Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

SQSAmazon-Schlüsselverwaltung

Amazon SQS integriert sich in die AWS Key Management Service (KMS) zur Verwaltung von KMSSchlüsseln für die serverseitige Verschlüsselung (SSE). SSEInformationen und Definitionen der Schlüsselverwaltung finden Sie unterVerschlüsselung im Ruhezustand in Amazon SQS. Amazon SQS verwendet KMS Schlüssel, um die Datenschlüssel zu validieren und zu sichern, mit denen die Nachrichten ver- und entschlüsselt werden. Die folgenden Abschnitte enthalten Informationen zur Arbeit mit KMS Schlüsseln und Datenschlüsseln im SQS Amazon-Service.

Konfigurieren AWS KMS permissions

Jeder KMS Schlüssel muss über eine Schlüsselrichtlinie verfügen. Beachten Sie, dass Sie die Schlüsselrichtlinie eines nicht ändern können AWS verwalteter KMS Schlüssel für AmazonSQS. Die Richtlinie für diesen KMS Schlüssel beinhaltet die Berechtigungen für alle Principals im Konto (die autorisiert sind, Amazon zu verwendenSQS), verschlüsselte Warteschlangen zu verwenden.

Bei einem vom Kunden verwalteten KMS Schlüssel müssen Sie die Schlüsselrichtlinie so konfigurieren, dass Berechtigungen für jeden Warteschlangenproduzenten und -verbraucher hinzugefügt werden. Dazu benennen Sie den Hersteller und den Verbraucher als Benutzer in der KMS Schlüsselrichtlinie. Weitere Informationen zur AWS KMS Berechtigungen, siehe AWS KMS Ressourcen und Operationen oder AWS KMS APIVerweis auf Berechtigungen in der AWS Key Management Service Leitfaden für Entwickler.

Alternativ können Sie die erforderlichen Berechtigungen in einer IAM Richtlinie angeben, die den Prinzipalen zugewiesen ist, die verschlüsselte Nachrichten erstellen und verarbeiten. Weitere Informationen finden Sie unter IAM Richtlinien verwenden mit AWS KMS in der AWS Key Management Service Leitfaden für Entwickler.

Konfigurieren Sie KMS Berechtigungen für AWS service

Mehrere AWS Dienste dienen als Ereignisquellen, die Ereignisse an SQS Amazon-Warteschlangen senden können. Damit diese Ereignisquellen mit verschlüsselten Warteschlangen arbeiten können, müssen Sie einen vom Kunden verwalteten KMS Schlüssel erstellen und der Schlüsselrichtlinie Berechtigungen hinzufügen, damit der Service die erforderlichen Daten verwenden kann AWS KMS APIMethoden. Führen Sie zum Konfigurieren der Berechtigungen die folgenden Schritte durch.

Konfiguration AWS KMS Genehmigungen für Produzenten

Wenn der Zeitraum für die Wiederverwendung von Datenschlüsseln abgelaufen ist, löst der nächste Aufruf des Herstellers SendMessageBatch auch Aufrufe von auskms:GenerateDataKey. SendMessage Der Hersteller muss über die kms:GenerateDataKey Berechtigungen für den KMS Schlüssel verfügen.

Fügen Sie der IAM Richtlinie des Herstellers die folgende Aussage hinzu. Denken Sie daran, die richtigen ARN Werte für die Schlüsselressource und die Warteschlangenressource zu verwenden.

{
   "Version": "2012-10-17",
      "Statement": [{
         "Effect": "Allow",
         "Action": [
            "kms:GenerateDataKey"
         ],
         "Resource":  "arn:aws:kms:us-east-2:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
         }, {
         "Effect": "Allow",
         "Action": [
            "sqs:SendMessage" 
         ],
         "Resource": "arn:aws:sqs:*:123456789012:MyQueue"
      }]
}

Konfiguration AWS KMS Berechtigungen für Verbraucher

Wenn der Zeitraum für die Wiederverwendung des Datenschlüssels abläuft, löst der nächste Aufruf des Konsumenten von ReceiveMessage ebenfalls einen Auruf von kms:Decrypt aus, um die Integrität des neuen Datenschlüssels vor dessen Verwendung zu überprüfen. Daher muss der Verbraucher über die kms:Decrypt Erlaubnis für jeden KMS Schlüssel verfügen, der zum Verschlüsseln der Nachrichten in der angegebenen Warteschlange verwendet wird. Wenn die Warteschlange als Warteschlange für unzustellbare Briefe fungiert, muss der Verbraucher auch über die kms:Decrypt Berechtigung für jeden KMS Schlüssel verfügen, der zum Verschlüsseln der Nachrichten in der Quellwarteschlange verwendet wird. Fügen Sie der IAM Richtlinie des Verbrauchers die folgende Erklärung hinzu. Denken Sie daran, die richtigen ARN Werte für die Schlüsselressource und die Warteschlangenressource zu verwenden.

{
   "Version": "2012-10-17",
      "Statement": [{
         "Effect": "Allow",
         "Action": [
            "kms:Decrypt"
         ],
         "Resource": "arn:aws:kms:us-east-2:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
         }, {
         "Effect": "Allow",
         "Action": [
            "sqs:ReceiveMessage"
         ],
         "Resource": "arn:aws:sqs:*:123456789012:MyQueue"
      }]
}

Konfiguration AWS KMS Berechtigungen mit verwirrtem Stellvertreterschutz

Wenn der Hauptverantwortliche in einer wichtigen Grundsatzerklärung ein AWS Service Principal, Sie können die globalen Bedingungsschlüssel aws:SourceArnoder die aws:SourceAccountglobalen Bedingungsschlüssel verwenden, um sich vor dem Szenario „Confused Deputy“ zu schützen. Um diese Bedingungsschlüssel zu verwenden, setzen Sie den Wert auf den Amazon-Ressourcennamen (ARN) der Ressource, die verschlüsselt wird. Wenn Sie den Wert ARN der Ressource nicht kennen, verwenden Sie aws:SourceAccount stattdessen.

In dieser KMS wichtigen Richtlinie darf eine bestimmte Ressource eines Dienstes, der dem Konto 111122223333 gehört, Aktionen aufrufen KMS Decrypt und GenerateDataKey Aktionen ausführen, die während der SSE Nutzung von Amazon auftretenSQS.

{
	"Version": "2012-10-17",
	"Statement": [{
		"Effect": "Allow",
		"Principal": {
            "Service": "<replaceable>service</replaceable>.amazonaws.com"
		},
		"Action": [
			"kms:GenerateDataKey",
			"kms:Decrypt"
		],
		"Resource": "*",
		"Condition": {
			"ArnEquals": {
				"aws:SourceArn": [
					"arn:aws:service::111122223333:resource"
				]
			}
		}
	}]
}

Wenn Sie SSE aktivierte SQS Amazon-Warteschlangen verwenden, unterstützen aws:SourceArn die folgenden Dienste:

Grundlegendes zum Wiederverwendungszeitraum für den Datenschlüssel

Der Zeitraum für die Wiederverwendung von Datenschlüsseln definiert die maximale Dauer, für SQS die Amazon denselben Datenschlüssel wiederverwenden kann. Wenn der Zeitraum für die Wiederverwendung von Datenschlüsseln endet, SQS generiert Amazon einen neuen Datenschlüssel. Beachten Sie die folgenden Richtlinien zum Wiederverwendungszeitraum.

Schätzung AWS KMS Kosten

Um Kosten vorherzusagen und Ihre AWS Bill, vielleicht möchtest du wissen, wie oft Amazon deinen KMS Schlüssel SQS verwendet.

Verwenden Sie die folgende Formel, um die Anzahl der API Anfragen (R) pro Warteschlange zu berechnen:

R = (B / D) * (2 * P + C)

B ist der Abrechnungszeitraum (in Sekunden).

D ist der Zeitraum für die Wiederverwendung des Datenschlüssels (in Sekunden).

Pist die Anzahl der produzierenden Auftraggeber, die an die SQS Amazon-Warteschlange senden.

Cist die Anzahl der verbrauchenden Principals, die aus der SQS Amazon-Warteschlange empfangen.

Es folgen Beispielberechnungen: Genaue Preisinformationen finden Sie unter AWS Key Management Service Preisgestaltung.

Beispiel 1: Berechnung der Anzahl von AWS KMS APIAnrufe für 2 Principals und 1 Warteschlange

In diesem Beispiel wird Folgendes angenommen:

(2,678,400 / 300) * (2 * 1 + 1) = 26,784

Beispiel 2: Berechnung der Anzahl von AWS KMS APIruft mehrere Produzenten und Verbraucher und zwei Warteschlangen an

In diesem Beispiel wird Folgendes angenommen:

(2,419,200 / 86,400 * (2 * 3 + 1)) + (2,419,200 / 86,400 * (2 * 5 + 2)) = 532

AWS KMS Fehler

Wenn Sie mit Amazon arbeiten SQS und AWS KMS, Sie könnten auf Fehler stoßen. In den folgenden Referenzen werden die Fehler und möglichen Lösungen zur Fehlerbehebung beschrieben.