Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Optional konfigurieren AWS KMS keys

Wenn Sie Ihre Ressourcen mit einem AWS KMS Verschlüsselungsschlüssel ver- und entschlüsseln möchten, aktivieren Sie das Kontrollkästchen. Wenn Sie bereits Schlüssel haben, können Sie diese aus den Kennungen auswählen, die in einem Drop-down-Menü angezeigt werden. Sie können einen neuen Schlüssel generieren, indem Sie Schlüssel erstellen wählen. Sie können jederzeit einen KMS Schlüssel hinzufügen oder ändern, wenn Sie Ihre landing zone aktualisieren.

Wenn Sie landing zone einrichten auswählen, führt der AWS Control Tower eine Vorabprüfung durch, um Ihren KMS Schlüssel zu validieren. Der Schlüssel muss die folgenden Anforderungen erfüllen:

Möglicherweise wird ein Fehlerbanner angezeigt, wenn der Schlüssel diese Anforderungen nicht erfüllt. Wählen Sie in diesem Fall einen anderen Schlüssel oder generieren Sie einen Schlüssel. Achten Sie darauf, die Berechtigungsrichtlinie des Schlüssels wie im nächsten Abschnitt beschrieben zu bearbeiten.

Aktualisieren Sie die KMS Schlüsselrichtlinie

Bevor Sie eine KMS wichtige Richtlinie aktualisieren können, müssen Sie einen KMS Schlüssel erstellen. Weitere Informationen finden Sie unter Erstellen einer Schlüsselrichtlinie im AWS Key Management Service -Entwicklerhandbuch.

Um einen KMS Schlüssel mit AWS Control Tower zu verwenden, müssen Sie die KMS Standardschlüsselrichtlinie aktualisieren, indem Sie die erforderlichen Mindestberechtigungen für AWS Config und hinzufügen AWS CloudTrail. Als bewährte Methode empfehlen wir, dass Sie die erforderlichen Mindestberechtigungen in jede Richtlinie aufnehmen. Wenn Sie eine KMS wichtige Richtlinie aktualisieren, können Sie Berechtigungen als Gruppe in einer einzelnen JSON Anweisung oder Zeile für Zeile hinzufügen.

Das Verfahren beschreibt, wie die standardmäßige KMS Schlüsselrichtlinie in der AWS KMS Konsole aktualisiert wird, indem Richtlinienanweisungen hinzugefügt werden, die Verschlüsselung zulassen AWS Config und CloudTrail AWS KMS für diese verwendet werden. Die Richtlinienerklärungen erfordern, dass Sie die folgenden Informationen angeben:

Beispiel für eine KMS wichtige Richtlinie

Die folgende Beispielrichtlinie zeigt, wie Ihre KMS Schlüsselrichtlinie aussehen könnte, nachdem Sie die Richtlinienerklärungen hinzugefügt haben, die Berechtigungen gewähren AWS Config und CloudTrail die erforderlichen Mindestberechtigungen angeben. Die Beispielrichtlinie enthält nicht Ihre standardmäßige KMS Schlüsselrichtlinie.

{
    "Version": "2012-10-17",
    "Id": "CustomKMSPolicy",
    "Statement": [
        {
        ... YOUR-EXISTING-POLICIES ...
        },
        {
            "Sid": "Allow Config to use KMS for encryption",
            "Effect": "Allow",
            "Principal": {
                "Service": "config.amazonaws.com"
            },
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:YOUR-HOME-REGION:YOUR-MANAGEMENT-ACCOUNT-ID:key/YOUR-KMS-KEY-ID"
        },
        {
            "Sid": "Allow CloudTrail to use KMS for encryption",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudtrail.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
              ],
            "Resource": "arn:aws:kms:YOUR-HOME-REGION:YOUR-MANAGEMENT-ACCOUNT-ID:key/YOUR-KMS-KEY-ID",
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": "arn:aws:cloudtrail:YOUR-HOME-REGION:YOUR-MANAGEMENT-ACCOUNT-ID:trail/aws-controltower-BaselineCloudTrail"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:cloudtrail:arn": "arn:aws:cloudtrail:*:YOUR-MANAGEMENT-ACCOUNT-ID:trail/*"
                }
            }
        }
    ]
}
                    

Weitere Beispielrichtlinien finden Sie auf den folgenden Seiten:

Mit AWS Key Management Service (AWS KMS) können Sie Schlüssel mit mehreren Regionen und asymmetrische KMS Schlüssel erstellen. AWS Control Tower unterstützt jedoch keine Schlüssel mit mehreren Regionen oder asymmetrische Schlüssel. AWSControl Tower führt eine Vorabprüfung Ihrer vorhandenen Schlüssel durch. Möglicherweise wird eine Fehlermeldung angezeigt, wenn Sie einen Schlüssel mit mehreren Regionen oder einen asymmetrischen Schlüssel auswählen. Generieren Sie in diesem Fall einen weiteren Schlüssel zur Verwendung mit AWS Control Tower Tower-Ressourcen.

Weitere Informationen zu AWS KMS finden Sie im AWS KMS Entwicklerhandbuch.

Beachten Sie, dass Kundendaten im AWS Control Tower im Ruhezustand standardmäßig mit SSE -S3 verschlüsselt werden.