Verwenden Sie Auditberichte mit Ihrer privaten Zertifizierungsstelle

So erstellen Sie einen Audit-Bericht (Konsole)

1. Melden Sie sich bei Ihrem AWS Konto an und öffnen Sie die AWS Private CA Konsole unter https://console.aws.amazon.com/acm-pca/home.

2. Wählen Sie auf der Seite Private Zertifizierungsstellen Ihre private Zertifizierungsstelle aus der Liste aus.

3. Klicken Sie im Menü Aktionen auf Audit-Bericht generieren.

4. Unter Ziel des Auditberichts für Neuen S3-Bucket erstellen? , wählen Sie Ja und geben Sie einen eindeutigen Bucket-Namen ein, oder wählen Sie Nein und wählen Sie einen vorhandenen Bucket aus der Liste aus.

   Wenn Sie Ja wählen, AWS Private CA wird die Standardrichtlinie erstellt und an Ihren Bucket angehängt. Die Standardrichtlinie enthält einen aws:SourceAccount Bedingungsschlüssel, der den Zugriff auf ein bestimmtes AWS Konto einschränkt. Wenn Sie den Zugriff weiter einschränken möchten, können Sie der Richtlinie weitere Bedingungsschlüssel hinzufügen, wie im vorherigen Beispiel.

   Wenn Sie Nein wählen, müssen Sie eine Richtlinie an Ihren Bucket anhängen, bevor Sie einen Auditbericht erstellen können. Verwenden Sie das unter beschriebene RichtlinienmusterBereiten Sie einen Amazon S3-Bucket für Auditberichte vor. Informationen zum Anhängen einer Richtlinie finden Sie unter Hinzufügen einer Bucket-Richtlinie mithilfe der Amazon S3-Konsole.

5. Wählen Sie unter Ausgabeformat JSON für JavaScript Objektnotation oder CSV für kommagetrennte Werte aus.

6. Wählen Sie Generate audit report (Auditbericht generieren).

Um einen Auditbericht zu erstellen (AWS CLI)

1. Wenn Sie noch keinen S3-Bucket haben, den Sie verwenden können, erstellen Sie einen.

2. Hängen Sie eine Richtlinie an Ihren Bucket an. Verwenden Sie das unter beschriebene RichtlinienmusterBereiten Sie einen Amazon S3-Bucket für Auditberichte vor. Informationen zum Anhängen einer Richtlinie finden Sie unter Hinzufügen einer Bucket-Richtlinie mithilfe der Amazon S3-Konsole

3. Verwenden Sie den Befehl create-certificate-authority-audit-report, um den Auditbericht zu erstellen und ihn im vorbereiteten S3-Bucket abzulegen.

   $ aws acm-pca create-certificate-authority-audit-report \
   --certificate-authority-arn arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566 \
   --s3-bucket-name amzn-s3-demo-bucket \
   --audit-report-response-format JSON 

So konfigurieren Sie die automatische Verschlüsselung

Führen Sie die folgenden Schritte aus, um die serverseitige S3-Verschlüsselung zu aktivieren.

1. Öffnen Sie die Amazon S3-Konsole unter https://console.aws.amazon.com/s3/.

2. Wählen Sie in der Buckets-Tabelle den Bucket aus, der Ihre AWS Private CA Vermögenswerte enthalten soll.

3. Wählen Sie auf der Seite für Ihren Bucket die Registerkarte Properties (Eigenschaften) aus.

4. Wählen Sie die Karte Default encryption (Standardverschlüsselung aus.

5. Wählen Sie Enable (Aktivieren) aus.

6. Wählen Sie den Amazon S3-Schlüssel (SSE-S3).

7. Wählen Sie Save Changes.

So konfigurieren Sie die benutzerdefinierte Verschlüsselung

Gehen Sie wie folgt vor, um die Verschlüsselung mit einem benutzerdefinierten Schlüssel zu aktivieren.

1. Öffnen Sie die Amazon S3-Konsole unter https://console.aws.amazon.com/s3/.

2. Wählen Sie in der Buckets-Tabelle den Bucket aus, der Ihre AWS Private CA Vermögenswerte enthalten soll.

3. Wählen Sie auf der Seite für Ihren Bucket die Registerkarte Properties (Eigenschaften) aus.

4. Wählen Sie die Karte Default encryption (Standardverschlüsselung aus.

5. Wählen Sie Enable (Aktivieren) aus.

6. Wählen Sie AWS Key Management Service den Schlüssel (SSE-KMS).

7. Wählen Sie entweder „Aus Ihren AWS KMS Schlüsseln auswählen“ oder „ AWS KMS key ARN eingeben“.

8. Wählen Sie Save Changes.

9. (Optional) Wenn Sie noch keinen KMS-Schlüssel haben, erstellen Sie einen mit dem folgenden Befehl AWS CLI create-key:

   $ aws kms create-key

   Die Ausgabe enthält die Schlüssel-ID und den Amazon-Ressourcennamen (ARN) des KMS-Schlüssels. Das Folgende ist eine Beispielausgabe:

   {
       "KeyMetadata": {
           "KeyId": "01234567-89ab-cdef-0123-456789abcdef",
           "Description": "",
           "Enabled": true,
           "KeyUsage": "ENCRYPT_DECRYPT",
           "KeyState": "Enabled",
           "CreationDate": 1478910250.94,
           "Arn": "arn:aws:kms:us-west-2:123456789012:key/01234567-89ab-cdef-0123-456789abcdef",
           "AWSAccountId": "123456789012"
       }
   }

10. Mithilfe der folgenden Schritte erteilen Sie dem AWS Private CA Dienstprinzipal die Erlaubnis, den KMS-Schlüssel zu verwenden. Standardmäßig sind alle KMS-Schlüssel privat. Nur der Ressourcenbesitzer kann einen KMS-Schlüssel zum Verschlüsseln und Entschlüsseln von Daten verwenden. Der Ressourceninhaber kann jedoch anderen Benutzern und Ressourcen Zugriffsberechtigungen für den KMS-Schlüssel erteilen. Der Dienstprinzipal muss sich in derselben Region befinden, in der der KMS-Schlüssel gespeichert ist.

    1. Speichern Sie zunächst die Standardrichtlinie für Ihren KMS-Schlüssel als policy.json ab, indem Sie den folgenden Befehl get-key-policy verwenden:

       $ aws kms get-key-policy --key-id key-id --policy-name default --output text > ./policy.json

    2. Öffnen Sie die Datei policy.json in einem Text-Editor. Wählen Sie eine der folgenden Richtlinienanweisungen aus und fügen Sie sie der vorhandenen Richtlinie hinzu.

       Wenn Ihr Amazon S3-Bucket-Schlüssel aktiviert ist, verwenden Sie die folgende Anweisung:

       {
          "Sid":"Allow ACM-PCA use of the key",
          "Effect":"Allow",
          "Principal":{
             "Service":"acm-pca.amazonaws.com"
          },
          "Action":[
             "kms:GenerateDataKey",
             "kms:Decrypt"
          ],
          "Resource":"*",
          "Condition":{
             "StringLike":{
                "kms:EncryptionContext:aws:s3:arn":"arn:aws:s3:::bucket-name"
             }
          }
       }

       Wenn Ihr Amazon S3-Bucket-Schlüssel deaktiviert ist, verwenden Sie die folgende Anweisung:

       {
          "Sid":"Allow ACM-PCA use of the key",
          "Effect":"Allow",
          "Principal":{
             "Service":"acm-pca.amazonaws.com"
          },
          "Action":[
             "kms:GenerateDataKey",
             "kms:Decrypt"
          ],
          "Resource":"*",
          "Condition":{
             "StringLike":{
                "kms:EncryptionContext:aws:s3:arn":[
                   "arn:aws:s3:::bucket-name/acm-pca-permission-test-key",
                   "arn:aws:s3:::bucket-name/acm-pca-permission-test-key-private",
                   "arn:aws:s3:::bucket-name/audit-report/*",
                   "arn:aws:s3:::bucket-name/crl/*"
                ]
             }
          }
       }

    3. Wenden Sie abschließend die aktualisierte Richtlinie mit dem folgenden Befehl https://docs.aws.amazon.com/cli/latest/reference/kms/put-key-policy.html put-key-policy an:

       $ aws kms put-key-policy --key-id key_id --policy-name default --policy file://policy.json