View a markdown version of this page

Verschlüsseln Sie Ihr AgentCore Gateway mit einem vom Kunden verwalteten KMS-Schlüssel - Amazon Grundgestein AgentCore
Voraussetzungen für die Verschlüsselung Ihres Gateways AgentCore

Verschlüsseln Sie Ihr AgentCore Gateway mit einem vom Kunden verwalteten KMS-Schlüssel

Standardmäßig verschlüsselt Gateway Ihre Daten im Ruhezustand mithilfe eines vom Service verwalteten AWS Key Management Service-Schlüssels. Sie können jedoch optional Ihren eigenen, vom Kunden verwalteten KMS-Schlüssel für die Verschlüsselung von Daten im Ruhezustand bereitstellen, wenn Sie:

  • Erstellen Sie ein Gateway.

  • Aktualisieren Sie die Konfigurationen eines Gateways.

Durch die Verwendung eines vom Kunden verwalteten Schlüssels haben Sie mehr Kontrolle über den Verschlüsselungsprozess, einschließlich der folgenden Möglichkeiten:

  • Rotieren Sie den Schlüssel nach Ihrem eigenen Zeitplan

  • Steuern Sie den Zugriff auf den Schlüssel mithilfe von IAM-Richtlinien

  • Deaktivieren oder löschen Sie den Schlüssel, wenn er nicht mehr benötigt wird

  • Prüfen Sie die Schlüsselnutzung anhand von CloudWatch Protokollen und AWS CloudTrail

Weitere Informationen finden Sie im AWS Key Management Service Developer Guide.

Anmerkung

Wenn Sie sich dafür entscheiden, einen vom Kunden verwalteten Schlüssel zu verwenden, sind Sie für die Verwaltung des Schlüssels und seiner Berechtigungen verantwortlich. Wenn der Schlüssel deaktiviert oder gelöscht wird oder wenn Gateway die Erlaubnis zur Verwendung des Schlüssels verliert, verlieren Sie den Zugriff auf die verschlüsselten Daten.

Voraussetzungen für die Verschlüsselung Ihres Gateways AgentCore

Stellen Sie vor der Verschlüsselung Ihres Gateways sicher, dass Sie die folgenden Voraussetzungen erfüllt haben:

  • Sie haben Zugriff auf einen KMS-Schlüssel. Informationen zum Erstellen eines KMS-Schlüssels finden Sie unter Erstellen eines KMS-Schlüssels.

  • Dem KMS-Schlüssel ist eine Schlüsselrichtlinie zugeordnet, die die folgenden Berechtigungen ermöglicht:

    • Berechtigungen, die es der Gateway-Dienstrolle ermöglichen, die folgenden Aktionen auszuführen:

      • km: CreateGrant

      • km: DescribeKey

      • kms:Decrypt

      • km: GenerateDataKey

    • (Wenn Sie CloudWatch Logs für Ihr Gateway aktivieren) Berechtigungen, die es dem CloudWatch Logs-Dienst ermöglichen, den Schlüssel zu entschlüsseln.

      Weitere Informationen zur Steuerung der IAM-Berechtigungen für einen KMS-Schlüssel finden Sie unter KMS-Schlüsselzugriff und -berechtigungen im AWS Key Management Service Developer Guide.

Beispiel für eine Schlüsselrichtlinie

Die folgende Beispielrichtlinie bietet die erforderlichen Berechtigungen, um ein Gateway zu verschlüsseln und ein verschlüsseltes Gateway zu verwenden. Die vierte Anweisung ermöglicht auch die CloudWatch Protokollierung der Schlüsselnutzung für das verschlüsselte Gateway. Die Richtlinie enthält Bedingungsschlüssel, um den bewährten Sicherheitsmethoden zu entsprechen.

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "AllowServiceRoleDescribeKey",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/GatewayServiceRole"
      },
      "Action": [
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": [
            "bedrock-agentcore.us-east-1.amazonaws.com"
          ]
        }
      }
    },
    {
      "Sid": "AllowServiceRoleDecryptKey",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/GatewayServiceRole"
      },
      "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": [
            "bedrock-agentcore.us-east-1.amazonaws.com"
          ]
        },
        "StringLike": {
          "kms:EncryptionContext:aws:bedrock-agentcore-gateway:arn": "arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/GatewayId"
        }
      }
    },
    {
      "Sid": "AllowServiceRoleCreateGrant",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/GatewayServiceRole"
      },
      "Action": "kms:CreateGrant",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": [
            "bedrock-agentcore.us-east-1.amazonaws.com"
          ],
          "kms:GrantConstraintType": "EncryptionContextSubset"
        },
        "ForAllValues:StringEquals": {
          "kms:GrantOperations": [
            "Decrypt",
            "GenerateDataKey"
          ]
        },
        "StringLike": {
          "kms:EncryptionContext:aws:bedrock-agentcore-gateway:arn": "arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/GatewayId"
        }
      }
    },
    {
      "Sid": "AllowKMSDecryptionLogging",
      "Effect": "Allow",
      "Principal": {
        "Service": "delivery.logs.amazonaws.com"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:SourceArn": "arn:aws:logs:us-east-1:123456789012:*"
        }
      }
    }
  ]
}

Die Richtlinie enthält die folgenden Aussagen:

  • AllowServiceRoleDescribeKKey— Ermöglicht dem angegebenen Principal, den Schlüssel zu beschreiben, wenn die Anfrage über den AgentCore Dienst gestellt wird. Ersetzen Sie Werte in den folgenden Feldern:

    • Principal— Ersetzen Sie den AWS Wert durch den tatsächlichen ARN Ihrer Gateway-Servicerolle.

    • Condition— Ersetzen Sie im kms:ViaService Array us-east-1 durch die tatsächliche AWS Region, für die der Schlüssel beschrieben werden soll.

  • AllowServiceRoleDecryptKey— Ermöglicht dem angegebenen Principal, den Schlüssel zu entschlüsseln, wenn die Anfrage über den AgentCore Dienst gestellt wird und wenn der ARN des Gateways, an den die Anfrage gestellt wird, mit dem in dem kmsEncryptionContext:aws:bedrock-agentcore-gateway-arn Feld übereinstimmt. Ersetzen Sie die folgenden Werte:

    • Principal— Ersetzen Sie den AWS Wert durch den tatsächlichen ARN Ihrer Gateway-Servicerolle.

    • Condition— Gehen Sie wie folgt vor:

      • Ersetzen Sie es im kms:ViaService Array us-east-1 durch die tatsächliche AWS Region, für die Sie zulassen möchten, dass der Schlüssel entschlüsselt wird.

      • Ersetzen Sie den kmsEncryptionContext:aws:bedrock-agentcore-gateway-arn Wert durch den tatsächlichen ARN Ihres Gateways.

  • AllowServiceRoleCreateGrant— Ermöglicht dem angegebenen Principal, einen Grant für einen Schlüssel zu erstellen, wenn die Anfrage über den AgentCore Service gestellt wird und wenn der ARN des Gateways, an den die Anfrage gestellt wird, mit dem in dem kmsEncryptionContext:aws:bedrock-agentcore-gateway-arn Feld übereinstimmt. Ersetzen Sie die folgenden Werte:

    • Principal— Ersetzen Sie den AWS Wert durch den tatsächlichen ARN Ihrer Gateway-Servicerolle.

    • Condition— Gehen Sie wie folgt vor:

      • Ersetzen Sie es im kms:ViaService Array us-east-1 durch die tatsächliche AWS Region, für die Sie zulassen möchten, dass der Schlüssel entschlüsselt wird.

      • Ersetzen Sie den kmsEncryptionContext:aws:bedrock-agentcore-gateway-arn Wert durch den tatsächlichen ARN Ihres Gateways (falls Sie dies zulassen möchten).

  • AllowKMSDecryptionLogging— Ermöglicht dem angegebenen Prinzipal, einen vom Kunden verwalteten KMS-Schlüssel zu entschlüsseln, um die Schlüsselnutzung anhand CloudWatch von Protokollen zu überprüfen. Ersetzen Sie im kms:EncryptionContext:SourceArn Wert die 123456789012 Werte us-east-1 und durch Ihre tatsächliche AWS Region und Konto-ID.

Beispiel
Console

  1. ====== Um Ihr Gateway mit einem vom Kunden verwalteten KMS-Schlüssel zu verschlüsseln

  2. Folgen Sie den Konsolenschritten unter Amazon Bedrock AgentCore Gateway erstellen und erweitern Sie den Abschnitt KMS-Schlüssel — optional.

  3. Wählen Sie Verschlüsselungseinstellungen anpassen (erweitert).

  4. Wählen Sie einen KMS-Schlüssel aus und bestätigen Sie seine Details.

    Anmerkung

    Wenn Sie Ihren KMS-Schlüssel nicht sehen, überprüfen Sie die Voraussetzungen für die Verschlüsselung Ihres AgentCore Gateways und überprüfen Sie, ob die Berechtigungen richtig konfiguriert sind.

  5. Fahren Sie mit den verbleibenden Konsolenschritten fort.

CLI

  1. Um Ihr Gateway mit der AWS CLI zu verschlüsseln, schließen Sie den ein, kms-key-arn wenn Sie eine der folgenden Anfragen über einen Client auf der AgentCore Kontrollebene senden. :

    • Gateway erstellen

    • Gateway aktualisieren

      Das folgende Beispiel zeigt eine CLI-Beispielanforderung zum Erstellen eines Gateways mit einem AWS KMS-Schlüssel, der mit dem kms-key-arn Argument angegeben wurde:

      aws bedrock-agentcore-control create-gateway \
  --name "MyGateway" \
  --role-arn "arn:aws:iam::123456789012:role/GatewayRole" \
  --protocol-type "MCP" \
  --kms-key-arn "arn:aws:kms:us-west-2:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab" \
  --authorizer-type "CUSTOM_JWT" \
  --authorizer-configuration '{
    "customJWTAuthorizer": {
      "allowedAudience": ["myAudience"],
      "discoveryUrl": "https://example.com/.well-known/openid-configuration"
    }
  }'
Python (Boto3)

  1. Um Ihr Gateway mit dem AWS Python-SDK (Boto3) zu verschlüsseln, schließen Sie das ein, kms-key-arn wenn Sie eine der folgenden Anfragen über einen Client auf der AgentCore Steuerungsebene senden. :

    • Gateway erstellen

    • Gateway aktualisieren

      Das folgende Beispiel zeigt ein Beispiel für eine Boto3-Anfrage zum Erstellen eines Gateways mit einem AWS KMS-Schlüssel, der mit dem Argument angegeben wurde: kmsKeyArn

      import boto3
# Create client
agentcore_client = boto3.client('bedrock-agentcore-control')

# Create gateway and specify
gateway = agentcore_client.create_gateway(
  name="MyGateway",
  roleArn="arn:aws:iam::123456789012:role/GatewayRole",
  protocolType="MCP",
  kmsKeyArn="arn:aws:kms:us-west-2:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
  authorizerType="CUSTOM_JWT",
  authorizerConfiguration= {
    "customJWTAuthorizer": {
      "allowedAudience": ["myAudience"],
      "discoveryUrl": "https://example.com/.well-known/openid-configuration"
    }
  }
)