El cifrado de datos en reposo para Amazon SES

De forma predeterminada, Amazon SES cifra todos los datos en reposo. El cifrado predeterminado ayuda a reducir la sobrecarga operativa y la complejidad que implica la protección de los datos. El cifrado también le permite crear archivos de Mail Manager que cumplen con los estrictos requisitos normativos y de conformidad con el cifrado.

SESproporciona las siguientes opciones de cifrado:

Crear una clave administrada por el cliente

Puede crear una clave simétrica gestionada por el cliente mediante el AWS Management Console, o el AWS KMS APIs.

Para crear una clave simétrica administrada por el cliente

Siga los pasos para crear KMS claves de cifrado simétricas en el AWS Key Management Service Guía para desarrolladores.

Política de claves

Las políticas de clave controlan el acceso a la clave administrada por el cliente. Cada clave administrada por el cliente debe tener exactamente una política de clave, que contiene instrucciones que determinan quién puede usar la clave y cómo puede utilizarla. Cuando crea la clave administrada por el cliente, puede especificar una política de clave. Para obtener más información, consulte Administrar el acceso a las claves administradas por el cliente en la AWS Key Management Service Guía para desarrolladores.

Para utilizar la clave gestionada por el cliente con el archivado de Mail Manager, la política de claves debe permitir las siguientes API operaciones:

El siguiente ejemplo muestra una política de claves típica:

{
            "Sid": "Allow SES to encrypt/decrypt",
            "Effect": "Allow",
            "Principal": {
                "Service": "ses.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        },

Para obtener más información, consulte cómo especificar los permisos en una política, en AWS Key Management Service Guía para desarrolladores.

Para obtener más información sobre la solución de problemas, consulte la sección de solución de problemas de acceso a las teclas, en la AWS Key Management Service Guía para desarrolladores.

Especificar una clave gestionada por el cliente para archivar Mail Manager

Puede especificar una clave gestionada por el cliente como alternativa al uso AWS claves propias. Al crear un archivo, puede especificar la clave de datos introduciendo una KMSclave ARN, que Mail Manager utiliza para cifrar todos los datos de los clientes del archivo.

Contexto SES de cifrado de Amazon

Un contexto de cifrado es un conjunto opcional de pares clave-valor que pueden contener información contextual adicional sobre los datos.

AWS KMS utiliza el contexto de cifrado como datos autenticados adicionales para respaldar el cifrado autenticado. Al incluir un contexto de cifrado en una solicitud de cifrado de datos, AWS KMS vincula el contexto de cifrado a los datos cifrados. Para descifrar los datos, debe incluir el mismo contexto de cifrado en la solicitud.

Contexto SES de cifrado de Amazon

SESutiliza el mismo contexto de cifrado en todos AWS KMS operaciones criptográficas, donde la clave es aws:ses:arn y el valor es el nombre del recurso Amazon Resource Name (ARN).

"encryptionContext": {
    "aws:ses:arn": "arn:aws:ses:us-west-2:111122223333:ExampleResourceName/ExampleResourceID"
}

Uso del contexto de cifrado para la supervisión

Si utiliza una clave simétrica gestionada por el cliente para cifrar el SES recurso, también puede utilizar el contexto de cifrado en los registros y registros de auditoría para identificar cómo se utiliza la clave gestionada por el cliente. El contexto de cifrado también aparece en los registros generados por AWS CloudTrail o Amazon CloudWatch Logs.

Utilizar el contexto de cifrado para controlar el acceso a la clave administrada por el cliente

Puede utilizar el contexto de cifrado en las políticas y IAM políticas clave conditions para controlar el acceso a su clave simétrica gestionada por el cliente. Puede usar también una restricción de contexto de cifrado en una concesión.

SESutiliza una restricción de contexto de cifrado en las concesiones para controlar el acceso a la clave gestionada por el cliente en su cuenta o región. La restricción de concesión requiere que las operaciones que permite la concesión utilicen el contexto de cifrado especificado.

{
    "Sid": "Enable DescribeKey",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/ExampleReadOnlyRole"
     },
     "Action": "kms:DescribeKey",
     "Resource": "*"
},
{
     "Sid": "Enable CreateGrant",
     "Effect": "Allow",
     "Principal": {
         "AWS": "arn:aws:iam::111122223333:role/ExampleReadOnlyRole"
     },
     "Action": "kms:CreateGrant",
     "Resource": "*",
     "Condition": {
         "StringEquals": {
             "kms:EncryptionContext:aws:ses:arn": "arn:aws:ses:us-west-2:111122223333:ExampleResourceName/ExampleResourceID"
          }
     }
}

Políticas de creación de archivos

Los siguientes ejemplos de políticas muestran cómo habilitar la creación de archivos. Las políticas funcionan en todos los activos.

IAMpolítica

{
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "ses:CreateArchive",
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey",
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "ses.us-east-1.amazonaws.com",
                    "kms:CallerAccount": "012345678910"
                }
            }
        }

AWS KMS política

{
            "Sid": "Allow SES to encrypt/decrypt",
            "Effect": "Allow",
            "Principal": {
                "Service": "ses.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        },

Supervisión de tus claves de cifrado para Amazon SES

Cuando utilizas un AWS KMS clave gestionada por el cliente con tus SES recursos de Amazon, puedes usar AWS CloudTrailo Amazon CloudWatch Logs para realizar un seguimiento de las solicitudes que se SES envían a AWS KMS.

Los siguientes ejemplos son AWS CloudTrail eventos para GenerateDataKey y supervisar KMS las operaciones solicitadas DescribeKey para acceder SES a los datos cifrados por la clave gestionada por el cliente: Decrypt

Más información

Los siguientes recursos proporcionan más información sobre cifrado de datos en reposo.