Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verschlüsselt WorkSpaces in WorkSpaces Personal

WorkSpaces ist in die integriert AWS Key Management Service (AWS KMS). Auf diese Weise können Sie Speichervolumen verschlüsseln von WorkSpaces AWS KMS Schlüssel. Wenn Sie a starten WorkSpace, können Sie das Stammvolume (für Microsoft Windows das Laufwerk C; für Linux,/) und das Benutzervolume (für Windows das Laufwerk D; für Linux /home) verschlüsseln. Auf diese Weise wird sichergestellt, dass Daten im Ruhezustand, Festplatten-Ein-/Ausgaben und Snapshots von Volumes verschlüsselt werden.

Voraussetzungen

Sie benötigen eine AWS KMS Schlüssel, bevor Sie mit dem Verschlüsselungsprozess beginnen können. Dieser KMS Schlüssel kann entweder AWSverwalteter KMS Schlüssel für Amazon WorkSpaces (aws/workspaces) oder ein symmetrischer, vom Kunden verwalteter Schlüssel. KMS

Sie müssen die folgenden Voraussetzungen erfüllen, um einen verwenden zu können AWS KMS Schlüssel zur Verschlüsselung Ihres WorkSpaces:

Einschränkungen

Überblick über die WorkSpaces Verschlüsselung mit AWS KMS

Wenn Sie WorkSpaces mit verschlüsselten Volumes erstellen, WorkSpaces verwendet Amazon Elastic Block Store (AmazonEBS), um diese Volumes zu erstellen und zu verwalten. Amazon EBS verschlüsselt Ihre Volumes mit einem Datenschlüssel unter Verwendung des Industriestandard-Algorithmus AES -256. EBSSowohl Amazon als auch Amazon WorkSpaces verwenden Ihren KMS Schlüssel, um mit den verschlüsselten Volumes zu arbeiten. Weitere Informationen zur EBS Volumenverschlüsselung finden Sie unter Amazon EBS Encryption im EC2Amazon-Benutzerhandbuch.

Wenn Sie WorkSpaces mit verschlüsselten Volumes starten, funktioniert der end-to-end Vorgang wie folgt:

WorkSpaces Verschlüsselungskontext

WorkSpaces verwendet Ihren KMS Schlüssel nicht direkt für kryptografische Operationen (wie EncryptDecrypt, GenerateDataKey, usw.), sendet also WorkSpaces keine Anfragen an AWS KMS die einen Verschlüsselungskontext beinhalten. Wenn Amazon EBS jedoch einen verschlüsselten Datenschlüssel für die verschlüsselten Volumes Ihres WorkSpaces (Schritt 3imÜberblick über die WorkSpaces Verschlüsselung mit AWS KMS) anfordert und wenn es eine Klartextkopie dieses Datenschlüssels (Schritt 5) anfordert, wird der Verschlüsselungskontext in die Anfrage aufgenommen.

Der Verschlüsselungskontext stellt zusätzliche authentifizierte Daten (AAD) bereit, die AWS KMS verwendet, um die Datenintegrität sicherzustellen. Der Verschlüsselungskontext wird auch in Ihren geschrieben AWS CloudTrail Protokolldateien, anhand derer Sie nachvollziehen können, warum ein bestimmter KMS Schlüssel verwendet wurde. Amazon EBS verwendet Folgendes für den Verschlüsselungskontext:

Das folgende Beispiel zeigt eine JSON Darstellung des Verschlüsselungskontextes, den Amazon EBS verwendet:

{
  "aws:workspaces:sid-directoryid": "[S-1-5-21-277731876-1789304096-451871588-1107]@[d-1234abcd01]",
  "aws:ebs:id": "vol-1234abcd"
}

Erteilen Sie die WorkSpaces Erlaubnis, einen KMS Schlüssel in Ihrem Namen zu verwenden

Sie können Ihre WorkSpace Daten schützen unter AWS verwalteter KMS Schlüssel für WorkSpaces (aws/workspaces) oder ein vom Kunden verwalteter Schlüssel. KMS Wenn Sie einen vom Kunden verwalteten KMS Schlüssel verwenden, müssen Sie den WorkSpaces Administratoren in Ihrem Konto die WorkSpaces Erlaubnis zur Verwendung des KMS Schlüssels erteilen. Das Tool AWS Der verwaltete KMS Schlüssel für WorkSpaces verfügt standardmäßig über die erforderlichen Berechtigungen.

Gehen Sie wie folgt vor WorkSpaces, um Ihren vom Kunden verwalteten KMS Schlüssel für die Verwendung mit vorzubereiten.

Ihre WorkSpaces Administratoren benötigen außerdem eine Nutzungsberechtigung WorkSpaces. Weitere Informationen zu diesen Berechtigungen finden Sie unter Identitäts- und Zugriffsmanagement für WorkSpaces.

Teil 1: WorkSpaces Administratoren als Hauptbenutzer hinzufügen

Um WorkSpaces Administratoren die erforderlichen Berechtigungen zu erteilen, können Sie die AWS Management Console oder das AWS KMS API.

Um WorkSpaces Administratoren als Hauptbenutzer für einen KMS Schlüssel hinzuzufügen (Konsole)

Um WorkSpaces Administratoren als Hauptbenutzer für einen KMS Schlüssel hinzuzufügen (API)

Teil 2: Gewähren Sie WorkSpaces Administratoren mithilfe einer IAM Richtlinie zusätzliche Berechtigungen

Wenn Sie einen vom Kunden verwalteten KMS Schlüssel für die Verschlüsselung auswählen, müssen Sie IAM Richtlinien festlegen, die es Amazon WorkSpaces ermöglichen, den KMS Schlüssel im Namen eines IAM Benutzers in Ihrem Konto zu verwenden, der verschlüsselt startet WorkSpaces. Dieser Benutzer benötigt auch die Erlaubnis, Amazon zu verwenden WorkSpaces. Weitere Informationen zum Erstellen und Bearbeiten von IAM Benutzerrichtlinien finden Sie unter IAMRichtlinien verwalten im IAMBenutzerhandbuch undIdentitäts- und Zugriffsmanagement für WorkSpaces.

WorkSpaces Die Verschlüsselung erfordert eingeschränkten Zugriff auf den KMS Schlüssel. Nachfolgend finden Sie eine Schlüsselmusterrichtlinie, die Sie verwenden können. Diese Richtlinie trennt die Prinzipale, die das verwalten können AWS KMS Schlüssel von denen, die ihn verwenden können. Bevor Sie diese Beispielschlüsselrichtlinie verwenden, ersetzen Sie die Beispielkonto-ID und den IAM Benutzernamen durch tatsächliche Werte aus Ihrem Konto.

Die erste Anweisung entspricht der Standardeinstellung AWS KMS wichtige Richtlinie. Sie gibt Ihrem Konto die Erlaubnis, IAM Richtlinien zu verwenden, um den Zugriff auf den KMS Schlüssel zu kontrollieren. Die zweite und dritte Aussage definieren welche AWS Prinzipale können den Schlüssel jeweils verwalten und verwenden. Die vierte Anweisung ermöglicht AWS Dienste, die integriert sind AWS KMS um den Schlüssel im Namen des angegebenen Prinzipals zu verwenden. Diese Anweisung ermöglicht AWS Dienste zur Erstellung und Verwaltung von Zuschüssen. Die Erklärung verwendet ein Bedingungselement, das Zuschüsse für den KMS Schlüssel auf Zuschüsse beschränkt, die gewährt wurden von AWS Dienste im Namen von Benutzern in Ihrem Konto.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Create*",
        "kms:Describe*",
        "kms:Enable*",
        "kms:List*",
        "kms:Put*",
        "kms:Update*",
        "kms:Revoke*",
        "kms:Disable*",
        "kms:Get*",
        "kms:Delete*"
       ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": "true"}}
    }
  ]
}

Die IAM Richtlinie für einen Benutzer oder eine Rolle, die eine verschlüsselt, WorkSpace muss Nutzungsberechtigungen für den vom Kunden verwalteten KMS Schlüssel sowie den Zugriff auf enthalten. WorkSpaces Um einem IAM Benutzer oder einer Rolle WorkSpaces Berechtigungen zu erteilen, können Sie die folgende Beispielrichtlinie an den IAM Benutzer oder die Rolle anhängen.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:*",
                "ds:DescribeDirectories",
                "workspaces:*",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:CreateWorkspaces",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:DescribeWorkspaceDirectories",
                "workspaces:DescribeWorkspaces",
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces"
            ],
            "Resource": "*"
        }
    ]
}

Die folgende IAM Richtlinie ist für die Verwendung durch den Benutzer erforderlich AWS KMS. Es gibt dem Benutzer nur Lesezugriff auf den KMS Schlüssel sowie die Möglichkeit, Zuschüsse zu erstellen.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:Describe*",
                "kms:List*"
            ],
            "Resource": "*"
        }
    ]
}

Wenn Sie den KMS Schlüssel in Ihrer Richtlinie angeben möchten, verwenden Sie eine IAM Richtlinie, die der folgenden ähnelt. Ersetzen Sie den KMS Beispielschlüssel ARN durch einen gültigen Schlüssel.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:CreateGrant",
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:ListAliases",
        "kms:ListKeys"
      ],
      "Resource": "*"
    }
  ]
}

Verschlüsseln Sie eine WorkSpace

Verschlüsselt ansehen WorkSpaces

Wählen WorkSpacesSie in der WorkSpaces Navigationsleiste auf der linken Seite aus WorkSpaces , um zu sehen, welche Volumes verschlüsselt wurden. In der Spalte Volume Encryption wird angezeigt, ob die Verschlüsselung jeweils WorkSpace aktiviert oder deaktiviert ist. Um zu sehen, welche spezifischen Volumes verschlüsselt wurden, erweitern Sie den WorkSpace Eintrag, sodass das Feld Verschlüsselte Volumes angezeigt wird.