View a markdown version of this page

Datenschutz in AWS Modernisierung des Mainframes - AWS Mainframe-Modernisierung
Daten, die AWS Die Mainframe-Modernisierung sammeltDatenverschlüsselung im Ruhezustand für AWS Service zur Modernisierung von MainframesWie AWS Bei der Modernisierung von Mainframes werden Zuschüsse verwendet für AWS KMSErstellen eines kundenseitig verwalteten SchlüsselsAngabe eines vom Kunden verwalteten Schlüssels für AWS Modernisierung des MainframesAWS Verschlüsselungskontext für Mainframe-ModernisierungÜberwachen Ihrer VerschlüsselungsschlüsselWeitere InformationenVerschlüsselung während der Übertragung

AWS Die selbstverwaltete Mainframe-Modernisierung steht Neukunden nicht mehr zur Verfügung. Informationen zu Funktionen, die denen der selbstverwalteten AWS Mainframe-Modernisierung ähneln, finden Sie unter Funktionen, die direkt vom Anbieter angeboten werden, und von. AWS Transform Bestandskunden können den Service weiterhin wie gewohnt nutzen. Weitere Informationen finden Sie unter Änderung der Verfügbarkeit von Mainframe Modernization AWS .

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AWS Der Mainframe Modernization Service (Erfahrung mit Managed Runtime Environment) steht Neukunden nicht mehr zur Verfügung. Funktionen, die dem AWS Mainframe Modernization Service (Erfahrung mit Managed Runtime Environment) ähneln, finden Sie unter AWS Mainframe Modernization Service (Self-ManagedExperience). Bestandskunden können den Service weiterhin wie gewohnt nutzen. Weitere Informationen finden Sie unter Änderung der Verfügbarkeit von AWS Mainframe Modernization.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Datenschutz in AWS Modernisierung des Mainframes

Das Modell der AWS geteilten Verantwortung (Modell der gilt für den Datenschutz bei der AWS Mainframe-Modernisierung. Wie in diesem Modell beschrieben, AWS ist es für den Schutz der globalen Infrastruktur verantwortlich, auf der das AWS Cloud gesamte System läuft. Sie sind dafür verantwortlich, die Kontrolle über Ihre in dieser Infrastruktur gehosteten Inhalte zu behalten. Sie sind auch für die Sicherheitskonfiguration und die Verwaltungsaufgaben für die von Ihnen verwendeten AWS-Services verantwortlich. Weitere Informationen zum Datenschutz finden Sie in den häufig gestellten Fragen zum Datenschutz in der Region . Weitere Informationen zum Datenschutz in Europa finden Sie im Zentrum für die Datenschutz-Grundverordnung (DSGVO).

Aus Datenschutzgründen empfehlen wir, Ihre AWS-Konto Anmeldeinformationen zu schützen und einzelne Benutzer mit AWS IAM Identity Center oder AWS Identity and Access Management (IAM) einzurichten. So erhält jeder Benutzer nur die Berechtigungen, die zum Durchführen seiner Aufgaben erforderlich sind. Außerdem empfehlen wir, die Daten mit folgenden Methoden schützen:

  • Verwenden Sie für jedes Konto die Multi-Faktor-Authentifizierung (MFA).

  • Wird verwendet SSL/TLS , um mit AWS Ressourcen zu kommunizieren. Wir benötigen TLS 1.2 und empfehlen TLS 1.3.

  • Richten Sie die API und die Protokollierung von Benutzeraktivitäten mit ein AWS CloudTrail. Informationen zur Verwendung von CloudTrail Pfaden zur Erfassung von AWS Aktivitäten findest du unter Arbeiten mit CloudTrail Pfaden im AWS CloudTrail Benutzerhandbuch.

  • Verwenden Sie AWS Verschlüsselungslösungen zusammen mit allen darin enthaltenen Standardsicherheitskontrollen AWS-Services.

  • Verwenden Sie erweiterte verwaltete Sicherheitsservices wie Amazon Macie, die dabei helfen, in Amazon S3 gespeicherte persönliche Daten zu erkennen und zu schützen.

  • Wenn Sie für den Zugriff AWS über eine Befehlszeilenschnittstelle oder eine API FIPS 140-3-validierte kryptografische Module benötigen, verwenden Sie einen FIPS-Endpunkt. Weitere Informationen über verfügbare FIPS-Endpunkte finden Sie unter Federal Information Processing Standard (FIPS) 140-3.

Wir empfehlen dringend, in Freitextfeldern, z. B. im Feld Name, keine vertraulichen oder sensiblen Informationen wie die E-Mail-Adressen Ihrer Kunden einzugeben. Dies gilt auch, wenn Sie mit AWS Mainframe Modernization oder anderen Programmen arbeiten, die die Konsole, die API oder die SDKs AWS-Services verwenden. AWS CLI AWS Alle Daten, die Sie in Tags oder Freitextfelder eingeben, die für Namen verwendet werden, können für Abrechnungs- oder Diagnoseprotokolle verwendet werden. Wenn Sie eine URL für einen externen Server bereitstellen, empfehlen wir dringend, keine Anmeldeinformationen zur Validierung Ihrer Anforderung an den betreffenden Server in die URL einzuschließen.

Daten, die AWS Die Mainframe-Modernisierung sammelt

AWS Bei der Mainframe-Modernisierung werden verschiedene Arten von Daten von Ihnen erfasst:

  • Application configuration: Dies ist eine JSON-Datei, die Sie zur Konfiguration Ihrer Anwendung erstellen. Sie enthält Ihre Auswahlmöglichkeiten für die verschiedenen Optionen, die die AWS Mainframe-Modernisierung bietet. Die Datei enthält auch Informationen für abhängige AWS Ressourcen wie Amazon Simple Storage Service-Pfade, in denen Anwendungsartefakte gespeichert werden, oder den Amazon-Ressourcennamen (ARN), AWS Secrets Manager in dem Ihre Datenbankanmeldeinformationen gespeichert sind.

  • Application executable (binary): Dies ist eine Binärdatei, die Sie kompilieren und die Sie auf AWS Mainframe Modernization bereitstellen möchten.

  • Application JCL or scripts: Dieser Quellcode verwaltet Batch-Jobs oder andere Verarbeitungsvorgänge im Auftrag Ihrer Anwendung.

  • User application data: Wenn Sie Datensätze importieren, speichert AWS Mainframe Modernization sie in der relationalen Datenbank, sodass Ihre Anwendung darauf zugreifen kann.

  • Application source code: Über Amazon WorkSpaces Applications bietet AWS Mainframe Modernization eine Entwicklungsumgebung, in der Sie Code schreiben und kompilieren können.

AWS Mainframe Modernization speichert diese Daten nativ in. AWS Die Daten, die wir von Ihnen erheben, werden in einem AWS Modernization-managed Mainframe-Amazon S3-Bucket gespeichert. Wenn Sie eine Anwendung bereitstellen, lädt AWS Mainframe Modernization die Daten auf eine Amazon Elastic Block Store-backed Amazon Elastic Compute Cloud-Instance herunter. Wenn die Bereinigung ausgelöst wird, werden die Daten aus dem Amazon EBS-Volume und aus Amazon S3 entfernt. Die Amazon EBS-Volumes verfügen über einen einzigen Mandanten, was bedeutet, dass eine Instance für einen Kunden verwendet wird. Instanzen werden niemals gemeinsam genutzt. Wenn Sie eine Laufzeitumgebung löschen, wird auch das Amazon EBS-Volume gelöscht. Wenn Sie eine Anwendung löschen, werden die Artefakte und die Konfiguration aus Amazon S3 gelöscht.

Anwendungsprotokolle werden in Amazon gespeichert CloudWatch. Anwendungsprotokollnachrichten von Kunden werden CloudWatch ebenfalls exportiert. Die CloudWatch Protokolle können für Kunden sensible Daten enthalten, z. B. Geschäftsdaten oder Sicherheitsinformationen (in Debug-Meldungen). Weitere Informationen finden Sie unter Überwachung der AWS Mainframe-Modernisierung mit Amazon CloudWatch.

Wenn Sie sich außerdem dafür entscheiden, ein oder mehrere Amazon Elastic File System- oder Amazon FSx-Dateisysteme an Ihre Laufzeitumgebung anzuhängen, werden die Daten in diesen Systemen gespeichert. AWS Sie müssen diese Daten bereinigen, wenn Sie die Dateisysteme nicht mehr verwenden möchten.

Sie können alle verfügbaren Amazon S3-Verschlüsselungsoptionen verwenden, um Ihre Daten zu sichern, wenn Sie sie in den Amazon S3-Bucket legen, den AWS Mainframe Modernization für die Anwendungsbereitstellung und den Import von Datensätzen verwendet. Darüber hinaus können Sie die Amazon EFS- und Amazon FSx-Verschlüsselungsoptionen verwenden, wenn Sie eines oder mehrere dieser Dateisysteme an Ihre Laufzeitumgebung anhängen.

Datenverschlüsselung im Ruhezustand für AWS Service zur Modernisierung von Mainframes

AWS Die Mainframe-Modernisierung lässt sich in alle abhängigen Ressourcen integrieren, die Daten dauerhaft speichern, und bietet so transparente serverseitige Verschlüsselung (SSE) für alle abhängigen Ressourcen, nämlich Amazon Simple Storage Service, Amazon DynamoDB und Amazon Elastic Block Store. AWS Key Management Service AWS Mainframe Modernization erstellt und verwaltet symmetrische AWS KMS Verschlüsselungsschlüssel für Sie in. AWS KMS

Die standardmäßige Verschlüsselung von Daten im Ruhezustand trägt dazu bei, den betrieblichen Aufwand und die Komplexität zu reduzieren, die mit dem Schutz vertraulicher Daten verbunden sind. Gleichzeitig können Sie damit Anwendungen migrieren, für die strenge Verschlüsselungsvorschriften und gesetzliche Anforderungen gelten.

Sie können diese Verschlüsselungsebene nicht deaktivieren oder einen alternativen Verschlüsselungstyp auswählen, wenn Sie Laufzeitumgebungen und Anwendungen erstellen.

Sie können Ihren eigenen, vom Kunden verwalteten Schlüssel für AWS Mainframe-Modernisierungsanwendungen und Laufzeitumgebungen verwenden, um Amazon S3- und Amazon EBS-Ressourcen zu verschlüsseln.

Für Ihre AWS Mainframe-Modernisierungsanwendungen können Sie diesen Schlüssel verwenden, um Ihre Anwendungsdefinition sowie andere Anwendungsressourcen wie JCL-Dateien zu verschlüsseln, die im Amazon S3-Bucket gespeichert sind, der im Konto des Dienstes erstellt wird. Weitere Informationen finden Sie unter Erstellen einer Anwendung.

Für Ihre AWS Mainframe Modernization Laufzeitumgebungen verwendet AWS Mainframe Modernization Ihren vom Kunden verwalteten Schlüssel, um das Amazon EBS-Volume zu verschlüsseln, das es erstellt und an Ihre AWS Mainframe Modernization Amazon EC2-Instance anhängt, die sich ebenfalls im Konto des Dienstes befindet. Weitere Informationen finden Sie unter Erstellen Sie eine Laufzeitumgebung.

Anmerkung

DynamoDB-Ressourcen werden immer mit einem Servicekonto im Mainframe Modernization verschlüsselt. Von AWS verwalteter Schlüssel AWS Sie können DynamoDB-Ressourcen nicht mit einem vom Kunden verwalteten Schlüssel verschlüsseln.

AWS Mainframe Modernization verwendet Ihren vom Kunden verwalteten Schlüssel für die folgenden Aufgaben:

  • Erneute Bereitstellung einer Anwendung.

  • Ersetzen einer Amazon EC2-Instance zur AWS Mainframe-Modernisierung

AWS Mainframe-Modernisierung verwendet Ihren vom Kunden verwalteten Schlüssel nicht zum Verschlüsseln von Amazon Relational Database Service- oder Amazon Aurora-Datenbanken, Amazon Simple Queue Service-Warteschlangen und ElastiCache Amazon-Caches, die zur Unterstützung einer AWS Mainframe-Modernisierungsanwendung erstellt wurden, da keine von ihnen Kundendaten enthält.

Weitere Informationen finden Sie unter Kundenverwaltete Schlüssel im AWS Key Management Service Entwicklerhandbuch.

Die folgende Tabelle fasst zusammen, wie AWS Mainframe Modernization Ihre vertraulichen Daten verschlüsselt.

Datentyp Von AWS verwalteter Schlüssel Verschlüsselung Kundenseitig verwaltete Schlüsselverschlüsselung

Definition

Enthält die Definition für eine bestimmte Anwendung.

Aktiviert

Aktiviert

EnvironmentSummary

Enthält Informationen zur Laufzeitumgebung.

Aktiviert

Aktiviert

ApplicationSummary

Enthält Informationen zur AWS Mainframe-Modernisierungsanwendung.

Aktiviert

Aktiviert

DeploymentSummary

Enthält Informationen zur Bereitstellung einer AWS Mainframe-Modernisierungsanwendung.

Aktiviert

Aktiviert
Anmerkung

AWS Die Mainframe-Modernisierung ermöglicht automatisch die Verschlüsselung im Ruhezustand Von AWS verwaltete Schlüssel , sodass Ihre vertraulichen Daten kostenlos geschützt werden. Für die Verwendung eines vom Kunden verwalteten Schlüssels fallen jedoch AWS KMS Gebühren an. Weitere Informationen über die Preise finden Sie unter AWS Key Management Service – Preise.

Weitere Informationen finden Sie AWS KMS unter AWS Key Management Service.

Wie AWS Bei der Modernisierung von Mainframes werden Zuschüsse verwendet für AWS KMS

AWS Für die Mainframe-Modernisierung ist ein Zuschuss für die Nutzung Ihres vom Kunden verwalteten Schlüssels erforderlich.

Wenn Sie eine Anwendung oder Laufzeitumgebung erstellen oder eine Anwendung in AWS Mainframe Modernization bereitstellen, die mit einem vom Kunden verwalteten Schlüssel verschlüsselt ist, gewährt AWS Mainframe Modernization in Ihrem Namen einen Zuschuss, indem Sie eine CreateGrant Anfrage an senden. AWS KMS Zuschüsse AWS KMS werden verwendet, um AWS Mainframe Modernization Zugriff auf einen KMS-Schlüssel in einem Kundenkonto zu gewähren.

AWS Für die Mainframe-Modernisierung ist der Zuschuss erforderlich, um Ihren vom Kunden verwalteten Schlüssel für die folgenden internen Abläufe verwenden zu können:

  • Senden Sie DescribeKey Anfragen an, AWS KMS um zu überprüfen, ob die symmetrische, vom Kunden verwaltete Schlüssel-ID, die Sie bei der Erstellung einer Anwendung, Laufzeitumgebung oder Anwendungsbereitstellung eingegeben haben, gültig ist.

  • Senden Sie GenerateDataKey Anfragen AWS KMS zur Verschlüsselung des Amazon EBS-Volumes, das an Amazon EC2-Instances angehängt ist, die AWS Mainframe Modernization-Laufzeitumgebungen hosten.

  • Senden Sie https://docs.aws.amazon.com/kms/latest/APIReference/API_Decrypt.html Entschlüsselungsanfragen an, um verschlüsselte Inhalte auf AWS KMS Amazon EBS zu entschlüsseln.

AWS Bei der Mainframe-Modernisierung werden AWS KMS Zuschüsse verwendet, um Ihre in Secrets Manager gespeicherten Geheimnisse zu entschlüsseln und wenn Sie eine Laufzeitumgebung erstellen, eine Anwendung erstellen oder erneut bereitstellen und eine Bereitstellung erstellen. Die Zuschüsse, die AWS Mainframe Modernization gewährt, unterstützen die folgenden Operationen:

  • Einen Zuschuss für eine Laufzeitumgebung erstellen oder aktualisieren:

    • Decrypt

    • Encrypt

    • ReEncryptFrom

    • ReEncryptTo

    • GenerateDataKey

    • DescribeKey

    • CreateGrant

  • Einen Anwendungszuschuss erstellen oder erneut bereitstellen:

    • GenerateDataKey

  • Einen Bereitstellungszuschuss erstellen:

    • Decrypt

Sie können den Zugriff auf die Genehmigung jederzeit widerrufen oder den Zugriff des Services auf den vom Kunden verwalteten Schlüssel entfernen. Wenn Sie dies tun, kann AWS Mainframe Modernization auf keine der Daten zugreifen, die mit dem vom Kunden verwalteten Schlüssel verschlüsselt wurden, was sich auf Abläufe auswirkt, die von den Daten abhängen. Wenn die AWS Mainframe-Modernisierung beispielsweise versucht, auf eine Anwendungsdefinition zuzugreifen, die mit einem vom Kunden verwalteten Schlüssel verschlüsselt wurde, ohne dass dieser Schlüssel erteilt wurde, schlägt die Anwendungserstellung fehl.

AWS Die Mainframe-Modernisierung erfasst Benutzeranwendungskonfigurationen (JSON-Dateien) und Artefakte (Binärdateien und ausführbare Dateien). Es erstellt auch Metadaten, die verschiedene Entitäten verfolgen, die für den Betrieb der AWS Mainframe-Modernisierung verwendet werden, und erstellt Protokolle und Metriken. Zu den Protokollen und Metriken, die für den Kunden sichtbar sind, gehören:

  • CloudWatch Protokolle, die die Anwendung und die Runtime-Engine widerspiegeln (entweder AWS Transform for Mainframe oder Rocket Software (ehemals Micro Focus)).

  • CloudWatch Metriken für Betriebs-Dashboards.

Darüber hinaus erfasst die AWS Mainframe-Modernisierung Nutzungsdaten und Metriken für Messungen, Aktivitätsberichte usw. zu den Diensten. Diese Daten sind für den Kunden nicht sichtbar.

AWS Mainframe Modernization speichert diese Daten je nach Datentyp an verschiedenen Orten. Kundendaten, die Sie hochladen, werden in einem Amazon S3-Bucket gespeichert. Servicedaten werden sowohl in Amazon S3 als auch in DynamoDB gespeichert. Wenn Sie eine Anwendung bereitstellen, werden sowohl Ihre Daten als auch Ihre Servicedaten auf Amazon EBS-Volumes heruntergeladen. Wenn Sie Amazon EFS- oder Amazon FSx-Speicher an Ihre Laufzeitumgebung anhängen, werden die in diesen Dateisystemen gespeicherten Daten ebenfalls auf das Amazon EBS-Volume heruntergeladen.

Verschlüsselung im Ruhezustand ist standardmäßig konfiguriert. Sie können es nicht deaktivieren oder ändern. Derzeit können Sie auch die Konfiguration nicht ändern.

Erstellen eines kundenseitig verwalteten Schlüssels

Sie können einen symmetrischen, vom Kunden verwalteten Schlüssel erstellen, indem Sie die AWS-Managementkonsole oder die AWS KMS APIs verwenden.

Einen symmetrischen kundenverwalteten Schlüssel erstellen

Folgen Sie den Schritten zum Erstellen eines symmetrischen kundenverwalteten Schlüssels im Entwicklerhandbuch zum AWS Key Management Service .

Schlüsselrichtlinie

Schlüsselrichtlinien steuern den Zugriff auf den vom Kunden verwalteten Schlüssel. Jeder vom Kunden verwaltete Schlüssel muss über genau eine Schlüsselrichtlinie verfügen, die aussagt, wer den Schlüssel wie verwenden kann. Wenn Sie Ihren kundenseitig verwalteten Schlüssel erstellen, können Sie eine Schlüsselrichtlinie angeben. Weitere Informationen finden Sie unter Verwalten des Zugriffs auf kundenverwaltete Schlüssel im Entwicklerhandbuch zum AWS Key Management Service .

Um Ihren vom Kunden verwalteten Schlüssel zusammen mit Ihren Ressourcen zur AWS Mainframe-Modernisierung zu verwenden, müssen die folgenden API-Operationen in der Schlüsselrichtlinie zulässig sein:

  • kms:CreateGrant: Fügt einem kundenverwalteten Schlüssel eine Erteilung hinzu. Gewährt Kontrollzugriff auf einen bestimmten KMS-Schlüssel, der den Zugriff auf bestimmte Vorgänge ermöglicht, die für die AWS Mainframe-Modernisierung erforderlich sind. Weitere Informationen zum Verwenden von Zuweisungen finden Sie im Entwicklerhandbuch für AWS Key Management Service .

    Auf diese Weise kann die AWS Mainframe-Modernisierung Folgendes bewirken:

    • GenerateDataKey aufrufen, um einen verschlüsselten Datenschlüssel zu generieren und zu speichern, da der Datenschlüssel nicht sofort zum Verschlüsseln verwendet wird.

    • Decrypt aufrufen, um den gespeicherten verschlüsselten Datenschlüssel für den Zugriff auf verschlüsselte Daten zu verwenden.

    • Einen Prinzipal für die Außerbetriebnahme einrichten, damit der Service in den Status RetireGrant wechseln kann.

  • kms:DescribeKey— Stellt dem Kunden die wichtigsten Informationen zur Verfügung, damit AWS Mainframe Modernization den Schlüssel validieren kann.

AWS Für die Mainframe-Modernisierung sind entsprechende kms:CreateGrant kms:DescribeKey Genehmigungen erforderlich, die in den wichtigsten Richtlinien des Kunden enthalten sind. AWS Die Mainframe-Modernisierung nutzt diese Richtlinie, um sich selbst einen Zuschuss zu gewähren.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "Enable IAM User Permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
            },
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        }
    ]
}
Anmerkung

Die Principal im vorherigen Beispiel abgebildete Rolle ist die, die Sie für AWS Mainframe-Modernisierungsvorgänge wie CreateApplication und verwenden. CreateEnvironment

Weitere Informationen zum Festlegen von Berechtigungen in einer Richtlinie finden Sie im AWS Key Management Service -Entwicklerhandbuch.

Weitere Informationen zur Fehlerbehebung beim Schlüsselzugriff finden Sie im AWS Key Management Service -Entwicklerhandbuch.

Angabe eines vom Kunden verwalteten Schlüssels für AWS Modernisierung des Mainframes

Sie können einen vom Kunden verwalteten Schlüssel für die folgenden Ressourcen angeben:

  • Anwendung

  • Umgebung

Wenn Sie eine Ressource erstellen, können Sie den Schlüssel angeben, indem Sie eine KMS-ID eingeben, die AWS Mainframe Modernization verwendet, um die von der Ressource gespeicherten vertraulichen Daten zu verschlüsseln.

  • KMS-ID — Eine Schlüssel-ID für einen vom Kunden verwalteten Schlüssel. Geben Sie eine Schlüssel-ID, einen Schlüssel-ARN, einen Alias-Namen oder einen Alias-ARN ein.

Sie können einen vom Kunden verwalteten Schlüssel mithilfe von AWS-Managementkonsole oder angeben AWS CLI.

Informationen zur Angabe Ihres vom Kunden verwalteten Schlüssels bei der Erstellung einer Laufzeitumgebung in der AWS-Managementkonsole finden Sie unterErstellen Sie eine Laufzeitumgebung für die AWS Mainframe-Modernisierung. Informationen zur Angabe Ihres kundenverwalteten Schlüssels beim Erstellen einer Anwendung in der AWS-Managementkonsole finden Sie unterErstellen Sie eine Anwendung AWS Mainframe Modernization.

Um Ihren vom Kunden verwalteten Schlüssel hinzuzufügen, wenn Sie eine Laufzeitumgebung mit dem erstellen AWS CLI, geben Sie den kms-key-id Parameter wie folgt an:

aws m2 create-environment —engine-type microfocus —instance-type M2.m5.large 
--publicly-accessible —engine-version 7.0.3 —name test
--high-availability-config desiredCapacity=2
--kms-key-id myEnvironmentKey

Um Ihren vom Kunden verwalteten Schlüssel hinzuzufügen, wenn Sie eine Anwendung mit dem erstellen AWS CLI, geben Sie den kms-key-id Parameter wie folgt an:

aws m2 create-application —name test-application —description my description
--engine-type microfocus 
--definition content="$(jq -c . raw-template.json | jq -R)"
--kms-key-id myApplicationKey

AWS Verschlüsselungskontext für Mainframe-Modernisierung

Ein Verschlüsselungskontext ist ein optionaler Satz von Schlüssel-Wert-Paaren, die zusätzliche kontextbezogene Informationen zu den Daten enthalten.

AWS KMS verwendet den Verschlüsselungskontext als zusätzliche authentifizierte Daten zur Unterstützung der authentifizierten Verschlüsselung. Wenn Sie einen Verschlüsselungskontext in eine Anforderung zum Verschlüsseln von Daten einbeziehen, wird der Verschlüsselungskontext AWS KMS an die verschlüsselten Daten gebunden. Zur Entschlüsselung von Daten müssen Sie denselben Verschlüsselungskontext in der Anfrage übergeben.

AWS Verschlüsselungskontext für Mainframe-Modernisierung

AWS Bei der Mainframe-Modernisierung wird bei allen AWS KMS kryptografischen Vorgängen im Zusammenhang mit einer Anwendung (Anwendung erstellen und Bereitstellung erstellen) derselbe Verschlüsselungskontext verwendet, wobei der Schlüssel aws:m2:app und der Wert die eindeutige Kennung der Anwendung ist.

Beispiel
"encryptionContextSubset": {
        "aws:m2:app": "a1bc2defabc3defabc4defabcd"
}

Verwenden des Verschlüsselungskontexts für die Überwachung

Wenn Sie einen symmetrischen, vom Kunden verwalteten Schlüssel zum Verschlüsseln Ihrer Anwendungen oder Laufzeitumgebungen verwenden, können Sie den Verschlüsselungskontext auch in Auditaufzeichnungen und Protokollen verwenden, um zu ermitteln, wie der vom Kunden verwaltete Schlüssel verwendet wird.

Verwendung des Verschlüsselungskontextes zur Steuerung des Zugriffs auf den vom Kunden verwalteten Schlüssel

Sie können den Verschlüsselungskontext in Schlüsselrichtlinien und IAM-Richtlinien als conditions verwenden, um den Zugriff auf Ihren symmetrischen, kundenverwalteten Schlüssel zu kontrollieren. Sie können Verschlüsselungskontext-Einschränkungen auch in einer Genehmigung verwenden.

AWS Bei der Mainframe-Modernisierung wird bei Zuweisungen eine Beschränkung des Verschlüsselungskontexts verwendet, um den Zugriff auf den vom Kunden verwalteten Schlüssel in Ihrem Konto oder Ihrer Region zu kontrollieren. Eine Genehmigungseinschränkung erfordert, dass durch die Genehmigung ermöglichte Vorgänge den angegebenen Verschlüsselungskontext verwenden. Das folgende Beispiel ist ein Zuschuss, den AWS Mainframe Modernization nutzt, um Anwendungsartefakte bei der Erstellung einer Anwendung zu verschlüsseln.

//This grant is retired immediately after create application finish
{
   "grantee-principal": m2.us-west-2.amazonaws.com,
   "retiring-principal": m2.us-west-2.amazonaws.com,
   "operations": [
       "GenerateDataKey"
   ]
   "condition": {
        "encryptionContextSubset": {
            “aws:m2:app”: “a1bc2defabc3defabc4defabcd”
   }
}

Überwachung Ihrer Verschlüsselungsschlüssel für AWS Modernisierung des Mainframes

Wenn Sie einen vom AWS KMS Kunden verwalteten Schlüssel für Ihre Ressourcen zur AWS Mainframe-Modernisierung verwenden, können Sie Amazon CloudWatch Logs verwenden AWS CloudTrail, um Anfragen zu verfolgen, an die AWS Mainframe-Modernisierung sendet. AWS KMS

Beispiele für Laufzeitumgebungen

Bei den folgenden Beispielen handelt es sich um AWS CloudTrail Ereignisse fürDescribeKey, CreateGrantGenerateDataKey, und Decrypt zur Überwachung von KMS-Vorgängen, die von AWS Mainframe Modernization aufgerufen werden, um auf Daten zuzugreifen, die mit Ihrem vom Kunden verwalteten Schlüssel verschlüsselt wurden:

DescribeKey

AWS Mainframe Modernization verwendet den DescribeKey Vorgang, um zu überprüfen, ob der vom AWS KMS Kunden verwaltete Schlüssel, der Ihrer Laufzeitumgebung zugeordnet ist, in dem Konto und in der Region existiert.

Das folgende Beispielereignis zeichnet den Vorgang DescribeKey auf:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-12-06T19:40:26Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2022-12-06T20:23:43Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "DescribeKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "205.251.233.182",
    "userAgent": "ExampleDesktop/1.0 (V1; OS)",
    "requestParameters": {
        "keyId": "00dd0db0-0000-0000-ac00-b0c000SAMPLE"
    },
    "responseElements": null,
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_256_GCM_SHA384",
        "clientProvidedHostHeader": "kms.us-west-2.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true"
}
CreateGrant

Wenn Sie einen vom AWS KMS Kunden verwalteten Schlüssel zur Verschlüsselung Ihrer Laufzeitumgebung verwenden, sendet AWS Mainframe Modernization in Ihrem Namen mehrere CreateGrant Anfragen, um die erforderlichen KMS-Operationen durchzuführen. Einige der Zuschüsse, die AWS Mainframe Modernization gewährt, werden sofort nach ihrer Verwendung zurückgezogen. Andere werden deaktiviert, wenn Sie die Laufzeitumgebung löschen.

Das folgende Beispielereignis zeichnet den CreateGrant Vorgang für die Lambda-Ausführungsrolle auf, die dem Workflow „Umgebung erstellen“ zugeordnet ist. 

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-12-06T20:11:45Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "m2.us-west-2.amazonaws.com"
    },
    "eventTime": "2022-12-06T20:23:09Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "CreateGrant",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "m2.us-west-2.amazonaws.com",
    "userAgent": "m2.us-west-2.amazonaws.com",
    "requestParameters": {
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE",
        "operations": [
            "Encrypt",
            "Decrypt",
            "ReEncryptFrom",
            "ReEncryptTo",
            "GenerateDataKey",
            "GenerateDataKey",
            "DescribeKey",
            "CreateGrant"
        ],
        "granteePrincipal": "m2.us-west-2.amazonaws.com",
        "retiringPrincipal": "m2.us-west-2.amazonaws.com"
    },
    "responseElements": {
        "grantId": "0ab0ac0d0b000f00ea00cc0a0e00fc00bce000c000f0000000c0bc0a0000aaafSAMPLE",
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}

Das folgende Beispielereignis zeichnet den CreateGrant Vorgang für die dienstverknüpfte Rolle der Auto Scaling-Gruppe auf. Die Lambda-Ausführungsrolle, die dem Workflow Create Environment zugeordnet ist, ruft diesen CreateGrant Vorgang auf. Damit wird der Ausführungsrolle die Berechtigung erteilt, einen Subgrant für die serviceverknüpfte Rolle der Auto Scaling-Gruppe zu erstellen.

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROA3YPCLM65MZFUPM4JO:EnvironmentWorkflow-alpha-CreateEnvironmentLambda7-HfxDj5zz86tr",
        "arn": "arn:aws:sts::111122223333:assumed-role/EnvironmentWorkflow-alpha-CreateEnvironmentLambdaS-1AU4A8VNQEEKN/EnvironmentWorkflow-alpha-CreateEnvironmentLambda7-HfxDj5zz86tr",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:iam::111122223333:role/EnvironmentWorkflow-alpha-CreateEnvironmentLambdaS-1AU4A8VNQEEKN",
                "accountId": "111122223333",
                "userName": "EnvironmentWorkflow-alpha-CreateEnvironmentLambdaS-1AU4A8VNQEEKN"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-12-06T20:22:28Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2022-12-06T20:23:09Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "CreateGrant",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "54.148.236.160",
    "userAgent": "aws-sdk-java/2.18.21 Linux/4.14.255-276-224.499.amzn2.x86_64 OpenJDK_64-Bit_Server_VM/11.0.14.1+10-LTS Java/11.0.14.1 vendor/Amazon.com_Inc. md/internal exec-env/AWS_Lambda_java11 io/sync http/Apache cfg/retry-mode/legacy",
    "requestParameters": {
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE",
        "operations": [
            "Encrypt",
            "Decrypt",
            "ReEncryptFrom",
            "ReEncryptTo",
            "GenerateDataKey",
            "GenerateDataKey",
            "DescribeKey",
            "CreateGrant"
        ],
        "granteePrincipal": "m2.us-west-2.amazonaws.com",
        "retiringPrincipal": "m2.us-west-2.amazonaws.com"
    },
    "responseElements": {
        "grantId": "0ab0ac0d0b000f00ea00cc0a0e00fc00bce000c000f0000000c0bc0a0000aaafSAMPLE",
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_256_GCM_SHA384",
        "clientProvidedHostHeader": "kms.us-west-2.amazonaws.com"
    }
}
}
GenerateDataKey

Wenn Sie einen vom AWS KMS Kunden verwalteten Schlüssel für Ihre Laufzeitumgebungsressource aktivieren, erstellt Auto Scaling einen eindeutigen Schlüssel zum Verschlüsseln des Amazon EBS-Volumes, das der Laufzeitumgebung zugeordnet ist. Es sendet eine GenerateDataKey Anfrage an AWS KMS , die den vom AWS KMS Kunden verwalteten Schlüssel für die Ressource angibt.

Das folgende Beispielereignis zeichnet den Vorgang GenerateDataKey auf:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROA3YPCLM65EEXVIEH7D:AutoScaling",
        "arn": "arn:aws:sts::111122223333:assumed-role/AWSServiceRoleForAutoScaling/AutoScaling",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:iam::111122223333:role/aws-service-role/autoscaling.amazonaws.com/AWSServiceRoleForAutoScaling",
                "accountId": "111122223333",
                "userName": "AWSServiceRoleForAutoScaling"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-12-06T20:23:16Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "autoscaling.amazonaws.com"
    },
    "eventTime": "2022-12-06T20:23:18Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "GenerateDataKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "autoscaling.amazonaws.com",
    "userAgent": "autoscaling.amazonaws.com",
    "requestParameters": {
        "encryptionContext": {
            "aws:ebs:id": "vol-080f7a32d290807f3"
        },
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE",
        "numberOfBytes": 64
    },
    "responseElements": null,
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}
Decrypt

Wenn Sie auf eine verschlüsselte Laufzeitumgebung zugreifen, ruft Amazon EBS den Decrypt Vorgang auf, um den gespeicherten verschlüsselten Datenschlüssel für den Zugriff auf die verschlüsselten Daten zu verwenden.

Das folgende Beispielereignis zeichnet den Vorgang Decrypt auf:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AWSService",
        "invokedBy": "ebs.amazonaws.com"
    },
    "eventTime": "2022-12-06T20:23:22Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Decrypt",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "ebs.amazonaws.com",
    "userAgent": "ebs.amazonaws.com",
    "requestParameters": {
        "encryptionAlgorithm": "SYMMETRIC_DEFAULT",
        "encryptionContext": {
            "aws:ebs:id": "vol-080f7a32d290807f3"
        }
    },
    "responseElements": null,
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "sharedEventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventCategory": "Management"
}

Beispiele für Anwendungen

Bei den folgenden Beispielen handelt es sich um AWS CloudTrail Ereignisse für CreateGrant und GenerateDataKey zur Überwachung von KMS-Vorgängen, die von AWS Mainframe Modernization aufgerufen wurden, um auf Daten zuzugreifen, die mit Ihrem vom Kunden verwalteten Schlüssel verschlüsselt wurden:

CreateGrant

Wenn Sie einen vom AWS KMS Kunden verwalteten Schlüssel zum Verschlüsseln Ihrer Anwendungsressourcen verwenden, sendet die Lambda-Ausführungsrolle in Ihrem Namen eine CreateGrant Anfrage, um auf den KMS-Schlüssel in Ihrem Konto zuzugreifen. AWS Der Zuschuss ermöglicht es der Lambda-Ausführungsrolle, Kundenanwendungsressourcen mithilfe Ihres vom Kunden verwalteten Schlüssels auf Amazon S3 hochzuladen. Dieser Zuschuss wird sofort nach der Erstellung der Anwendung zurückgezogen.

Das folgende Beispielereignis zeichnet den Vorgang CreateGrant auf:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-12-06T21:51:45Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "m2.us-west-2.amazonaws.com"
    },
    "eventTime": "2022-12-06T22:47:04Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "CreateGrant",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "m2.us-west-2.amazonaws.com",
    "userAgent": "m2.us-west-2.amazonaws.com",
    "requestParameters": {
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE",
        "constraints": {
            "encryptionContextSubset": {
                "aws:m2:app": "a1bc2defabc3defabc4defabcd"
            }
        },
        "retiringPrincipal": "m2.us-west-2.amazonaws.com",
        "operations": [
            "GenerateDataKey"
        ],
        "granteePrincipal": "m2.us-west-2.amazonaws.com"
    },
    "responseElements": {
        "grantId": "0ab0ac0d0b000f00ea00cc0a0e00fc00bce000c000f0000000c0bc0a0000aaafSAMPLE",
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}
GenerateDataKey

Wenn Sie einen vom AWS KMS Kunden verwalteten Schlüssel für Ihre Anwendungsressource aktivieren, erstellt die Lambda-Ausführungsrolle einen Schlüssel, den sie zum Verschlüsseln und Hochladen von Kundendaten in Amazon Simple Storage Service verwendet. Die Lambda-Ausführungsrolle sendet eine GenerateDataKey Anfrage an AWS KMS , die den vom AWS KMS Kunden verwalteten Schlüssel für die Ressource angibt.

Das folgende Beispielereignis zeichnet den Vorgang GenerateDataKey auf:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROA3YPCLM65CLCEKKC7Z:ApplicationWorkflow-alpha-CreateApplicationVersion-CstWZUn5R4u6",
        "arn": "arn:aws:sts::111122223333:assumed-role/ApplicationWorkflow-alpha-CreateApplicationVersion-1IZRBZYDG20B/ApplicationWorkflow-alpha-CreateApplicationVersion-CstWZUn5R4u6",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:iam::111122223333:role/ApplicationWorkflow-alpha-CreateApplicationVersion-1IZRBZYDG20B",
                "accountId": "111122223333",
                "userName": "ApplicationWorkflow-alpha-CreateApplicationVersion-1IZRBZYDG20B"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-12-06T23:28:32Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "m2.us-west-2.amazonaws.com"
    },
    "eventTime": "2022-12-06T23:29:08Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "GenerateDataKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "m2.us-west-2.amazonaws.com",
    "userAgent": "m2.us-west-2.amazonaws.com",
    "requestParameters": {
        "encryptionContext": {
            "aws:m2:app": "a1bc2defabc3defabc4defabcd",
            "aws:s3:arn": "arn:aws:s3:::supernova-processedtemplate-111122223333-us-west-2/111122223333/a1bc2defabc3defabc4defabcd/1/cics-transaction/ZBNKE35.so"
        },
        "keySpec": "AES_256",
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "responseElements": null,
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}

Beispiele für Bereitstellungen

Bei den folgenden Beispielen handelt es sich um AWS CloudTrail Ereignisse für CreateGrant und Decrypt zur Überwachung von KMS-Vorgängen, die von AWS Mainframe Modernization aufgerufen wurden, um auf Daten zuzugreifen, die mit Ihrem vom Kunden verwalteten Schlüssel verschlüsselt wurden:

CreateGrant

Wenn Sie einen vom AWS KMS Kunden verwalteten Schlüssel verwenden, um Ihre Bereitstellungsressourcen zu verschlüsseln, sendet AWS Mainframe Modernization zwei CreateGrant Anfragen in Ihrem Namen. Die erste Zuweisung bezieht sich auf die aktuelle Lambda-Ausführungsrolle, die aufgerufen werden muss ListBatchJobScriptFiles, und wird sofort nach Abschluss der Bereitstellung eingestellt. Der zweite Zuschuss bezieht sich auf die Amazon EC2-Instance-Rolle, sodass Amazon EC2 Kundenanwendungsressourcen von Amazon S3 herunterladen kann. Diese Gewährung erlischt, wenn die Anwendung aus der Laufzeitumgebung gelöscht wird.

Das folgende Beispielereignis zeichnet den Vorgang CreateGrant auf:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-12-06T21:51:45Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "m2.us-west-2.amazonaws.com"
    },
    "eventTime": "2022-12-06T23:40:07Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "CreateGrant",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "m2.us-west-2.amazonaws.com",
    "userAgent": "m2.us-west-2.amazonaws.com",
    "requestParameters": {
        "operations": [
            "Decrypt"
        ],
        "constraints": {
            "encryptionContextSubset": {
                "aws:m2:app": "a1bc2defabc3defabc4defabcd"
            }
        },
        "granteePrincipal": "m2.us-west-2.amazonaws.com",
        "retiringPrincipal": "m2.us-west-2.amazonaws.com",
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "responseElements": {
        "grantId": "0ab0ac0d0b000f00ea00cc0a0e00fc00bce000c000f0000000c0bc0a0000aaafSAMPLE",
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}
Decrypt

Wenn Sie auf eine Bereitstellung zugreifen, ruft Amazon EC2 den Decrypt Vorgang auf, um den gespeicherten verschlüsselten Datenschlüssel zum Entschlüsseln und Herunterladen verschlüsselter Kundendaten von Amazon S3 zu verwenden.

Das folgende Beispielereignis zeichnet den Vorgang Decrypt auf:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROA3YPCLM65BSPZ37E6G:m2-hm-bqe367dxtfcpdbzmnhfzranisu",
        "arn": "arn:aws:sts::111122223333:assumed-role/SupernovaEnvironmentInstanceScopeDownRole/m2-hm-bqe367dxtfcpdbzmnhfzranisu",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:iam::111122223333:role/SupernovaEnvironmentInstanceScopeDownRole",
                "accountId": "111122223333",
                "userName": "SupernovaEnvironmentInstanceScopeDownRole"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-12-06T23:19:29Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "m2.us-west-2.amazonaws.com"
    },
    "eventTime": "2022-12-06T23:40:15Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Decrypt",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "m2.us-west-2.amazonaws.com",
    "userAgent": "m2.us-west-2.amazonaws.com",
    "requestParameters": {
        "encryptionContext": {
            "aws:m2:app": "a1bc2defabc3defabc4defabcdm",
            "aws:s3:arn": "arn:aws:s3:::supernova-processedtemplate-111122223333-us-west-2/111122223333/a1bc2defabc3defabc4defabcdm/1/cics-transaction/BBANK40P.so"
        },
        "encryptionAlgorithm": "SYMMETRIC_DEFAULT"
    },
    "responseElements": null,
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}

Weitere Informationen

Die folgenden Ressourcen enthalten weitere Informationen zur Datenverschlüsselung im Ruhezustand:

Verschlüsselung während der Übertragung

Bei interaktiven Anwendungen, die Teil transaktionaler Workloads sind, wird der Datenaustausch zwischen dem Terminalemulator und dem AWS Mainframe Modernization Service-Endpunkt für das TN3270-Protokoll während der Übertragung nicht verschlüsselt. Wenn die Anwendung während der Übertragung eine Verschlüsselung erfordert, sollten Sie möglicherweise einige zusätzliche Tunnelmechanismen implementieren.

AWS Die Mainframe-Modernisierung verwendet HTTPS, um die Service-APIs zu verschlüsseln. Die gesamte andere Kommunikation innerhalb von AWS Mainframe Modernization wird durch die Service-VPC oder Sicherheitsgruppe sowie durch HTTPS geschützt. AWS Bei der Mainframe-Modernisierung werden Anwendungsartefakte, Konfigurationen und Anwendungsdaten übertragen. Anwendungsartefakte werden aus einem Amazon S3-Bucket kopiert, den Sie besitzen, ebenso wie Anwendungsdaten. Sie können Anwendungskonfigurationen über einen Link zu Amazon S3 bereitstellen oder indem Sie eine Datei lokal hochladen.

Die Standardverschlüsselung bei der Übertragung ist standardmäßig konfiguriert, gilt jedoch nicht für das TN3270-Protokoll. AWS Die Mainframe-Modernisierung verwendet HTTPS für API-Endpunkte, die ebenfalls standardmäßig konfiguriert sind.