Verschlüsselung im Ruhezustand Verschlüsselung bei Übertragung und Verarbeitung Wie Amazon Forecast Zuschüsse verwendet in AWS KMS Erstellen eines kundenseitig verwalteten Schlüssels Überwachung Ihrer Verschlüsselungsschlüssel für Amazon Forecast Service

Datenschutz bei Amazon Forecast

Das Modell der AWS geteilten Verantwortung (Modell der gilt für den Datenschutz in Amazon Forecast. Wie in diesem Modell beschrieben, AWS ist es für den Schutz der globalen Infrastruktur verantwortlich, auf der das gesamte System läuft AWS Cloud. Sie sind dafür verantwortlich, die Kontrolle über Ihre in dieser Infrastruktur gehosteten Inhalte zu behalten. Sie sind auch für die Sicherheitskonfiguration und die Verwaltungsaufgaben für die von Ihnen verwendeten AWS-Services verantwortlich. Weitere Informationen zum Datenschutz finden Sie unter Häufig gestellte Fragen zum Datenschutz in der Region . Weitere Informationen zum Datenschutz in Europa finden Sie im Zentrum für die Datenschutz-Grundverordnung (DSGVO).

Aus Datenschutzgründen empfehlen wir, Ihre AWS-Konto Anmeldeinformationen zu schützen und einzelne Benutzer mit AWS IAM Identity Center oder AWS Identity and Access Management (IAM) einzurichten. So erhält jeder Benutzer nur die Berechtigungen, die zum Durchführen seiner Aufgaben erforderlich sind. Außerdem empfehlen wir, die Daten mit folgenden Methoden schützen:

Verwenden Sie für jedes Konto die Multi-Faktor-Authentifizierung (MFA).
Wird verwendet SSL/TLS , um mit AWS Ressourcen zu kommunizieren. Wir benötigen TLS 1.2 und empfehlen TLS 1.3.
Richten Sie die API und die Protokollierung von Benutzeraktivitäten mit ein AWS CloudTrail. Informationen zur Verwendung von CloudTrail Pfaden zur Erfassung von AWS Aktivitäten findest du unter Arbeiten mit CloudTrail Pfaden im AWS CloudTrail Benutzerhandbuch.
Verwenden Sie AWS Verschlüsselungslösungen zusammen mit allen darin enthaltenen Standardsicherheitskontrollen AWS-Services.
Verwenden Sie erweiterte verwaltete Sicherheitsservices wie Amazon Macie, die dabei helfen, in Amazon S3 gespeicherte persönliche Daten zu erkennen und zu schützen.
Wenn Sie für den Zugriff AWS über eine Befehlszeilenschnittstelle oder eine API FIPS 140-3-validierte kryptografische Module benötigen, verwenden Sie einen FIPS-Endpunkt. Weitere Informationen über verfügbare FIPS-Endpunkte finden Sie unter Federal Information Processing Standard (FIPS) 140-3.

Wir empfehlen dringend, in Freitextfeldern, z. B. im Feld Name, keine vertraulichen oder sensiblen Informationen wie die E-Mail-Adressen Ihrer Kunden einzugeben. Dies gilt auch, wenn Sie mithilfe der Konsole, der API oder der SDKs AWS-Services mit Forecast oder anderen Geräten arbeiten. AWS CLI AWS Alle Daten, die Sie in Tags oder Freitextfelder eingeben, die für Namen verwendet werden, können für Abrechnungs- oder Diagnoseprotokolle verwendet werden. Wenn Sie eine URL für einen externen Server bereitstellen, empfehlen wir dringend, keine Anmeldeinformationen zur Validierung Ihrer Anforderung an den betreffenden Server in die URL einzuschließen.

Verschlüsselung im Ruhezustand

In Amazon Forecast wird die Verschlüsselungskonfiguration während der CreateDataset UND CreatePredictor -Operationen bereitgestellt. Wenn im CreateDataset Vorgang eine Verschlüsselungskonfiguration bereitgestellt wird, wird Ihre CMK- und IAM-Rolle für die Verschlüsselung im Ruhezustand für den CreateDatasetImportJob Vorgang verwendet.

Wenn Sie beispielsweise Ihre Schlüssel KMSKeyArn und a RoleArn in der EncryptionConfig Anweisung des CreateDataset Vorgangs angeben, übernimmt Forecast diese Rolle und verwendet den Schlüssel zum Verschlüsseln des Datensatzes. Wenn keine Konfiguration bereitgestellt wird, verwendet Forecast die Standard-Serviceschlüssel für die Verschlüsselung. Wenn Sie außerdem die EncryptionConfig Informationen für den CreatePredictor Vorgang angeben, verwenden alle nachfolgenden Vorgänge, wie z. B. CreateForecast und CreatePredictorExplanability CreatePredictorBacktestExportJob, dieselbe Konfiguration, um die Verschlüsselung im Ruhezustand durchzuführen. Auch hier gilt: Wenn Sie keine Verschlüsselungskonfiguration angeben, verwendet Forecast die standardmäßige Dienstverschlüsselung.

Für alle in Ihrem Amazon S3-Bucket gespeicherten Daten werden die Daten mit dem standardmäßigen Amazon S3-Schlüssel verschlüsselt. Sie können auch Ihren eigenen AWS KMS Schlüssel verwenden, um Ihre Daten zu verschlüsseln und Forecast Zugriff auf diesen Schlüssel zu gewähren. Informationen zur Datenverschlüsselung in Amazon S3 finden Sie unter Daten mithilfe von Verschlüsselung https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingEncryption.html schützen. Informationen zur Verwaltung Ihres eigenen AWS KMS Schlüssels finden Sie unter Schlüssel verwalten im AWS Key Management Service Entwicklerhandbuch.

Verschlüsselung bei Übertragung und Verarbeitung

Amazon Forecast verwendet TLS mit AWS Zertifikaten, um alle an andere AWS Dienste gesendeten Daten zu verschlüsseln. Jegliche Kommunikation mit anderen AWS Diensten erfolgt über HTTPS, und Forecast-Endpunkte unterstützen nur sichere Verbindungen über HTTPS.

Amazon Forecast kopiert Daten aus Ihrem Konto und verarbeitet sie in einem internen AWS System. Bei der Verarbeitung von Daten verschlüsselt Forecast Daten entweder mit einem AWS KMS Forecast-Schlüssel oder einem beliebigen AWS KMS Schlüssel, den Sie angeben.

Wie Amazon Forecast Zuschüsse verwendet in AWS KMS

Amazon Forecast benötigt einen Zuschuss, um Ihren vom Kunden verwalteten Schlüssel verwenden zu können.

Forecast erstellt einen Zuschuss mithilfe der IAM-Rolle, die während des EncryptionConfig CreateDataset OR-Vorgangs vergeben wird. CreatePredictor Forecast übernimmt die Rolle und führt in Ihrem Namen einen Vorgang zum Erstellen eines Zuschusses durch. Weitere Informationen finden Sie unter IAM-Rolle https://docs.aws.amazon.com/forecast/latest/dg/aws-forecast-iam-roles.html einrichten.

Wenn Sie jedoch einen Prädiktor erstellen, der mit einem vom Kunden verwalteten Schlüssel verschlüsselt ist, erstellt Amazon Forecast in Ihrem Namen einen Zuschuss, indem es eine CreateGrant Anfrage an sendet. AWS KMS Zuschüsse AWS KMS werden verwendet, um Amazon Forecast Zugriff auf einen AWS KMS Schlüssel in einem Kundenkonto zu gewähren.

Amazon Forecast benötigt den Zuschuss, damit es Ihren vom Kunden verwalteten Schlüssel zum Senden von Entschlüsselungsanfragen verwenden kann, AWS KMS um die verschlüsselten Datensatz-Artefakte lesen zu können. Forecast verwendet den Zuschuss auch, um GenerateDataKey Anfragen AWS KMS an diese zu senden, um die Trainingsartefakte wieder an Amazon S3 zu verschlüsseln.

Sie können den Zugriff auf die Genehmigung jederzeit widerrufen oder den Zugriff des Services auf den vom Kunden verwalteten Schlüssel entfernen. Wenn Sie dies tun, kann Amazon Forecast auf keine der Daten zugreifen, die mit dem vom Kunden verwalteten Schlüssel verschlüsselt wurden. Dies wirkt sich auf Vorgänge aus, die von diesen Daten abhängig sind. Wenn Sie beispielsweise versuchen, den CreateForecast Vorgang mit einem verschlüsselten Prädiktor auszuführen, auf den Amazon Forecast nicht zugreifen kann, gibt der Vorgang einen AccessDeniedException Fehler zurück.

Erstellen eines kundenseitig verwalteten Schlüssels

Sie können einen symmetrischen, vom Kunden verwalteten Schlüssel erstellen, indem Sie die AWS-Managementkonsole oder die AWS KMS API verwenden. Um einen symmetrischen, vom Kunden verwalteten Schlüssel zu erstellen, folgen Sie den Schritten unter Erstellen eines symmetrischen, vom Kunden verwalteten Schlüssels im AWS Key Management Service Entwicklerhandbuch.

Schlüsselrichtlinien steuern den Zugriff auf den vom Kunden verwalteten Schlüssel. Jeder vom Kunden verwaltete Schlüssel muss über genau eine Schlüsselrichtlinie verfügen, die aussagt, wer den Schlüssel wie verwenden kann. Wenn Sie Ihren kundenseitig verwalteten Schlüssel erstellen, können Sie eine Schlüsselrichtlinie angeben. Weitere Informationen finden Sie unter Verwalten des Zugriffs auf kundenverwaltete Schlüssel im Entwicklerhandbuch zum AWS Key Management Service .

Um Ihren vom Kunden verwalteten Schlüssel mit Amazon Forecast-Ressourcen zu verwenden, müssen die folgenden API-Operationen in der Schlüsselrichtlinie zulässig sein:

kms: DescribeKey — Stellt die vom Kunden verwalteten Schlüsseldetails bereit, anhand derer Amazon Forecast den Schlüssel validieren kann.
kms: CreateGrant — Fügt einem vom Kunden verwalteten Schlüssel einen Zuschuss hinzu. Gewährt Kontrollzugriff auf einen bestimmten AWS KMS Schlüssel, der den Zugriff auf Fördervorgänge ermöglicht, die Amazon Forecast benötigt. Dieser Vorgang ermöglicht es Amazon ForecastGenerateDataKey, einen verschlüsselten Datenschlüssel aufzurufen und zu speichern, da der Datenschlüssel nicht sofort für die Verschlüsselung verwendet wird. Außerdem ermöglicht der Vorgang Amazon Forecast, einen Anruf zu tätigen, Decrypt sodass der gespeicherte verschlüsselte Datenschlüssel verwendet und auf die verschlüsselten Daten zugegriffen werden kann.
kms: RetireGrant — Alle während des CreateGrant Betriebs gewährten Zuschüsse werden nach Abschluss des Vorgangs zurückgezogen.

Anmerkung

Amazon Forecast führt eine kms:Decrypt kms:GenerateDataKey Überprüfung der Identität des Anrufers durch. Sie erhalten eine Benachrichtigung für den AccessDeniedException Fall, dass der Anrufer nicht über die entsprechenden Berechtigungen verfügt. Die Schlüsselrichtlinie sollte außerdem dem folgenden Code ähneln:


"Effect": "Allow",
"Principal": {
    "AWS": “AWS Invoking Identity”
},
"Action": [
    "kms:Decrypt",
    "kms:GenerateDataKey”
    ],
    "Resource": "*"
}

Weitere Informationen finden Sie unter IAM-Richtlinie.

Im Folgenden finden Sie Beispiele für Richtlinienerklärungen, die Sie für Amazon Forecast hinzufügen können. Dies sind die Mindestberechtigungen, die erforderlich sind. Diese können auch mithilfe von IAM-Richtlinien hinzugefügt werden.


  "Statement" : [ 
    {"Sid" : "Allow access to principals authorized to use Amazon Forecast",
      "Effect" : "Allow",
      "Principal" : {"AWS" : "arn:aws:iam::111122223333:role/ROLE_PASSED_TO_FORECAST"
      },
      "Action" : [ 
        "kms:DescribeKey", 
        "kms:CreateGrant",
        "kms:RetireGrant"
      ],
      "Resource" : "*",
      "Condition" : {"StringEquals" : {"kms:ViaService" : "forecast.region.amazonaws.com",
          "kms:CallerAccount" : "111122223333"
        }
    },
    {"Sid": "Allow access for key administrators",
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::111122223333:root"
       },
      "Action" : [ 
        "kms:*"
       ],
      "Resource": "arn:aws:kms:region:111122223333:key/key_ID"
    }
  ]

Weitere Informationen zur Angabe von Berechtigungen in einer Richtlinie und zur Problembehandlung beim Schlüsselzugriff finden Sie im AWS Key Management Service Entwicklerhandbuch.

Überwachung Ihrer Verschlüsselungsschlüssel für Amazon Forecast Service

Wenn Sie einen vom AWS KMS Kunden verwalteten Schlüssel für Ihre Amazon Forecast Service-Ressourcen verwenden, können Sie Amazon CloudWatch Logs verwenden AWS CloudTrail, um Anfragen zu verfolgen, an die Forecast sendet AWS KMS. Die folgenden Beispiele sind AWS CloudTrail Ereignisse für und DescribeKey zur Überwachung von AWS KMS Vorgängen CreateGrantRetireGrant, die von Amazon Forecast aufgerufen wurden, um auf Daten zuzugreifen, die mit Ihrem kundenverwalteten Schlüssel verschlüsselt wurden.

DescribeKey


{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-10-05T21:16:23Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2022-10-05T21:16:23Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "DescribeKey",
    "awsRegion": "region",
    "sourceIPAddress": "172.12.34.56",
    "userAgent": "ExampleDesktop/1.0 (V1; OS)",
    "requestParameters": {
        "keyId": "arn:aws:kms:region:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "responseElements": null,
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:region:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES256-GCM-SHA384",
        "clientProvidedHostHeader": "kms.region.amazonaws.com"
    }
}

CreateGrant


{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-10-05T23:10:27Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2022-10-05T23:10:27Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "CreateGrant",
    "awsRegion": "region",
    "sourceIPAddress": "172.12.34.56",
    "userAgent": "ExampleDesktop/1.0 (V1; OS)",
    "requestParameters": {
        "operations": [
            "Decrypt",
            "GenerateDataKey"
        ],
        "granteePrincipal": "AWS Internal",
        "keyId": "arn:aws:kms:region:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "responseElements": {
        "grantId": "0ab0ac0d0b000f00ea00cc0a0e00fc00bce000c000f0000000c0bc0a0000aaafSAMPLE"
    },
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:region:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES256-GCM-SHA384",
        "clientProvidedHostHeader": "kms.region.amazonaws.com"
    }
}

RetireGrant


{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-10-06T04:56:14Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2022-10-06T04:56:14Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "RetireGrant",
    "awsRegion": "region",
    "sourceIPAddress": "172.12.34.56",
    "userAgent": "ExampleDesktop/1.0 (V1; OS)",
    "requestParameters": null,
    "responseElements": null,
    "additionalEventData": {
        "grantId": "0ab0ac0d0b000f00ea00cc0a0e00fc00bce000c000f0000000c0bc0a0000aaafSAMPLE"
    },
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:region:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES256-GCM-SHA384",
        "clientProvidedHostHeader": "kms.region.amazonaws.com"
    }
}

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

Sicherheit

Identitäts- und Zugriffsverwaltung