Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verschlüsselung im Ruhezustand: So verwenden Sie vom Kunden verwaltete Schlüssel, um Tabellen in Amazon Keyspaces zu verschlüsseln

Sie können die Konsolen- oder CQL-Anweisungen verwenden, um dieAWS KMS key für neue Tabellen anzugeben und die Verschlüsselungsschlüssel vorhandener Tabellen in Amazon Keyspaces zu aktualisieren. Im folgenden Thema wird beschrieben, wie vom Kunden verwaltete Schlüssel für neue und bestehende Tabellen implementiert werden.

Voraussetzungen: Erstellen Sie einen vom Kunden verwalteten Schlüssel mithilfe von Amazon KeyspacesAWS KMS und gewähren Sie diesen Berechtigungen

Bevor Sie eine Amazon Keyspaces-Tabelle mit einem vom Kunden verwalteten Schlüssel schützen können, müssen Sie zuerst den Schlüssel inAWS Key Management Service (AWS KMS) erstellen und dann Amazon Keyspaces autorisieren, diesen Schlüssel zu verwenden.

Schritt 1: Erstellen eines kundenverwalteten Schlüssel mitAWS KMS

Um einen vom Kunden verwalteten Schlüssel zu erstellen, der zum Schutz einer Amazon Keyspaces-Tabelle verwendet werden soll, folgen Sie den Schritten unter Erstellen symmetrischer Verschlüsselungs-KMS-Schlüssel mithilfe der Konsole oder derAWS API.

Schritt 2: Autorisieren Sie die Verwendung Ihres vom Kunden verwalteten Schlüssels

Bevor Sie einen kundenverwalteten Schlüssel zum Schutz einer Amazon Keyspaces-Tabelle auswählen können, müssen die Richtlinien für diesen kundenverwalteten Schlüssel Amazon Keyspaces zu seiner Verwendung in Ihrem Namen berechtigen. Sie haben volle Kontrolle über die Richtlinien und Erteilungen für den vom Kunden verwalteten Schlüssel. Sie können diese Berechtigungen in einer Schlüsselrichtlinie, einer IAM-Richtlinie oder einer Erteilung bereitstellen.

Amazon Keyspaces benötigt keine zusätzliche Autorisierung, um die Amazon Keyspaces-Tabellen in IhremAWS Konto mit der Standardeinstellung AWS-eigener Schlüsselzu schützen.

In den folgenden Themen wird gezeigt, wie Sie die erforderlichen Berechtigungen mithilfe von IAM-Richtlinien und Zuschüssen konfigurieren, die es Amazon Keyspaces-Tabellen ermöglichen, einen vom Kunden verwalteten Schlüssel zu verwenden.

Schlüsselverwaltete

Wenn Sie einen kundenverwalteten Schlüssel zum Schutz einer Amazon Keyspaces-Tabelle auswählen, erhält Amazon Keyspaces die Berechtigung, den kundenverwalteten Schlüssel im Namen des Prinzipals zu verwenden, der die Auswahl trifft. Dieser Prinzipal, ein Benutzer oder eine Rolle, muss über die Berechtigungen für den kundenverwalteten Schlüssel verfügen, die Amazon Keyspaces benötigt.

Amazon Keyspaces erfordert mindestens die folgenden Berechtigungen für einen kundenverwalteten Schlüssel:

Beispiel für eine Schlüsselrichtlinie

Beispielsweise bietet die folgende Beispiel-Schlüsselrichtlinie nur die erforderlichen Berechtigungen. Die Richtlinie hat folgende Auswirkungen:

Bevor Sie eine Beispiel-Schlüsselrichtlinie verwenden, ersetzen Sie die Beispiel-Prinzipale durch tatsächliche Prinzipale aus Ihrem AWS-Konto.

{
  "Id": "key-policy-cassandra",
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid" : "Allow access through Amazon Keyspaces for all principals in the account that are authorized to use Amazon Keyspaces",
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::111122223333:user/db-lead"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey",
        "kms:CreateGrant"
      ],
      "Resource": "*",      
      "Condition": { 
         "StringLike": {
           "kms:ViaService" : "cassandra.*.amazonaws.com"
         }
      }
    },
    {
      "Sid":  "Allow administrators to view the customer managed key and revoke grants",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/db-team"
       },
      "Action": [
        "kms:Describe*",
        "kms:Get*",
        "kms:List*",
        "kms:RevokeGrant"
      ],
      "Resource": "*"
    }
  ]
}

Verwenden von Erteilungen zum Autorisieren von Amazon Keyspaces

Zusätzlich zu den wichtigsten Richtlinien verwendet Amazon Keyspaces Erteilungen, um Berechtigungen für einen kundenverwalteten Schlüssel festzulegen. Verwenden Sie den ListGrantsVorgang, um die Zuschüsse für einen vom Kunden verwalteten Schlüssel in Ihrem Konto einzusehen. Amazon Keyspaces benötigt keine Erteilungen oder zusätzliche Berechtigungen, um die zum Schutz Ihrer Tabelle AWS-eigener Schlüsselzu verwenden.

Amazon Keyspaces verwendet die Berechtigungen zum Ausführen von Hintergrundsystemwartung und kontinuierlichen Datenschutzaufgaben. Außerdem werden Erteilungen verwenden, um Tabellenschlüssel zu generieren.

Jede Erteilung ist tabellenspezifisch. Wenn das Konto mehrere Tabellen enthält, die mit demselben vom Kunden verwalteten Schlüssel verschlüsselt sind, wird für jede Tabelle ein Erteilung für jeden Typ gewährt. Die Gewährung ist durch den Amazon Keyspaces-Verschlüsselungskontext eingeschränkt, der den Tabellennamen und dieAWS-Konto ID umfasst. Der Zuschuss beinhaltet die Erlaubnis, den Zuschuss zurückzuziehen, wenn er nicht mehr benötigt wird.

Zum Erstellen von Erteilungen muss Amazon Keyspaces über die Berechtigung verfügen,CreateGrant im Namen des Benutzers anzurufen, der die verschlüsselte Tabelle erstellt hat.

Die Schlüsselrichtlinie kann es dem Konto auch erlauben, die Erteilung für den vom Kunden verwalteten Schlüssel zu widerrufen. Wenn Sie jedoch die Erteilung für eine aktive verschlüsselte Tabelle widerrufen, kann Amazon Keyspaces die Tabelle nicht mehr schützen und pflegen.

Schritt 3: Geben eines vom Kunden verwalteten Schlüssel für eine neue Tabelle an

Führen Sie die folgenden Schritte aus, um den kundenverwalteten Schlüssel in einer neuen Tabelle mithilfe der Amazon Keyspaces-Konsole oder CQL anzugeben.

Erstellen einer verschlüsselten Tabelle mit einem vom Kunden verwalteten Schlüssel (Konsole)

Erstellen einer neuen Tabelle mit einem kundenverwalteten Schlüssel für Verschlüsselung im Ruhezustand (CQL)

Um eine neue Tabelle zu erstellen, die einen kundenverwalteten Schlüssel für die Verschlüsselung im Ruhezustand verwendet, können Sie dieCREATE TABLE Anweisung wie im folgenden Beispiel gezeigt verwenden. Stellen Sie sicher, dass Sie den Schlüssel-ARN durch einen ARN ersetzen, um einen gültigen Schlüssel mit Berechtigungen zu erhalten, die Amazon Keyspaces gewährt wurden.

CREATE TABLE my_keyspace.my_table(id bigint, name text, place text STATIC, PRIMARY KEY(id, name)) WITH CUSTOM_PROPERTIES = {
        'encryption_specification':{
                'encryption_type': 'CUSTOMER_MANAGED_KMS_KEY', 
                'kms_key_identifier':'arn:aws:kms:eu-west-1:5555555555555:key/11111111-1111-111-1111-111111111111'
            }
    };

Wenn Sie eine erhaltenInvalid Request Exception, müssen Sie bestätigen, dass der vom Kunden verwaltete Schlüssel gültig ist und Amazon Keyspaces über die erforderlichen Berechtigungen verfügt. Um zu überprüfen, ob der Schlüssel korrekt konfiguriert wurde, finden Sie imAWS Key Management Service Entwicklerhandbuch unter Problembehandlung beim Schlüsselzugriff.

Schritt 4: Den Verschlüsselungsschlüssel einer vorhandenen Tabelle aktualisieren

Sie können auch die Amazon Keyspaces-Konsole oder CQL verwenden, um die Verschlüsselungsschlüssel einer vorhandenen Tabelle jederzeit zwischen einem vom Kunden verwalteten KMS-SchlüsselAWS-eigener Schlüssel und einem vom Kunden verwalteten KMS-Schlüssel zu ändern.

Aktualisieren Sie eine vorhandene Tabelle mit dem neuen vom Kunden verwalteten Schlüssel (Konsole)

Aktualisieren des Verschlüsselungsschlüssels, der für eine vorhandene Tabelle verwendet wurde

Um den Verschlüsselungsschlüssel einer vorhandenen Tabelle zu ändern, verwenden Sie dieALTER TABLE Anweisung, um einen vom Kunden verwalteten Schlüssel für die Verschlüsselung im Ruhezustand anzugeben. Stellen Sie sicher, dass Sie den Schlüssel-ARN durch einen ARN ersetzen, um einen gültigen Schlüssel mit Berechtigungen zu erhalten, die Amazon Keyspaces gewährt wurden.

ALTER TABLE my_keyspace.my_table WITH CUSTOM_PROPERTIES = {     
              'encryption_specification':{ 
                      'encryption_type': 'CUSTOMER_MANAGED_KMS_KEY', 
                      'kms_key_identifier':'arn:aws:kms:eu-west-1:5555555555555:key/11111111-1111-111-1111-111111111111'     
                  } 
         };

Wenn Sie eine erhaltenInvalid Request Exception, müssen Sie bestätigen, dass der vom Kunden verwaltete Schlüssel gültig ist und Amazon Keyspaces über die erforderlichen Berechtigungen verfügt. Um zu überprüfen, ob der Schlüssel korrekt konfiguriert wurde, finden Sie imAWS Key Management Service Entwicklerhandbuch unter Problembehandlung beim Schlüsselzugriff.

Um den Verschlüsselungsschlüssel wieder auf die Standardoption Encryption at Rest mit zu ändernAWS-eigene Schlüssel, können Sie dieALTER TABLE Anweisung verwenden, wie im folgenden Beispiel gezeigt.

ALTER TABLE my_keyspace.my_table WITH CUSTOM_PROPERTIES = {
                'encryption_specification':{
                      'encryption_type' : 'AWS_OWNED_KMS_KEY' 
                    } 
         };

Schritt 5: Verwenden Sie den Amazon Keyspaces-Verschlüsselungskontext in Protokollen

Ein Verschlüsselungskontext ist eine Gruppe von Schlüssel/Wert-Paaren mit willkürlichen, nicht geheimen Daten. Wenn Sie einen Verschlüsselungskontext in eine Anforderung zur Verschlüsselung von Daten aufnehmen, bindet AWS KMS den Verschlüsselungskontext kryptografisch an die verschlüsselten Daten. Zur Entschlüsselung der Daten müssen Sie denselben Verschlüsselungskontext übergeben.

Amazon Keyspaces verwendet in allenAWS KMS kryptografischen Operationen denselben Verschlüsselungskontext. Wenn Sie einen kundenverwalteten Schlüssel zum Schutz Ihrer Amazon Keyspaces-Tabelle verwenden, können Sie anhand des Verschlüsselungskontexts die Verwendung des vom Kunden verwalteten Schlüssel in Prüfungs-Datensätzen und -Protokollen identifizieren. Es erscheint auch im Klartext in Protokollen, z. B. in Protokollen für AWS CloudTrailund Amazon CloudWatch Logs.

In den Anforderungen anAWS KMS verwendet Amazon Keyspaces einen Verschlüsselungskontext mit drei Schlüssel-Wert-Paaren.

"encryptionContextSubset": {
    "aws:cassandra:keyspaceName": "my_keyspace",
    "aws:cassandra:tableName": "mytable"
    "aws:cassandra:subscriberId": "111122223333"
}

Schritt 6: Konfigurieren Sie die Überwachung mitAWS CloudTrail

Wenn Sie einen kundenverwalteten Schlüssel zum Schutz Ihrer Amazon-Keyspaces-Tabellen verwenden, können Sie mithilfe vonAWS CloudTrail -Protokollen, die Anforderungen nachverfolgen, die Amazon Keyspaces in Ihrem NamenAWS KMS an sendet.

DieGenerateDataKey,DescribeKeyDecrypt, undCreateGrant Anfragen werden in diesem Abschnitt behandelt. Darüber hinaus verwendet Amazon Keyspaces einen RetireGrantVorgang, um einen Zuschuss zu entfernen, wenn Sie eine Tabelle löschen.