Sicherheit der Infrastruktur in AWS Key Management Service

Als verwalteter Service ist AWS Key Management Service (AWS KMS) durch die globalen AWS-Verfahren der Netzwerksicherheit geschützt, die im Whitepaper Amazon Web Services: Übersicht über die Sicherheitsprozesse beschrieben werden.

Um über das Netzwerk auf AWS KMS zuzugreifen, können Sie die AWS KMS-API-Operationen aufrufen, die in der AWS Key Management Service-API-Referenz beschrieben sind. AWS KMS erfordert TLS 1.2 und empfiehlt TLS 1.3 in allen Regionen. AWS KMS unterstützt auch hybrides Post-Quantum-TLS für AWS KMS-Service-Endpunkte in allen Regionen außer in China. AWS KMS unterstützt kein hybrides Post-Quantum-TLS für FIPS-Endpunkte in AWS GovCloud (US). Um die Standard-AWS KMS-Endpunkte oder AWS KMS-FIPS-Endpunkte zu verwenden, müssen Clients TLS 1.2 oder höher unterstützen. Clients müssen außerdem Cipher-Suites mit Perfect Forward Secrecy (PFS) wie Ephemeral Diffie-Hellman (DHE) oder Elliptic Curve Ephemeral Diffie-Hellman (ECDHE) unterstützen. Die meisten modernen Systeme, z. B. Java 7 und höher, unterstützen diese Modi.

Außerdem müssen Anforderungen mit einer Zugriffsschlüssel-ID und einem geheimen Zugriffsschlüssel signiert sein, der einem IAM-Prinzipal zugeordnet ist. Alternativ können Sie mit AWS Security Token Service (AWS STS) temporäre Sicherheitsanmeldeinformationen erstellen, um die Anforderungen zu signieren.

Sie können diese API-Operationen von jedem Netzwerkstandort aus aufrufen, jedoch unterstützt AWS KMS globale Richtlinienbedingungen, mit denen Sie den Zugriff auf einen KMS-Schlüssel anhand der Quell-IP-Adresse, VPC und des VPC-Endpunkts steuern können. Sie können diese Bedingungsschlüssel in Schlüsselrichtlinien und IAM-Richtlinien verwenden. Diese Bedingungen können jedoch AWS daran verhindern, den KMS-Schlüssel in Ihrem Namen zu verwenden. Details hierzu finden Sie unter AWS globale Bedingungsschlüssel.

Die folgende Schlüsselrichtlinienanweisung erlaubt es beispielsweise Benutzer, die die KMSTestRole-Rolle annehmen können, diese AWS KMS key für die angegebenen kryptografischen Operationen zu verwenden, es sei denn, die Quell-IP-Adresse ist eine der in der Richtlinie angegebenen IP-Adressen.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Principal": {"AWS":
    "arn:aws:iam::111122223333:role/KMSTestRole"},
    "Action": [
      "kms:Encrypt",
      "kms:Decrypt",
      "kms:ReEncrypt*",
      "kms:GenerateDataKey*",
      "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
      "NotIpAddress": {
        "aws:SourceIp": [
          "192.0.2.0/24",
          "203.0.113.0/24"
        ]
      }
    }
  }
}  

Isolierung auf physischen Hosts

Die Sicherheit der physischen Infrastruktur, die AWS KMS verwendet, unterliegt den Kontrollen, die im Abschnitt Physische und ökologische Sicherheit in Amazon Web Services: Übersicht der Sicherheitsverfahren beschrieben sind. Weitere Details finden Sie in Compliance-Berichten und Prüfungsergebnissen von Drittanbietern, die im vorherigen Abschnitt aufgeführt sind.

AWS KMS wird von dedizierten Hardware-Sicherheitsmodulen (HSMs) unterstützt, die mit speziellen Steuerelementen gegen physische Angriffe ausgelegt sind. Die HSMs sind physische Geräte, die keine Virtualisierungsebene, z. B. einen Hypervisor, haben, die das physische Gerät an mehrere logische Mandanten freigibt. Das Schlüsselmaterial für AWS KMS keys wird nur im flüchtigen Speicher auf den HSMs gespeichert und nur während der KMS-Schlüssel verwendet wird. Dieser Speicher wird gelöscht, wenn das HSM den Betriebszustand verlässt, einschließlich beabsichtigtem und unbeabsichtigtem Herunterfahren und Zurücksetzen. Ausführliche Informationen zum Betrieb von AWS KMS-HSMs finden Sie unter Kryptografische Details für AWS Key Management Service.