Verwenden Sie Prüfberichte mit Ihrer privaten Zertifizierungsstelle

So erstellen Sie einen Audit-Bericht (Konsole)

1. Melden Sie sich bei Ihrem AWS Konto an und öffnen Sie die AWS Private CA Konsole zu https://console.aws.amazon.com/acm-pca/Hause.

2. Wählen Sie auf der Seite Private Zertifizierungsstellen Ihre private Zertifizierungsstelle aus der Liste aus.

3. Klicken Sie im Menü Aktionen auf Audit-Bericht generieren.

4. Finden Sie unter Ziel des Prüfberichts die Option Neuen S3-Bucket erstellen? , wählen Sie Ja und geben Sie einen eindeutigen Bucket-Namen ein, oder wählen Sie Nein und wählen Sie einen vorhandenen Bucket aus der Liste aus.

   Wenn Sie Ja wählen, AWS Private CA wird die Standardrichtlinie erstellt und an Ihren Bucket angehängt. Die Standardrichtlinie beinhaltet einen aws:SourceAccount Bedingungsschlüssel, der den Zugriff auf ein bestimmtes AWS Konto beschränkt. Wenn Sie den Zugriff weiter einschränken möchten, können Sie der Richtlinie weitere Bedingungsschlüssel hinzufügen, wie im vorherigen Beispiel.

   Wenn Sie Nein wählen, müssen Sie Ihrem Bucket eine Richtlinie hinzufügen, bevor Sie einen Prüfbericht erstellen können. Verwenden Sie das unter beschriebene RichtlinienmusterBereiten Sie einen Amazon S3 S3-Bucket für Auditberichte vor. Informationen zum Anhängen einer Richtlinie finden Sie unter Hinzufügen einer Bucket-Richtlinie mithilfe der Amazon S3 S3-Konsole.

5. Wählen Sie JSONunter Ausgabeformat die Option JavaScript Objektnotation oder CSVkommagetrennte Werte.

6. Wählen Sie Generate audit report (Auditbericht generieren).

So erstellen Sie einen Audit-Bericht (AWS CLI)

1. Wenn Sie noch keinen S3-Bucket haben, den Sie verwenden können, erstellen Sie einen.

2. Hängen Sie eine Richtlinie an Ihren Bucket an. Verwenden Sie das unter beschriebene RichtlinienmusterBereiten Sie einen Amazon S3 S3-Bucket für Auditberichte vor. Informationen zum Anhängen einer Richtlinie finden Sie unter Hinzufügen einer Bucket-Richtlinie mithilfe der Amazon S3 S3-Konsole

3. Verwenden Sie den Befehl create-certificate-authority-audit-report, um den Auditbericht zu erstellen und ihn im vorbereiteten S3-Bucket zu platzieren.

   $ aws acm-pca create-certificate-authority-audit-report \
   --certificate-authority-arn arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566 \
   --s3-bucket-name amzn-s3-demo-bucket \
   --audit-report-response-format JSON 

So konfigurieren Sie die automatische Verschlüsselung

Führen Sie die folgenden Schritte aus, um die serverseitige S3-Verschlüsselung zu aktivieren.

1. Öffnen Sie die Amazon S3 S3-Konsole unter https://console.aws.amazon.com/s3/.

2. Wählen Sie in der Buckets-Tabelle den Bucket aus, der Ihre AWS Private CA Ressourcen aufnehmen soll.

3. Wählen Sie auf der Seite für Ihren Bucket die Registerkarte Properties (Eigenschaften) aus.

4. Wählen Sie die Karte Default encryption (Standardverschlüsselung aus.

5. Wählen Sie Enable (Aktivieren) aus.

6. Wählen Sie Amazon S3 S3-Schlüssel (SSE-S3).

7. Wählen Sie Save Changes.

So konfigurieren Sie die benutzerdefinierte Verschlüsselung

Gehen Sie wie folgt vor, um die Verschlüsselung mit einem benutzerdefinierten Schlüssel zu aktivieren.

1. Öffnen Sie die Amazon S3 S3-Konsole unter https://console.aws.amazon.com/s3/.

2. Wählen Sie in der Buckets-Tabelle den Bucket aus, der Ihre AWS Private CA Ressourcen aufnehmen soll.

3. Wählen Sie auf der Seite für Ihren Bucket die Registerkarte Properties (Eigenschaften) aus.

4. Wählen Sie die Karte Default encryption (Standardverschlüsselung aus.

5. Wählen Sie Enable (Aktivieren) aus.

6. Wählen Sie AWS Key Management Service den Schlüssel (SSE-KMS).

7. Wählen Sie entweder Aus Ihren AWS KMS Schlüsseln auswählen oder Enter AWS KMS key ARN.

8. Wählen Sie Save Changes.

9. (Optional) Wenn Sie noch keinen KMS Schlüssel haben, erstellen Sie einen mit dem folgenden Befehl AWS CLI create-key:

   $ aws kms create-key

   Die Ausgabe enthält die Schlüssel-ID und den Amazon-Ressourcennamen (ARN) des KMS Schlüssels. Im Folgenden finden Sie ein Beispiel für eine Ausgabe:

   {
       "KeyMetadata": {
           "KeyId": "01234567-89ab-cdef-0123-456789abcdef",
           "Description": "",
           "Enabled": true,
           "KeyUsage": "ENCRYPT_DECRYPT",
           "KeyState": "Enabled",
           "CreationDate": 1478910250.94,
           "Arn": "arn:aws:kms:us-west-2:123456789012:key/01234567-89ab-cdef-0123-456789abcdef",
           "AWSAccountId": "123456789012"
       }
   }

10. Mit den folgenden Schritten erteilen Sie dem AWS Private CA Dienstprinzipal die Erlaubnis, den KMS Schlüssel zu verwenden. Standardmäßig sind alle KMS Schlüssel privat. Nur der Besitzer der Ressource kann einen KMS Schlüssel zum Verschlüsseln und Entschlüsseln von Daten verwenden. Der Ressourcenbesitzer kann jedoch anderen Benutzern und Ressourcen Berechtigungen für den Zugriff auf den KMS Schlüssel gewähren. Der Dienstprinzipal muss sich in derselben Region befinden, in der der KMS Schlüssel gespeichert ist.

    1. Speichern Sie zunächst die Standardrichtlinie für Ihren KMS Schlüssel policy.json mit dem folgenden get-key-policyBefehl:

       $ aws kms get-key-policy --key-id key-id --policy-name default --output text > ./policy.json

    2. Öffnen Sie die Datei policy.json in einem Text-Editor. Wählen Sie eine der folgenden Richtlinienerklärungen aus und fügen Sie sie der vorhandenen Richtlinie hinzu.

       Wenn Ihr Amazon S3 S3-Bucket-Key aktiviert ist, verwenden Sie die folgende Anweisung:

       {
          "Sid":"Allow ACM-PCA use of the key",
          "Effect":"Allow",
          "Principal":{
             "Service":"acm-pca.amazonaws.com"
          },
          "Action":[
             "kms:GenerateDataKey",
             "kms:Decrypt"
          ],
          "Resource":"*",
          "Condition":{
             "StringLike":{
                "kms:EncryptionContext:aws:s3:arn":"arn:aws:s3:::bucket-name"
             }
          }
       }

       Wenn Ihr Amazon S3 S3-Bucket-Key deaktiviert ist, verwenden Sie die folgende Anweisung:

       {
          "Sid":"Allow ACM-PCA use of the key",
          "Effect":"Allow",
          "Principal":{
             "Service":"acm-pca.amazonaws.com"
          },
          "Action":[
             "kms:GenerateDataKey",
             "kms:Decrypt"
          ],
          "Resource":"*",
          "Condition":{
             "StringLike":{
                "kms:EncryptionContext:aws:s3:arn":[
                   "arn:aws:s3:::bucket-name/acm-pca-permission-test-key",
                   "arn:aws:s3:::bucket-name/acm-pca-permission-test-key-private",
                   "arn:aws:s3:::bucket-name/audit-report/*",
                   "arn:aws:s3:::bucket-name/crl/*"
                ]
             }
          }
       }

    3. Wenden Sie abschließend die aktualisierte Richtlinie mit dem folgenden put-key-policyBefehl an:

       $ aws kms put-key-policy --key-id key_id --policy-name default --policy file://policy.json