Utilice los informes de auditoría con su CA privada

Para crear un informe de auditoría (consola)

1. Inicia sesión en tu AWS cuenta y abre la Autoridad de certificación privada de AWS consola en https://console.aws.amazon.com/acm-pca/casa.

2. En la página Private certificate authorities (Entidades de certificación privada), elija una CA privada de la lista.

3. En el menú Acciones, elija Generar informe de auditoría.

4. En Audit report destination (Destino de informe de auditoría), para Create a new S3 bucket? ¿Crear un nuevo bucket de S3?, elija Yes (Sí) y escriba un nombre de bucket único o elija No y elija un bucket existente de la lista.

   Si eliges Sí, Autoridad de certificación privada de AWS crea y adjunta la política predeterminada a tu bucket. La política predeterminada incluye una clave de aws:SourceAccount condición que limita el acceso a una AWS cuenta específica. Si desea restringir aún más el acceso, puede añadir otras claves de condición a la política, como en el ejemplo anterior.

   Si selecciona No, deberá asociar la siguiente política al bucket antes de poder generar el informe de auditoría. Utilice el patrón de políticas descrito en Prepare un bucket de Amazon S3 para los informes de auditoría. Para obtener información sobre cómo adjuntar una política, consulte Añadir una política de bucket mediante la consola Amazon S3.

5. En Formato de salida, elija JSON para la notación de JavaScript objetos o CSV para valores separados por comas.

6. Seleccione Generate audit report (Generar informe de auditoría).

Para crear un informe de auditoría (AWS CLI)

1. Si no dispone de un bucket S3, cree uno.

2. Adjunte la política a su bucket. Utilice el patrón de políticas descrito en Prepare un bucket de Amazon S3 para los informes de auditoría. Para obtener más información sobre cómo adjuntar una política, consulte Agregar una política de bucket mediante la consola de Amazon S3

3. Utilice el comando create-certificate-authority-audit-report para crear el informe de auditoría y colocarlo en el depósito de S3 preparado.

   $ aws acm-pca create-certificate-authority-audit-report \
   --certificate-authority-arn arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566 \
   --s3-bucket-name amzn-s3-demo-bucket \
   --audit-report-response-format JSON 

Para configurar el cifrado automático

Complete los siguientes pasos para habilitar el cifrado del lado del servidor de S3.

1. Abra la consola de Amazon S3 en https://console.aws.amazon.com/s3/.

2. En la tabla Buckets, elija el bucket que contendrá sus Autoridad de certificación privada de AWS activos.

3. En la página del bucket, elija la pestaña Properties (Propiedades).

4. Elija la tarjeta Default encryption (Cifrado predeterminado) .

5. Seleccione Habilitar.

6. Elija la Amazon S3 key (SSE-S3) (Clave Amazon S3 (SSE-S3)).

7. Elija Save changes (Guardar cambios).

Para configurar el cifrado personalizado

Complete los siguientes pasos para habilitar el cifrado mediante una clave personalizada.

1. Abra la consola de Amazon S3 en https://console.aws.amazon.com/s3/.

2. En la tabla de cubos, elige el grupo en el que se guardarán tus Autoridad de certificación privada de AWS activos.

3. En la página del bucket, elija la pestaña Properties (Propiedades).

4. Elija la tarjeta Default encryption (Cifrado predeterminado) .

5. Seleccione Habilitar.

6. Elija la AWS Key Management Service clave (SSE-KMS).

7. Elige entre tus AWS KMS claves o Ingresa el AWS KMS key ARN.

8. Elija Save changes (Guardar cambios).

9. (Opcional) Si aún no tiene una clave de KMS, cree una con el siguiente comando create-key de AWS CLI :

   $ aws kms create-key

   La salida contiene la ID de clave y el nombre de recurso de Amazon (ARN) de la clave de KMS. El siguiente es un ejemplo de salida:

   {
       "KeyMetadata": {
           "KeyId": "01234567-89ab-cdef-0123-456789abcdef",
           "Description": "",
           "Enabled": true,
           "KeyUsage": "ENCRYPT_DECRYPT",
           "KeyState": "Enabled",
           "CreationDate": 1478910250.94,
           "Arn": "arn:aws:kms:us-west-2:123456789012:key/01234567-89ab-cdef-0123-456789abcdef",
           "AWSAccountId": "123456789012"
       }
   }

10. Mediante los siguientes pasos, usted otorga al principal del Autoridad de certificación privada de AWS servicio permiso para usar la clave KMS. De forma predeterminada, todas las claves de KMS son privadas; solo el propietario del recurso puede utilizarlo para cifrar y descifrar datos. Sin embargo, el propietario del recurso puede conceder permisos para que otros usuarios y recursos accedan a la clave de KMS. Esta entidad principal del servicio debe estar en la misma región en la que está almacenada la clave de KMS.

    1. En primer lugar, guarde la política predeterminada para su clave KMS policy.json mediante el siguiente get-key-policycomando:

       $ aws kms get-key-policy --key-id key-id --policy-name default --output text > ./policy.json

    2. Abra el archivo policy.json en un editor de texto. Seleccione una de las siguientes declaraciones de política y agréguela a la política existente.

       Si su clave de bucket de Amazon S3 está habilitada, utilice la siguiente declaración:

       {
          "Sid":"Allow ACM-PCA use of the key",
          "Effect":"Allow",
          "Principal":{
             "Service":"acm-pca.amazonaws.com"
          },
          "Action":[
             "kms:GenerateDataKey",
             "kms:Decrypt"
          ],
          "Resource":"*",
          "Condition":{
             "StringLike":{
                "kms:EncryptionContext:aws:s3:arn":"arn:aws:s3:::bucket-name"
             }
          }
       }

       Si su clave de bucket de Amazon S3 está deshabilitada, utilice la siguiente declaración:

       {
          "Sid":"Allow ACM-PCA use of the key",
          "Effect":"Allow",
          "Principal":{
             "Service":"acm-pca.amazonaws.com"
          },
          "Action":[
             "kms:GenerateDataKey",
             "kms:Decrypt"
          ],
          "Resource":"*",
          "Condition":{
             "StringLike":{
                "kms:EncryptionContext:aws:s3:arn":[
                   "arn:aws:s3:::bucket-name/acm-pca-permission-test-key",
                   "arn:aws:s3:::bucket-name/acm-pca-permission-test-key-private",
                   "arn:aws:s3:::bucket-name/audit-report/*",
                   "arn:aws:s3:::bucket-name/crl/*"
                ]
             }
          }
       }

    3. Por último, aplique la política actualizada mediante el siguiente put-key-policycomando:

       $ aws kms put-key-policy --key-id key_id --policy-name default --policy file://policy.json