Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

WorkSpaces WorkSpaces Persönlich verschlüsselt

WorkSpaces ist in das AWS Key Management Service (AWS KMS) integriert. Auf diese Weise können Sie Speichervolumes WorkSpaces mit AWS KMS Key verschlüsseln. Wenn Sie a starten WorkSpace, können Sie das Root-Volume (für Microsoft Windows das Laufwerk C; für Linux,/) und das Benutzervolume (für Windows das Laufwerk D; für Linux, /home) verschlüsseln. Dadurch wird sichergestellt, dass die Daten, die im Ruhezustand gespeichert sind, von der Festplatte I/O auf das Volume übertragen werden, und die von den Volumes erstellten Snapshots alle verschlüsselt sind.

Voraussetzungen

Sie benötigen einen AWS KMS Schlüssel, bevor Sie mit dem Verschlüsselungsprozess beginnen können. Bei diesem KMS-Schlüssel kann es sich entweder um den AWS verwalteten KMS-Schlüssel für Amazon WorkSpaces (aws/workspaces) oder um einen symmetrischen, vom Kunden verwalteten KMS-Schlüssel handeln.

Sie müssen die folgenden Anforderungen erfüllen, um Ihren AWS KMS Schlüssel zu verschlüsseln: WorkSpaces

Einschränkungen

Überblick über die WorkSpaces Verschlüsselung mit AWS KMS

Wenn Sie WorkSpaces mit verschlüsselten Volumes erstellen, WorkSpaces verwendet Amazon Elastic Block Store (Amazon EBS), um diese Volumes zu erstellen und zu verwalten. Amazon EBS verschlüsselt Ihre Volumes mit einem Datenschlüssel unter Verwendung des branchenüblichen Algorithmus. AES-256 Sowohl Amazon EBS als auch Amazon WorkSpaces verwenden Ihren KMS-Schlüssel, um mit den verschlüsselten Volumes zu arbeiten. Weitere Informationen zur EBS-Volume-Verschlüsselung finden Sie unter Amazon EBS-Verschlüsselung im Amazon EC2-Benutzerhandbuch.

Wenn Sie WorkSpaces mit verschlüsselten Volumes starten, funktioniert der gesamte Prozess wie folgt:

WorkSpaces Verschlüsselungskontext

WorkSpaces verwendet Ihren KMS-Schlüssel nicht direkt für kryptografische Operationen (wie Encrypt,, usw.) Decrypt GenerateDataKey, was bedeutet, AWS KMS dass WorkSpaces keine Anfragen an diese gesendet werden, die einen Verschlüsselungskontext enthalten. Wenn Amazon EBS jedoch einen verschlüsselten Datenschlüssel für die verschlüsselten Volumes von Ihnen WorkSpaces (Schritt 3in derÜberblick über die WorkSpaces Verschlüsselung mit AWS KMS) anfordert und eine Klartextkopie dieses Datenschlüssels (Schritt 5) anfordert, wird der Verschlüsselungskontext in die Anfrage aufgenommen.

Der Verschlüsselungskontext stellt zusätzliche authentifizierte Daten (AAD) bereit, die zur Sicherstellung der AWS KMS Datenintegrität verwendet werden. Der Verschlüsselungskontext wird auch in Ihre AWS CloudTrail Protokolldateien geschrieben, sodass Sie besser verstehen können, warum ein bestimmter KMS-Schlüssel verwendet wurde. Amazon EBS verwendet Folgendes für den Verschlüsselungskontext:

Das folgende Beispiel zeigt eine JSON-Darstellung des von Amazon EBS verwendeten Verschlüsselungskontextes:

{
  "aws:workspaces:sid-directoryid": "[S-1-5-21-277731876-1789304096-451871588-1107]@[d-1234abcd01]",
  "aws:ebs:id": "vol-1234abcd"
}

Erteilen Sie die WorkSpaces Erlaubnis, einen KMS-Schlüssel in Ihrem Namen zu verwenden

Sie können Ihre WorkSpace Daten mit dem AWS verwalteten KMS-Schlüssel für WorkSpaces (aws/workspaces) oder einem vom Kunden verwalteten KMS-Schlüssel schützen. Wenn Sie einen vom Kunden verwalteten KMS-Schlüssel verwenden, müssen Sie den WorkSpaces Administratoren in Ihrem Konto die WorkSpaces Erlaubnis erteilen, den KMS-Schlüssel zu verwenden. Der AWS verwaltete KMS-Schlüssel für WorkSpaces verfügt standardmäßig über die erforderlichen Berechtigungen.

Gehen Sie wie folgt vor, um Ihren vom Kunden verwalteten KMS-Schlüssel für die Verwendung mit WorkSpaces vorzubereiten.

Ihre WorkSpaces Administratoren benötigen ebenfalls eine WorkSpaces Nutzungsberechtigung. Weitere Informationen zu diesen Berechtigungen finden Sie unter Identitäts- und Zugriffsmanagement für WorkSpaces.

Teil 1: WorkSpaces Administratoren als Hauptbenutzer hinzufügen

Um WorkSpaces Administratoren die Berechtigungen zu erteilen, die sie benötigen, können Sie die AWS-Managementkonsole oder die AWS KMS API verwenden.

Um WorkSpaces Administratoren als Hauptbenutzer für einen KMS-Schlüssel hinzuzufügen (Konsole)

Um WorkSpaces Administratoren als Hauptbenutzer für einen KMS-Schlüssel (API) hinzuzufügen

Teil 2: Gewähren Sie WorkSpaces Administratoren mithilfe einer IAM-Richtlinie zusätzliche Berechtigungen

Wenn Sie einen vom Kunden verwalteten KMS-Schlüssel für die Verschlüsselung auswählen, müssen Sie IAM-Richtlinien einrichten, die es Amazon ermöglichen, den KMS-Schlüssel im Namen eines IAM-Benutzers in Ihrem Konto WorkSpaces zu verwenden, der verschlüsselt startet. WorkSpaces Dieser Benutzer benötigt außerdem die Erlaubnis, Amazon zu verwenden. WorkSpaces Weitere Informationen zum Erstellen von IAM-Benutzerrichtlinien finden Sie unter Verwalten von IAM-Richtlinien im IAM-Benutzerhandbuch und unter Identitäts- und Zugriffsmanagement für WorkSpaces.

WorkSpaces Für die Verschlüsselung ist ein eingeschränkter Zugriff auf den KMS-Schlüssel erforderlich. Nachfolgend finden Sie eine Schlüsselmusterrichtlinie, die Sie verwenden können. Diese Richtlinie trennt die Prinzipale, die den AWS KMS -Schlüssel verwalten können, von denjenigen, die ihn verwenden können. Bevor Sie diese Beispiel-Schlüsselrichtlinie verwenden, ersetzen Sie die Beispiel-Konto-ID und den IAM-Benutzernamen durch tatsächliche Werte aus Ihrem Konto.

Die erste Anweisung entspricht der AWS KMS Standardschlüsselrichtlinie. Sie erteilt Ihrem Konto die Berechtigung, IAM-Richtlinien zu verwenden, um den Zugriff auf den KMS-Schlüssel zu steuern. Die zweite und dritte Anweisung definieren, welche AWS Principals den Schlüssel verwalten bzw. verwenden können. Die vierte Anweisung ermöglicht es AWS Diensten, in die integriert sind, den Schlüssel im Namen des angegebenen Prinzipals AWS KMS zu verwenden. Diese Anweisung ermöglicht es AWS -Services, Zuwendungen zu erstellen und zu verwalten. Die Anweisung verwendet ein Bedingungselement, das die Gewährung des KMS-Schlüssels auf solche beschränkt, die von AWS Diensten im Namen der Benutzer in Ihrem Konto vorgenommen werden.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Create*",
        "kms:Describe*",
        "kms:Enable*",
        "kms:List*",
        "kms:Put*",
        "kms:Update*",
        "kms:Revoke*",
        "kms:Disable*",
        "kms:Get*",
        "kms:Delete*"
       ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": "true"}}
    }
  ]
}

Die IAM-Richtlinie für einen Benutzer oder eine Rolle, die einen verschlüsselt, WorkSpace muss Nutzungsberechtigungen für den vom Kunden verwalteten KMS-Schlüssel sowie den Zugriff auf enthalten. WorkSpaces Um einem IAM-Benutzer oder einer IAM-Rolle WorkSpaces Berechtigungen zu erteilen, können Sie die folgende Beispielrichtlinie an den IAM-Benutzer oder die IAM-Rolle anhängen.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:*",
                "ds:DescribeDirectories",
                "workspaces:*",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:CreateWorkspaces",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:DescribeWorkspaceDirectories",
                "workspaces:DescribeWorkspaces",
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces"
            ],
            "Resource": "*"
        }
    ]
}

Die folgende IAM-Richtlinie wird von Benutzern für die Verwendung von AWS KMS benötigt. Sie gibt den Benutzern schreibgeschützten Zugriff auf den KMS-Schlüssel zusammen mit der Möglichkeit, Berechtigungserteilungen zu erstellen.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:Describe*",
                "kms:List*"
            ],
            "Resource": "*"
        }
    ]
}

Wenn Sie den KMS-Schlüssel in Ihrer Richtlinie angeben möchten, verwenden Sie eine IAM-Richtlinie, die der folgenden ähnelt. Ersetzen Sie den ARN des Beispiel-KMS-Schlüssels durch einen gültigen.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:CreateGrant",
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:ListAliases",
        "kms:ListKeys"
      ],
      "Resource": "*"
    }
  ]
}

Verschlüsseln Sie ein WorkSpace

Verschlüsselt anzeigen WorkSpaces

Um zu sehen, welche WorkSpaces Volumes von der WorkSpaces Konsole aus verschlüsselt wurden, wählen Sie in der Navigationsleiste auf der linken Seite WorkSpaces aus. In der Spalte Volume Encryption wird angezeigt, ob für jedes WorkSpace Volume die Verschlüsselung aktiviert oder deaktiviert ist. Um zu sehen, welche spezifischen Volumes verschlüsselt wurden, erweitern Sie den WorkSpace Eintrag, sodass das Feld Verschlüsselte Volumes angezeigt wird.