a integridade dos dados. O contexto de criptografia também é gravado em seus arquivos de log do AWS CloudTrail, o que pode ajudar você a entender por que uma determinada chave do KMS foi usada. O Amazon EBS usa o seguinte como contexto de criptografia:

O exemplo a seguir mostra uma representação JSON do contexto de criptografia usado pelo Amazon EBS:

{
  "aws:workspaces:sid-directoryid": "[S-1-5-21-277731876-1789304096-451871588-1107]@[d-1234abcd01]",
  "aws:ebs:id": "vol-1234abcd"
}

Conceder permissão ao WorkSpaces para usar uma chave do KMS em seu nome

É possível proteger seus dados do WorkSpace na chave do KMS gerenciada pela AWS para WorkSpaces (aws/workspaces) ou em uma chave do KMS gerenciada pelo cliente. Se você usar uma chave do KMS gerenciada pelo cliente, deverá conceder permissão ao WorkSpaces para usar a chave do KMS em nome dos administradores de WorkSpaces em sua conta. A chave do KMS gerenciada pela AWS para o WorkSpaces tem as permissões necessárias por padrão.

Para preparar sua chave do KMS gerenciada pelo cliente para uso com o WorkSpaces, use o procedimento a seguir.

Os administradores de WorkSpaces também precisam de permissão para usar o WorkSpaces. Para obter mais informações sobre essas permissões, acesse Gerenciamento de identidade e acesso para o WorkSpaces.

Parte 1: como adicionar administradores de WorkSpaces aos usuários de chave

Para conceder aos administradores do WorkSpace as permissões que eles exigem, você pode usar o Console de gerenciamento da AWS ou a API do AWS KMS.

Para adicionar administradores de WorkSpaces como usuários de uma chave do KMS (console)

Como adicionar administradores de WorkSpaces como usuários de uma chave do KMS (API)

Parte 2: Conceder aos administradores de WorkSpaces permissões adicionais usando uma política do IAM

Se você selecionar uma chave do KMS gerenciada pelo cliente a ser usada para criptografia, será necessário estabelecer políticas do IAM que permitem que o Amazon WorkSpaces use a chave do KMS em nome de um usuário do IAM em sua conta que inicie WorkSpaces criptografados. Esse usuário também precisa de permissão para usar o Amazon WorkSpaces. Para obter mais informações sobre como criar e editar políticas de usuários do IAM, consulte Gerenciamento de políticas do IAM no Guia do usuário do IAM e em Gerenciamento de identidade e acesso para o WorkSpaces.

A criptografia do WorkSpaces requer acesso limitado à chave do KMS. Veja a seguir um exemplo de política de chaves que pode ser usada. Essa política separa as entidades principais que podem gerenciar a chave do AWS KMS daquelas que podem usá-la. Antes de usar esse exemplo de política de chaves, substitua o exemplo de ID da conta e o nome de usuário do IAM pelos valores reais da sua conta.

A primeira declaração está em conformidade com a política de chaves do AWS KMS padrão. Isso concede à sua conta permissão para usar políticas do IAM para controlar o acesso à chave do KMS. A segunda e a terceira declarações definem quais entidades principais da AWS podem gerenciar e usar a chave, respectivamente. A quarta declaração permite que os serviços da AWS integrados ao AWS KMS usem a chave em nome da entidade principal especificada. Essa declaração permite que os serviços da AWS criem e gerenciem concessões. A declaração usa um elemento de condição que limita as concessões na chave do KMS àquelas feitas pelos serviços da AWS em nome dos usuários em sua conta.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Create*",
        "kms:Describe*",
        "kms:Enable*",
        "kms:List*",
        "kms:Put*",
        "kms:Update*",
        "kms:Revoke*",
        "kms:Disable*",
        "kms:Get*",
        "kms:Delete*"
       ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": "true"}}
    }
  ]
}

A política do IAM para um usuário ou um perfil que está criptografando um WorkSpace deve incluir permissões de uso na chave do KMS gerenciada pelo cliente, além de acesso aos WorkSpaces. Para conceder permissões de WorkSpaces a um usuário ou um perfil do IAM, é possível anexar o exemplo de política a seguir ao usuário ou perfil do IAM.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:*",
                "ds:DescribeDirectories",
                "workspaces:*",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:CreateWorkspaces",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:DescribeWorkspaceDirectories",
                "workspaces:DescribeWorkspaces",
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces"
            ],
            "Resource": "*"
        }
    ]
}

A política do IAM a seguir é exigida pelo usuário para usar o AWS KMS. Ela concede ao usuário acesso somente leitura à chave do KMS juntamente com a capacidade de criar concessões.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:Describe*",
                "kms:List*"
            ],
            "Resource": "*"
        }
    ]
}

Se você quiser especificar a chave do KMS em sua política, use uma política do IAM semelhante ao exemplo a seguir. Substitua o ARN da chave do KMS de exemplo por um válido.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:CreateGrant",
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:ListAliases",
        "kms:ListKeys"
      ],
      "Resource": "*"
    }
  ]
}

Criptografia de um WorkSpace

Visualizar WorkSpaces criptografados

Para ver quais WorkSpaces e volumes foram criptografados no console do WorkSpaces, selecione WorkSpaces na barra de navegação à esquerda. A coluna Criptografia de volume mostra se cada WorkSpace tem a criptografia habilitada ou não. Para ver quais volumes específicos foram criptografados, expanda a entrada WorkSpace e veja o campo Volumes criptografados.