Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Setzen Sie die VPC-Verschlüsselung während der Übertragung durch

VPC Encryption Controls ist eine Sicherheits- und Compliance-Funktion, die Ihnen eine zentrale autoritative Kontrolle zur Überwachung des Verschlüsselungsstatus Ihrer Datenverkehrsflüsse bietet. Sie hilft Ihnen dabei, Ressourcen zu identifizieren, die eine Klartext-Kommunikation ermöglichen, und bietet Ihnen schließlich Mechanismen an die Hand, mit denen Sie die Verschlüsselung bei der Übertragung innerhalb und zwischen Ihren VPCs in einer Region durchsetzen können

VPC Encryption Controls verwendet sowohl Verschlüsselung auf Anwendungsebene als auch die integrierte Verschlüsselungsfunktion der AWS Nitro-Systemhardware bei der Übertragung, um die Durchsetzung der Verschlüsselung sicherzustellen. Diese Funktion erweitert auch die native Verschlüsselung auf Hardwareebene über die modernen Nitro-Instances hinaus auf andere AWS Dienste wie Fargate, Application Load Balancer, Transit Gateways und viele andere.

Die Funktion wurde für alle entwickelt, die den Verschlüsselungsstatus ihres gesamten Datenverkehrs transparent und kontrollieren möchten. Es ist besonders nützlich in Branchen, in denen Datenverschlüsselung für die Einhaltung von Compliance-Standards wie HIPAA FedRamp und PCI DSS von größter Bedeutung ist. Sicherheitsadministratoren und Cloud-Architekten können damit die Richtlinien zur Verschlüsselung bei der Übertragung in ihrer gesamten Umgebung zentral anwenden AWS

Diese Funktion kann in zwei Modi verwendet werden: im Überwachungsmodus und im Erzwingungsmodus.

Modi zur Steuerung der Verschlüsselung

Überwachungsmodus

Im Überwachungsmodus bietet Encryption Controls Einblick in den Verschlüsselungsstatus der Datenverkehrsflüsse zwischen Ihren AWS Ressourcen innerhalb und zwischen VPCs. Es hilft Ihnen auch dabei, VPC-Ressourcen zu identifizieren, die während der Übertragung keine Verschlüsselung erzwingen. Sie können Ihre VPC-Flow-Logs so konfigurieren, dass das erweiterte Feld ausgegeben wird, das encryption-status Ihnen mitteilt, ob Ihr Datenverkehr verschlüsselt ist. Sie können auch eine Konsole oder einen GetVpcResourcesBlockingEncryptionEnforcement Befehl verwenden, um die Ressourcen zu identifizieren, die während der Übertragung keine Verschlüsselung erzwingen.

Modus erzwingen

Im Erzwingungsmodus verhindert VPC Encryption Controls, dass Sie Funktionen oder Dienste nutzen, die unverschlüsselten Datenverkehr innerhalb der VPC-Grenze zulassen. Sie können Encryption Controls im Erzwingungsmodus nicht direkt auf Ihren vorhandenen VPCs aktivieren. Sie müssen zuerst Encryption Controls im Überwachungsmodus aktivieren, nicht konforme Ressourcen identifizieren und ändern, um die Verschlüsselung während der Übertragung durchzusetzen, und dann den Erzwingungsmodus aktivieren. Sie können Encryption Controls jedoch während der Erstellung für neue VPCs im Erzwingungsmodus aktivieren.

Wenn dieser Modus aktiviert ist, verhindert der Erzwingungsmodus, dass Sie unverschlüsselte VPC-Ressourcen wie alte EC2-Instances, die die native integrierte Verschlüsselung nicht unterstützen, oder Internet-Gateways usw. erstellen oder anhängen. Wenn Sie eine nicht konforme Ressource in einer durch Verschlüsselung erzwungenen VPC ausführen möchten, müssen Sie eine Ausnahme für diese Ressource erstellen.

Überwachung des Verschlüsselungsstatus von Datenverkehrsströmen

Sie können den Verschlüsselungsstatus der Verkehrsflüsse innerhalb der VPC mithilfe des encryption-status Felds in Ihren VPC Flow Logs überprüfen. Folgende Werte sind möglich:

Hinweis:

^* Bei Schnittstellen- und Gateway-Endpunkten wird der Verschlüsselungsstatus AWS nicht anhand der Paketdaten ermittelt. Stattdessen verlassen wir uns auf den Port, über den der Verschlüsselungsstatus angenommen wird.

^{** AWS Ermittelt} für bestimmte AWS verwaltete Endpunkte den Verschlüsselungsstatus auf der Grundlage der TLS-Anforderung in der Dienstkonfiguration.

Einschränkungen von VPC Flow Log

Ausschlüsse von VPC Encryption Controls

Der Erzwingungsmodus für VPC-Verschlüsselungskontrollen erfordert, dass alle Ihre Ressourcen in der VPC die Verschlüsselung erzwingen. Dadurch wird die Verschlüsselung innerhalb einer AWS Region gewährleistet. Möglicherweise verfügen Sie jedoch über Ressourcen wie ein Internet-Gateway, ein NAT-Gateway oder ein Virtual Private Gateway, die Konnektivität außerhalb AWS der Netzwerke ermöglichen, in denen Sie für die Konfiguration und Wartung der Ende-zu-Ende-Verschlüsselung verantwortlich sind. Um diese Ressourcen in VPCs auszuführen, die durch Verschlüsselung erzwungen werden, können Sie Ressourcenausschlüsse erstellen. Ein Ausschluss führt zu einer überprüfbaren Ausnahme für Ressourcen, bei denen der Kunde für die Aufrechterhaltung der Verschlüsselung verantwortlich ist (in der Regel auf Anwendungsebene).

Es gibt nur 8 unterstützte Ausnahmen für VPC Encryption Controls. Wenn Sie über diese Ressourcen in Ihrer VPC verfügen und in den Erzwingungsmodus wechseln möchten, müssen Sie diese Ausnahmen hinzufügen, wenn Sie vom Monitor- in den Erzwingungsmodus wechseln. Keine anderen Ressourcen können ausgeschlossen werden. Sie können Ihre VPC in den Erzwingungsmodus migrieren, indem Sie Ausnahmen für diese Ressourcen erstellen. Sie sind für die Verschlüsselung des Datenverkehrs zu und von diesen Ressourcen verantwortlich

Arbeitsablauf bei der Implementierung

Eine ausführliche Anleitung zur Einrichtung finden Sie im Blog Einführung in VPC-Verschlüsselungskontrollen: Verschlüsselung bei der Übertragung innerhalb und zwischen VPCs in einer Region erzwingen.

VPC-Verschlüsselung kontrolliert Staaten

VPC Encryption Controls können einen der folgenden Status haben:

AWS Service, Support und Kompatibilität

Um mit der Verschlüsselung konform zu sein, muss eine Ressource während der Übertragung immer die Verschlüsselung durchsetzen, entweder auf der Hardware- oder auf der Anwendungsebene. Für die meisten Ressourcen sind keine Maßnahmen Ihrerseits erforderlich.

Dienste mit automatischer Konformität

Die meisten AWS Dienste PrivateLink, die von unterstützt Cross-Region PrivateLinks werden, akzeptieren Datenverkehr, der auf Anwendungsebene verschlüsselt ist. Sie müssen keine Änderungen an diesen Ressourcen vornehmen. AWS löscht automatisch jeglichen Datenverkehr, der nicht auf der Anwendungsebene verschlüsselt ist. Einige Ausnahmen umfassen Redshift-Cluster (sowohl bereitgestellte als auch serverlose Cluster, bei denen Sie die zugrunde liegenden Ressourcen manuell migrieren müssen)

Ressourcen, die automatisch migriert werden

Network Load Balancer, Application Load Balancer, Fargate-Cluster und EKS Control Plane migrieren automatisch auf Hardware, die Verschlüsselung nativ unterstützt, sobald Sie den Monitormodus einschalten. Sie müssen diese Ressourcen nicht ändern. AWS wickelt die Migration automatisch ab.

Ressourcen, die eine manuelle Migration erfordern

Für bestimmte VPC-Ressourcen und -Dienste müssen Sie die zugrunde liegenden Instance-Typen auswählen. Alle modernen EC2-Instances unterstützen die Verschlüsselung während der Übertragung. Sie müssen keine Änderungen vornehmen, wenn Ihre Dienste bereits moderne EC2-Instances verwenden. Sie können die Konsole oder den GetVpcResourcesBlockingEncryptionEnforcement Befehl verwenden, um festzustellen, ob einer dieser Dienste ältere Instances verwendet. Wenn Sie solche Ressourcen identifizieren, müssen Sie sie auf eine der modernen EC2-Instances aktualisieren, die die native Verschlüsselung der Nitro-Systemhardware unterstützen. Zu diesen Diensten gehören EC2-Instances, Auto Scaling Groups, RDS (Alle Datenbanken und Document-DB), Elasticache Provisioned, Amazon Redshift Provisioned Clusters, EKS, Provisioned und EMR. ECS-EC2 OpenSearch

Kompatible Ressourcen:

Die folgenden Ressourcen sind mit VPC Encryption Controls kompatibel:

Service-specific Einschränkungen

Einschränkungen des Network Load Balancer

TLS-Konfiguration: Sie können einen TLS-Listener nicht verwenden, um die Verschlüsselung und Entschlüsselung an Ihren Load Balancer auszulagern, wenn Sie Encryption Controls auf der enthaltenden VPC durchsetzen. Sie können Ihre Ziele jedoch so konfigurieren, dass sie die TLS-Verschlüsselung und -Entschlüsselung durchführen

Redshift bereitgestellt und serverlos

Kunden können auf einer VPC, die über einen vorhandenen Cluster/Endpunkt verfügt, nicht in den Enforce-Modus wechseln. Um VPC Encryption Controls mit Redshift verwenden zu können, müssen Sie Ihren Cluster oder Namespace aus einem Snapshot wiederherstellen. Erstellen Sie für bereitgestellte Cluster einen Snapshot Ihres vorhandenen Redshift-Clusters und führen Sie dann mithilfe des Vorgangs „Wiederherstellung aus Cluster-Snapshot“ eine Wiederherstellung aus dem Snapshot durch. Erstellen Sie für Serverless einen Snapshot Ihres vorhandenen Namespaces und führen Sie dann mithilfe des Vorgangs „Wiederherstellung aus Snapshot“ in Ihrer serverlosen Arbeitsgruppe eine Wiederherstellung aus dem Snapshot durch. Beachten Sie, dass VPC Encryption Controls auf vorhandenen Clustern oder Namespaces nicht aktiviert werden kann, ohne den Snapshot- und Wiederherstellungsprozess durchzuführen. Informationen zur Erstellung von Snapshots finden Sie in der Amazon Redshift-Dokumentation.

Amazon MSK (Verwaltetes Streaming für Apache Kafka)

Diese Funktion wird in neuen Clustern für 4.1 in ihrer eigenen VPC unterstützt. Die folgenden Schritte helfen Ihnen bei der Verwendung von VPC-Verschlüsselung mit MSK.

Gateway Load Balancer und AWS Network Firewall

Gateway Load Balancer und AWS Network Firewall werden bei VPCs im Erzwingungsmodus nicht unterstützt. Wenn diese Ressourcen in Ihrer VPC vorhanden sind, müssen Sie Ihre VPC im Monitormodus ausführen.

Regional- und Zonenbeschränkungen

VPC-Peering-Unterstützung

Um die Verschlüsselung während der Übertragung mit VPC-Peering zwischen zwei VPCs sicherzustellen, müssen sich die beiden VPCs in derselben Region befinden und die Verschlüsselungssteuerung im Erzwingungsmodus ohne Ausnahmen aktiviert sein. Sie müssen einen Peering-Ausschluss erstellen, wenn Sie eine durch Verschlüsselung erzwungene VPC mit einer anderen VPC verbinden möchten, die sich entweder in einer anderen Region befindet oder für die im Erzwingungsmodus (ohne Ausnahmen) keine Verschlüsselungskontrollen aktiviert sind.

Wenn sich zwei VPCs im Erzwingungsmodus befinden und miteinander Peering betreiben, können Sie den Modus nicht von „Erzwingen“ auf „Überwachen“ ändern. Sie müssten zuerst einen Peering-Ausschluss erstellen, bevor Sie den Modus VPC Encryption Controls auf Überwachung umstellen.

Unterstützung der Transit Gateway-Verschlüsselung

Sie müssen die Verschlüsselungsunterstützung auf einem Transit Gateway explizit aktivieren, um den Verkehr zwischen Ihren VPCs zu verschlüsseln, für die die Verschlüsselungssteuerung aktiviert ist. Durch die Aktivierung der Verschlüsselung auf dem vorhandenen Transit Gateway werden bestehende Verkehrsflüsse nicht unterbrochen, und die Migration von VPC-Anhängen auf verschlüsselte Leitungen erfolgt nahtlos und automatisch. Der Verkehr zwischen zwei VPCs im Erzwingungsmodus (ohne Ausnahmen) über das Transit Gateway durchläuft zu 100% verschlüsselte Leitungen. Mit der Verschlüsselung auf dem Transit Gateway können Sie auch zwei VPCs verbinden, die sich ebenfalls in unterschiedlichen Encryption Controls-Modi befinden. Sie sollten es verwenden, wenn Sie Verschlüsselungskontrollen in einer VPC durchsetzen möchten, die mit einer VPC verbunden ist, bei der keine Verschlüsselung erzwungen wird. In einem solchen Szenario wird Ihr gesamter Datenverkehr innerhalb Ihrer verschlüsselungserzwungenen VPC, einschließlich des VPC-Datenverkehrs, verschlüsselt. Der VPC-Datenverkehr zwischen den Ressourcen in der verschlüsselungserzwungenen VPC und dem Transit Gateway wird verschlüsselt. Darüber hinaus hängt die Verschlüsselung von den Ressourcen ab, an die der Datenverkehr in der nicht erzwungenen VPC weitergeleitet wird, und es kann nicht garantiert werden, dass die Verschlüsselung erfolgt (da sich die VPC nicht im Erzwingungsmodus befindet). Alle VPCs müssen sich in derselben Region befinden. (Einzelheiten finden Sie hier).

Weitere Informationen zur Unterstützung der Transit Gateway-Verschlüsselung finden Sie in der Transit Gateway-Dokumentation.

Aktivieren Sie VPC Encryption Controls auf Kontoebene

Account-level Mit VPC Encryption Controls können Sie den Verschlüsselungssteuerungsmodus und die Ressourcenausschlüsse festlegen, die für alle VPCs in Ihrem Konto gelten. Dies ermöglicht eine zentrale Verwaltung der Verschlüsselungsrichtlinien, ohne dass jede VPC einzeln konfiguriert werden muss.

Account-level Verschlüsselungssteuerungen unterstützen dieselben acht Ressourcenausschlüsse wie VPC-level Steuerelemente: Internet Gateway, NAT Gateway, Egress-only Internet Gateway, VPC Peering, Virtual Private Gateway, Lambda, VPC Lattice und Elastic File System.

Account-level Modi für die Verschlüsselungssteuerung

Sie können die folgenden Modi auf Kontoebene festlegen:

Account-level Status der Verschlüsselungssteuerung

Account-level VPC Encryption Controls kann einen der folgenden Status haben:

Aktivieren Sie VPC Encryption Controls auf Organisationsebene

Wenn Sie AWS Organizations zur Verwaltung von Konten in Ihrer Organisation verwenden, können Sie eine AWS deklarative Organisationsrichtlinie verwenden, um VPC-Verschlüsselungskontrollen für die Konten in der Organisation durchzusetzen. Weitere Informationen zur deklarativen Richtlinie von VPC Encryption Controls finden Sie im Benutzerhandbuch für Organisationen unter Unterstützte deklarative Richtlinien. AWS

Preisgestaltung

Preisinformationen finden Sie in den Amazon VPC-Preisen.

AWS CLI Befehlsreferenz

Einrichtung und Konfiguration

Überwachung und Fehlerbehebung

Bereinigen

Weitere Ressourcen

Eine ausführliche Anleitung zur Einrichtung finden Sie im Blog Einführung in VPC-Verschlüsselungskontrollen: Verschlüsselung bei der Übertragung innerhalb und zwischen VPCs in einer Region erzwingen.

Ausführlichere API-Informationen finden Sie im EC2-API-Referenzhandbuch.