加密 Amazon ECS Service Connect 流量

Amazon ECS Service Connect 支援使用適用於 Amazon ECS 服務的 Transport Layer Security (TLS) 憑證進行自動流量加密。當您將 Amazon ECS 服務指向 AWS Private Certificate Authority (AWS Private CA) 時，Amazon ECS 會自動佈建 TLS 憑證，以加密 Amazon ECS Service Connect 服務之間的流量。Amazon ECS 會產生、輪換和分發用於流量加密的 TLS 憑證。

Service Connect 的自動流量加密使用業界領先的加密功能來保護您的服務間通訊，協助您滿足您的安全需求。它支援使用 AWS Private Certificate Authority 256-bit ECDSA和 2048-bit RSA加密的 TLS 憑證。您也可以完全控制私有憑證和簽署金鑰，協助您符合合規要求。根據預設，支援 TLS 1.3，但不支援 TLS 1.0 - 1.2。Service Connect 支援具有下列密碼的 TLS 1.3：

Service Connect 和 Application Load Balancer 運作狀態檢查

您可以使用 Service Connect 搭配 Application Load Balancer 運作狀態檢查和 TLS 1.3 加密。為 Service Connect 設定下列參數：

考量：

AWS Private Certificate Authority 憑證和 Service Connect

您需要擁有基礎設施 IAM 角色。如需此角色的詳細資訊，請參閱 Amazon ECS 基礎設施 IAM 角色。

雖然 Amazon ECS 支援這兩種模式，但我們建議您使用短期憑證。根據預設，憑證每五天輪換一次，在短期模式下執行可大幅節省一般用途的成本。

Service Connect 不支援憑證撤銷，而是利用具有頻繁憑證輪換的短期憑證。您有權在 Secrets Manager 中使用受管輪換來修改輪換頻率、停用或刪除秘密，但這樣做可能會產生下列可能的後果。 https://docs.aws.amazon.com/secretsmanager/latest/userguide/intro.html

如果您的秘密輪換失敗，則會在 中發佈RotationFailed事件AWS CloudTrail。您也可以為 設定 CloudWatch 警示RotationFailed。

aws secretsmanager remove-regions-from-replication \
 --secret-id SecretId \
 --remove-replica-regions region-name

次級憑證授權機構

您可以將任何 AWS Private CA根憑證或次級憑證帶到 Service Connect TLS，以發行服務的終端實體憑證。提供的發行者會被視為各地的簽署者和信任根。您可以從不同的次級 CAs 為應用程式的不同部分發行終端實體憑證。使用 時 AWS CLI，請提供 CA 的 Amazon Resource Name (ARN) 來建立信任鏈。

內部部署憑證授權機構

若要使用內部部署 CA，您可以在其中建立和設定次級 CA AWS Private Certificate Authority。這可確保為 Amazon ECS 工作負載發行的所有 TLS 憑證與您在內部部署執行的工作負載共用信任鏈，並且能夠安全地連線。

基礎設施即程式碼

將 Service Connect TLS 與 Infrastructure as Code (IaC) 工具搭配使用時，請務必正確設定相依性以避免問題，例如服務卡在耗盡中。如果 AWS KMS 提供金鑰，則應在 Amazon ECS 服務之後刪除 IAM 角色和 AWS Private CA 相依性。

Service Connect 和 Secrets Manager

搭配 TLS 加密使用 Amazon ECS Service Connect 時，服務會以下列方式與 Secrets Manager 互動：

Service Connect 會使用提供的基礎設施角色，在 Secrets Manager 中建立秘密。這些秘密用於存放 TLS 憑證的相關私有金鑰，以加密 Service Connect 服務之間的流量。

授予 Secrets Manager 讀取存取權時，請考慮排除 Service Connect 建立的 TLS 私有金鑰。您可以在 IAM 政策中使用條件來排除具有符合模式ARNs 的秘密，藉此達成此目的：

"arn:aws:secretsmanager:::secret:ecs-sc!"

以 ecs-sc!字首拒絕所有秘密GetSecretValue動作的範例 IAM 政策：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "arn:aws:secretsmanager:*:*:secret:ecs-sc!*"
        }
    ]
}

透過了解 Service Connect 如何與 Secrets Manager 互動，您可以更好地管理 Amazon ECS 服務的安全性，同時利用自動 TLS 加密的優勢。

Service Connect 和 AWS Key Management Service

您可以使用 AWS Key Management Service 來加密和解密 Service Connect 資源。 AWS KMS 是一項由 管理的服務，您可以在 AWS 其中建立和管理密碼編譯金鑰來保護您的資料。

AWS KMS 搭配 Service Connect 使用 時，您可以選擇使用為您 AWS 管理的 AWS 擁有金鑰，也可以選擇現有的 AWS KMS 金鑰。您也可以建立要使用的新 AWS KMS 金鑰。

提供您自己的加密金鑰

您可以提供自己的金鑰材料，也可以透過將自己的金鑰 AWS Key Management Service 匯入 來使用外部金鑰存放區 AWS KMS，然後在 Amazon ECS Service Connect 中指定該金鑰的 Amazon Resource Name (ARN)。

以下是範例 AWS KMS 政策。將使用者輸入值取代為您自己的值。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "id",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/role-name"
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey",
        "kms:GenerateDataKeyPair"
      ],
      "Resource": "*"
    }
  ]
}

如需金鑰政策的詳細資訊，請參閱《 AWS Key Management Service 開發人員指南》中的建立金鑰政策。

如需 AWS Key Management Service 對稱加密金鑰的詳細資訊，請參閱《 AWS Key Management Service 開發人員指南》中的對稱加密 AWS KMS 金鑰。