Schlüsselverwaltung in AWS IoT FleetWise

AWS Verwaltung von FleetWise IoT-Cloud-Schlüsseln

Standardmäßig FleetWise verwendet AWS IoT Von AWS verwaltete Schlüssel zum Schutz Ihrer Daten in der AWS Cloud. Sie können Ihre Einstellungen aktualisieren, um einen vom Kunden verwalteten Schlüssel zum Verschlüsseln von Daten in AWS IoT FleetWise zu verwenden. Sie können Ihren Verschlüsselungsschlüssel über AWS Key Management Service (AWS KMS) erstellen, verwalten und einsehen.

AWS IoT FleetWise unterstützt serverseitige Verschlüsselung, wobei vom Kunden verwaltete Schlüssel gespeichert werden AWS KMS , um Daten für die folgenden Ressourcen zu verschlüsseln.

Weitere Informationen finden Sie unter Was ist AWS Key Management Service? im AWS Key Management Service Entwicklerhandbuch.

Aktivieren Sie die Verschlüsselung mit KMS-Schlüsseln (Konsole)

Um vom Kunden verwaltete Schlüssel mit AWS IoT zu verwenden FleetWise, müssen Sie Ihre AWS FleetWise IoT-Einstellungen aktualisieren.

Aktivieren Sie die Verschlüsselung mit KMS-Schlüsseln (AWS CLI)

Sie können den PutEncryptionConfiguration API-Vorgang verwenden, um die Verschlüsselung für Ihr AWS FleetWise IoT-Konto zu aktivieren. Das folgende Beispiel verwendet AWS CLI.

Führen Sie den folgenden Befehl aus, um die Verschlüsselung zu aktivieren.

aws iotfleetwise put-encryption-configuration \
      --encryption-type KMS_BASED_ENCRYPTION \
      --kms-key-id kms_key_id

{
 "kmsKeyId": "customer_kms_key_id",
 "encryptionStatus": "PENDING",
 "encryptionType": "KMS_BASED_ENCRYPTION"
}

KMS-Schlüsselrichtlinie

Nachdem Sie einen KMS-Schlüssel erstellt haben, müssen Sie Ihrer KMS-Schlüsselrichtlinie mindestens die folgende Anweisung hinzufügen, damit sie mit AWS IoT funktioniert FleetWise. Der AWS FleetWise IoT-Dienstprinzipal iotfleetwise.amazonaws.com in der KMS-Schlüsselrichtlinie ermöglicht AWS IoT den FleetWise Zugriff auf den KMS-Schlüssel.

{
  "Sid": "Allow FleetWise to encrypt and decrypt data when customer managed KMS key based encryption is enabled",
  "Effect": "Allow",
  "Principal": {
    "Service": "iotfleetwise.amazonaws.com"
  },
  "Action": [
    "kms:GenerateDataKey*",
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:DescribeKey",
    "kms:CreateGrant",
    "kms:RetireGrant",
    "kms:RevokeGrant"
  ],
  "Resource": "*"
}

Aus Sicherheitsgründen empfiehlt es sich, der KMS-Schlüsselrichtlinie Schlüssel hinzuzufügen aws:SourceArn und mit aws:SourceAccount Bedingungen zu versehen. Mit dem globalen IAM-Bedingungsschlüssel wird aws:SourceArn sichergestellt, dass AWS IoT den KMS-Schlüssel nur für dienstspezifische Ressourcennamen (ARNs) von Amazon Resource Names (ARNs) FleetWise verwendet.

Wenn Sie den Wert von festlegenaws:SourceArn, muss dies immer der Wert sein. arn:aws:iotfleetwise:us-east-1:account_id:* Dadurch kann der KMS-Schlüssel dafür auf alle AWS FleetWise IoT-Ressourcen zugreifen AWS-Konto. AWS IoT FleetWise unterstützt einen KMS-Schlüssel pro Konto für alle darin enthaltenen Ressourcen AWS-Region. Wenn Sie einen anderen Wert für das SourceArn verwenden oder den Platzhalter (*) für das ARN-Ressourcenfeld nicht verwenden, wird verhindert, dass AWS IoT FleetWise auf den KMS-Schlüssel zugreift.

Der Wert von aws:SourceAccount ist Ihre Konto-ID, die verwendet wird, um den KMS-Schlüssel weiter einzuschränken, sodass er nur für Ihr bestimmtes Konto verwendet werden kann. Wenn Sie dem KMS-Schlüssel Schlüssel hinzufügen aws:SourceAccount und ihm eine aws:SourceArn Bedingung zuweisen, stellen Sie sicher, dass der Schlüssel von keinem anderen Dienst oder Konto verwendet wird. Dies hilft, Fehler zu vermeiden.

Die folgende Richtlinie umfasst einen Dienstprinzipal (eine Kennung für einen Dienst) sowie aws:SourceAccount eine aws:SourceArn Einrichtung zur Verwendung auf der Grundlage der AWS-Region und Ihrer Konto-ID.

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {
    "Service": "iotfleetwise.amazonaws.com"
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*",
    "kms:DescribeKey"
  ],
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "aws:SourceAccount": "AWS-account-ID"
    },
    "ArnLike": {
      "aws:SourceArn": "arn:aws:iotfleetwise:region:AWS-account-ID:*"
    }
  }
}

Weitere Informationen zum Bearbeiten einer KMS-Schlüsselrichtlinie für die Verwendung mit AWS IoT FleetWise finden Sie unter Ändern einer Schlüsselrichtlinie im AWS Key Management Service Entwicklerhandbuch.

Berechtigungen für AWS KMS Verschlüsselung

Wenn Sie die AWS KMS Verschlüsselung aktiviert haben, müssen Sie in der Rollenrichtlinie Berechtigungen angeben, damit Sie AWS FleetWise IoT-APIs aufrufen können. Die folgende Richtlinie ermöglicht den Zugriff auf alle AWS FleetWise IoT-Aktionen sowie auf AWS KMS bestimmte Berechtigungen.

Die folgende Richtlinienerklärung ist erforderlich, damit Ihre Rolle Verschlüsselungs-APIs aufrufen kann. Diese Grundsatzerklärung ermöglicht PutEncryptionConfiguration und unterstützt GetEncryptionConfiguration Maßnahmen von AWS IoT FleetWise.

Erholung danach AWS KMS Löschen des Schlüssels

Wenn Sie einen AWS KMS Schlüssel löschen, nachdem Sie die Verschlüsselung mit AWS IoT aktiviert haben FleetWise, müssen Sie Ihr Konto zurücksetzen, indem Sie alle Daten löschen, bevor Sie AWS IoT FleetWise erneut verwenden. Sie können die Liste verwenden und API-Operationen löschen, um die Ressourcen in Ihrem Konto zu bereinigen.

Sie müssen die Ressourcen in der folgenden Reihenfolge bereinigen.