中的密钥管理 AWS 物联网 FleetWise

AWS 物联网 FleetWise 云密钥管理

默认情况下， AWS 物联网 FleetWise AWS 托管式密钥 用于保护您的数据 AWS Cloud。您可以更新您的设置，使用客户管理的密钥来加密 AWS IoT 中的数据 FleetWise。您可以通过 AWS Key Management Service (AWS KMS) 创建、管理和查看您的加密密钥。

AWS IoT FleetWise 支持服务器端加密，客户管理密钥存储在中 AWS KMS 以加密以下资源的数据。

有关更多信息，请参阅什么是 AWS Key Management Service？在AWS Key Management Service 开发者指南中。

使用 KMS 密钥启用加密（控制台）

要在 AWS IoT 中使用客户管理的密钥 FleetWise，您必须更新 AWS IoT FleetWise 设置。

使用 KMS 密钥启用加密 (AWS CLI)

您可以使用 PutEncryptionConfiguration API 操作为您的 I AWS oT FleetWise 账户启用加密。以下示例使用 AWS CLI。

要启用加密，请运行以下命令。

aws iotfleetwise put-encryption-configuration \
      --encryption-type KMS_BASED_ENCRYPTION \
      --kms-key-id kms_key_id

{
 "kmsKeyId": "customer_kms_key_id",
 "encryptionStatus": "PENDING",
 "encryptionType": "KMS_BASED_ENCRYPTION"
}

KMS 密钥策略

创建 KMS 密钥后，必须至少在 KMS 密钥策略中添加以下语句以使其与 AWS IoT 配合使用 FleetWise。KMS 密钥策略声明iotfleetwise.amazonaws.com中的 AWS 物联网 FleetWise 服务主体允许 AWS IoT FleetWise 访问 KMS 密钥。

{
  "Sid": "Allow FleetWise to encrypt and decrypt data when customer managed KMS key based encryption is enabled",
  "Effect": "Allow",
  "Principal": {
    "Service": "iotfleetwise.amazonaws.com"
  },
  "Action": [
    "kms:GenerateDataKey*",
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:DescribeKey",
    "kms:CreateGrant",
    "kms:RetireGrant",
    "kms:RevokeGrant"
  ],
  "Resource": "*"
}

作为安全最佳实践，在 KMS aws:SourceAccount 密钥策略中添加aws:SourceArn和限制密钥。IAM 全局条件密钥aws:SourceArn有助于确保 AWS IoT 仅 FleetWise 将 KMS 密钥用于特定服务的资源亚马逊资源名称 (ARN)。

如果将值设置为aws:SourceArn，则必须始终设置为arn:aws:iotfleetwise:us-east-1:account_id:*。这允许 KMS 密钥为此访问所有 AWS IoT FleetWise 资源 AWS 账户。 AWS IoT FleetWise 支持每个账户中所有资源一个 KMS 密钥 AWS 区域。为 ARN 资源字段使用任何其他值SourceArn，或不使用通配符 (*) 来防止 AWS IoT FleetWise 访问 KMS 密钥。

的值aws:SourceAccount是您的账户 ID，用于进一步限制 KMS 密钥，使其只能用于您的特定账户。如果您向 KM aws:SourceArn S 密钥添加aws:SourceAccount和限制密钥，请确保该密钥未被任何其他服务或账户使用。这有助于避免故障。

以下政策包括服务主体（服务的标识符），以及根据aws:SourceAccount AWS 区域 和您的账户 ID aws:SourceArn 设置的使用权限。

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {
    "Service": "iotfleetwise.amazonaws.com"
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*",
    "kms:DescribeKey"
  ],
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "aws:SourceAccount": "AWS-account-ID"
    },
    "ArnLike": {
      "aws:SourceArn": "arn:aws:iotfleetwise:region:AWS-account-ID:*"
    }
  }
}

有关编辑用于 AWS IoT 的 KMS 密钥策略的更多信息 FleetWise，请参阅AWS Key Management Service 开发人员指南中的更改密钥策略。

的权限 AWS KMS 加密

如果您启用了 AWS KMS 加密，则必须在角色策略中指定权限，以便可以调用 AWS IoT FleetWise API。以下策略允许访问所有 AWS IoT FleetWise 操作以及 AWS KMS 特定权限。

您的角色需要以下策略声明才能调用加密 API。本政策声明允许PutEncryptionConfiguration物 AWS 联网GetEncryptionConfiguration采取行动 FleetWise。

之后恢复 AWS KMS 密钥删除

如果您在启用 AWS IoT 加密后删除 AWS KMS 密钥 FleetWise，则必须通过删除所有数据来重置账户，然后才能 FleetWise 再次使用 AWS IoT。您可以使用列表和删除 API 操作来清理账户中的资源。

必须按以下顺序清理资源。