Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Cifrado en reposo en Scheduler EventBridge

En esta sección se describe cómo Amazon EventBridge Scheduler cifra y descifra los datos en reposo. Los datos en reposo son datos almacenados en EventBridge Scheduler y en los componentes subyacentes del servicio. EventBridge Scheduler se integra con AWS Key Management Service (AWS KMS) para cifrar y descifrar sus datos mediante un. AWS KMS key EventBridge Scheduler admite dos tipos de claves de KMS: y claves administradas por Claves propiedad de AWS el cliente.

Claves propiedad de AWSson claves de KMS que un AWS servicio posee y administra para usarlas en varias AWS cuentas. Si bien los usos del Claves propiedad de AWS EventBridge Programador no se almacenan en su AWS cuenta, el EventBridge Programador los usa para proteger sus datos y recursos. De forma predeterminada, el EventBridge Programador cifra y descifra todos los datos con una clave propia. AWS No es necesario administrar su Clave propiedad de AWS ni su política de acceso. Cuando EventBridge Scheduler los usa Claves propiedad de AWS para proteger sus datos, no incurre en ninguna comisión, y su uso no se cuenta como parte de las cuotas de su AWS KMS cuenta.

Las claves administradas por el cliente son claves de KMS almacenadas en tu AWS cuenta que tú creas, posees y administras. Si tu caso práctico específico requiere que controles y audites las claves de cifrado que protegen tus datos en EventBridge Scheduler, puedes usar una clave gestionada por el cliente. Si elige una clave administrada por el cliente, debe administrar su política de claves. Las claves administradas por el cliente tienen una tarifa mensual y una tarifa por uso excesivo del nivel gratuito. El uso de una clave administrada por el cliente también cuenta como parte de su cuota de AWS KMS. Para obtener más información acerca de los precios, consulte Precios de AWS Key Management Service.

Artefactos de cifrado

En la siguiente tabla, se describen los distintos tipos de datos que EventBridge Scheduler cifra en reposo y el tipo de clave de KMS que admite para cada categoría.

EventBridge El programador usa las claves administradas por el cliente solo para cifrar y descifrar la carga útil de destino, como se describe en la tabla anterior. Si eliges usar una clave gestionada por el cliente, EventBridge Scheduler cifra y descifra la carga útil dos veces: una vez con la clave gestionada por Clave propiedad de AWS el cliente y otra con la clave gestionada por el cliente que especifiques. Para todos los demás tipos de datos, EventBridge Scheduler solo usa la predeterminada Clave propiedad de AWS para proteger los datos en reposo.

Utilice la siguiente Administrar las claves de KMS sección para obtener información sobre cómo debe administrar sus recursos y políticas clave de IAM para poder utilizar una clave gestionada por el cliente con EventBridge Scheduler.

Administrar las claves de KMS

Si lo desea, puede proporcionar una clave gestionada por el cliente para cifrar y descifrar la carga útil que su programación entrega a su destino. EventBridge El planificador cifra y descifra tu carga útil de hasta 256 KB de datos. El uso de una clave administrada por el cliente genera una tarifa mensual y una tarifa superior al nivel gratuito. El uso de una clave administrada por el cliente cuenta como parte de su cuota de AWS KMS. Para obtener más información acerca de los precios, consulte Precios de AWS Key Management Service

EventBridge El programador usa los permisos de IAM asociados al principal para crear un cronograma para cifrar los datos. Esto significa que debes adjuntar los permisos AWS KMS relacionados necesarios al usuario o rol que llama a la API del EventBridge programador. Además, EventBridge Scheduler usa políticas basadas en recursos para descifrar los datos. Esto significa que la función de ejecución asociada a su programación también debe tener los permisos necesarios AWS KMS para llamar a la AWS KMS API al descifrar los datos.

Consulta la siguiente sección para obtener información sobre cómo gestionar tu política de AWS KMS claves y los permisos de IAM necesarios para usar una clave gestionada por el cliente en EventBridge Scheduler.

Añadir permisos de IAM

Para usar una clave administrada por el cliente, debe añadir los siguientes permisos a la entidad principal de IAM basada en la identidad que crea una programación, así como al rol de ejecución que asocia al cronograma.

Identity-based permisos para las claves administradas por el cliente

Debes añadir las siguientes AWS KMS acciones a la política de permisos asociada a cualquier entidad principal (usuarios, grupos o funciones) que llame a la API del EventBridge programador al crear una programación.

Estas acciones se suman a las siguientes:

Permisos de función de ejecución para las claves administradas por el cliente

Debe añadir la siguiente acción a la política de permisos de funciones de ejecución de su programación para permitir que EventBridge Scheduler llame a la AWS KMS API al descifrar los datos.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEventBridgeSchedulerToDecryptDataUsingCMKMS",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/your-key-id"
        }
    ]
}

Si utiliza la consola de EventBridge Scheduler para crear una nueva función de ejecución al crear una nueva programación, EventBridge Scheduler asignará automáticamente el permiso necesario a su función de ejecución. Sin embargo, si elige un rol de ejecución existente, debe añadir los permisos necesarios al rol para poder utilizar las claves administradas por el cliente.

Administrar la política de claves

Cuando creas una clave gestionada por el cliente utilizando AWS KMS, de forma predeterminada, tu clave tiene la siguiente política de claves para permitir el acceso a las funciones de ejecución de tus programaciones.

Si lo desea, puede limitar el alcance de su política de claves para proporcionar acceso únicamente al rol de ejecución. Puedes hacerlo si quieres usar tu clave gestionada por el cliente solo con los recursos de tu EventBridge planificador. Usa el siguiente ejemplo de política de claves para limitar los recursos del EventBridge Planificador que pueden usar tu clave.

CloudTrail ejemplo de evento

AWS CloudTrail captura todos los eventos de llamadas a la API. Esto incluye las llamadas a la API siempre que EventBridge Scheduler utilice la clave gestionada por el cliente para descifrar los datos. El siguiente ejemplo muestra una entrada de CloudTrail evento que demuestra que EventBridge Scheduler utiliza la kms:Decrypt acción con una clave gestionada por el cliente.

{
  "eventVersion": "1.08",
  "userIdentity": {
      "type": "AssumedRole",
      "principalId": "ABCDEABCD1AB12ABABAB0:70abcd123a123a12345a1aa12aa1bc12",
      "arn": "arn:aws:sts::123456789012:assumed-role/execution-role/70abcd123a123a12345a1aa12aa1bc12",
      "accountId": "123456789012",
      "accessKeyId": "ABCDEFGHI1JKLMNOP2Q3",
      "sessionContext": {
          "sessionIssuer": {
              "type": "Role",
              "principalId": "ABCDEABCD1AB12ABABAB0",
              "arn": "arn:aws:iam::123456789012:role/execution-role",
              "accountId": "123456789012",
              "userName": "execution-role"
          },
          "webIdFederationData": {},
          "attributes": {
              "creationDate": "2022-10-31T21:03:15Z",
              "mfaAuthenticated": "false"
          }
      }
    },
    "eventTime": "2022-10-31T21:03:15Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Decrypt",
    "awsRegion": "eu-north-1",
    "sourceIPAddress": "13.50.87.173",
    "userAgent": "aws-sdk-java/2.17.295 Linux/4.14.291-218.527.amzn2.x86_64 OpenJDK_64-Bit_Server_VM/11.0.17+9-LTS Java/11.0.17 kotlin/1.3.72-release-468 (1.3.72) vendor/Amazon.com_Inc. md/internal exec-env/AWS_ECS_FARGATE io/sync http/Apache cfg/retry-mode/standard AwsCrypto/2.4.0",
    "requestParameters": {
        "keyId": "arn:aws:kms:us-west-2:123456789012:key/2321abab-2110-12ab-a123-a2b34c5abc67",
        "encryptionAlgorithm": "SYMMETRIC_DEFAULT",
        "encryptionContext": {
            "aws:scheduler:schedule:arn": "arn:aws:scheduler:us-west-2:123456789012:schedule/default/execution-role"
        }
    },
    "responseElements": null,
    "requestID": "request-id",
    "eventID": "event-id",
    "readOnly": true,
    "resources": [
        {
            "accountId": "123456789012",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:123456789012:key/2321abab-2110-12ab-a123-a2b34c5abc67"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management",
    "tlsDetails": {
      "tlsVersion": "TLSv1.3",
      "cipherSuite": "TLS_AES_256_GCM_SHA384",
      "clientProvidedHostHeader": "kms.us-west-2.amazonaws.com"
  }
}