Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

WorkSpaces Cifrado en WorkSpaces Personal

WorkSpaces está integrado con AWS Key Management Service (AWS KMS). Esto le permite cifrar los volúmenes de almacenamiento WorkSpaces utilizando la AWS KMS clave. Al lanzar a WorkSpace, puede cifrar el volumen raíz (para Microsoft Windows, la unidad C; para Linux,/) y el volumen de usuario (para Windows, la unidad D; para Linux, /home). De este modo, se garantiza que los datos almacenados en reposo, el disco del volumen y las instantáneas creadas I/O a partir de los volúmenes estén todos cifrados.

Requisitos previos

Necesita una AWS KMS clave para poder iniciar el proceso de cifrado. Esta clave de KMS puede ser la clave de KMS AWS gestionada para Amazon WorkSpaces (aws/workspaces) o una clave de KMS simétrica gestionada por el cliente.

Debes cumplir los siguientes requisitos para usar una AWS KMS clave para cifrar tu: WorkSpaces

Límites

Descripción general del uso del WorkSpaces cifrado AWS KMS

Cuando crea WorkSpaces con volúmenes cifrados, WorkSpaces utiliza Amazon Elastic Block Store (Amazon EBS) para crear y administrar esos volúmenes. Amazon EBS cifra los volúmenes con una clave de datos mediante el algoritmo estándar del sector. AES-256 Tanto Amazon EBS como Amazon WorkSpaces utilizan su clave de KMS para trabajar con los volúmenes cifrados. Para obtener más información sobre el cifrado de volumen de EBS, consulte Cifrado de Amazon EBS en la Guía del usuario de Amazon EC2.

Cuando se lanza WorkSpaces con volúmenes cifrados, el proceso de principio a fin funciona de la siguiente manera:

WorkSpaces contexto de cifrado

WorkSpaces no usa su clave KMS directamente para operaciones criptográficas (como Encrypt,, Decrypt, etc.) GenerateDataKey, lo que significa que WorkSpaces no envía solicitudes a las AWS KMS que incluya un contexto de cifrado. Sin embargo, cuando Amazon EBS solicita una clave de datos cifrada para los volúmenes cifrados de su WorkSpaces (Paso 3enDescripción general del uso del WorkSpaces cifrado AWS KMS) y cuando solicita una copia en texto plano de esa clave de datos (Paso 5), incluye el contexto de cifrado en la solicitud.

El contexto de cifrado proporciona datos autenticados adicionales (AAD) que se AWS KMS utilizan para garantizar la integridad de los datos. El contexto de cifrado también se escribe en los archivos de AWS CloudTrail registro, lo que puede ayudarle a entender por qué se utilizó una clave de KMS determinada. Amazon EBS usa lo siguiente para el contexto de cifrado:

El siguiente ejemplo muestra una representación JSON del contexto de cifrado que usa Amazon EBS:

{
  "aws:workspaces:sid-directoryid": "[S-1-5-21-277731876-1789304096-451871588-1107]@[d-1234abcd01]",
  "aws:ebs:id": "vol-1234abcd"
}

Conceda WorkSpaces permiso para usar una clave de KMS en su nombre

Puedes proteger tus WorkSpace datos con la clave KMS AWS administrada para WorkSpaces (aws/workspaces) o con una clave KMS administrada por el cliente. Si usas una clave de KMS administrada por un cliente, debes conceder WorkSpaces permiso para usar la clave de KMS en nombre de los WorkSpaces administradores de tu cuenta. La clave de KMS AWS administrada para WorkSpaces tiene los permisos necesarios de forma predeterminada.

Para preparar la clave de KMS administrada por el cliente para usarla con WorkSpaces ella, utilice el siguiente procedimiento.

WorkSpaces Los administradores también necesitan permiso para usarlos WorkSpaces. Para obtener más información acerca de estos permisos, consulte Administración de identidades y accesos para WorkSpaces.

Parte 1: Agregar WorkSpaces administradores como usuarios clave

Para conceder a WorkSpaces los administradores los permisos que necesitan, puede utilizar la API Consola de administración de AWS o la AWS KMS API.

Para agregar WorkSpaces administradores como usuarios clave de una clave de KMS (consola)

Para agregar WorkSpaces administradores como usuarios clave de una clave de KMS (API)

Parte 2: Otorgue a WorkSpaces los administradores permisos adicionales mediante una política de IAM

Si seleccionas una clave de KMS gestionada por el cliente para utilizarla en el cifrado, debes establecer políticas de IAM que permitan WorkSpaces a Amazon utilizar la clave de KMS en nombre de un usuario de IAM de tu cuenta que utilice el cifrado. WorkSpaces Ese usuario también necesita permiso para usar Amazon. WorkSpaces Para obtener más información sobre la creación y edición de políticas de usuario de IAM, consulte Administración de políticas de IAM en la Guía del usuario de IAM y Administración de identidades y accesos para WorkSpaces.

WorkSpaces el cifrado requiere un acceso limitado a la clave KMS. A continuación, se muestra una política de claves de ejemplo que puede utilizar. Esta política separa a las entidades principales que pueden administrar la clave de AWS KMS de aquellas que pueden usarla. Antes de utilizar esta política de claves de ejemplo, reemplace el ID de la cuenta de ejemplo y el nombre de usuario de IAM por valores reales de su cuenta.

La primera sentencia coincide con la política de AWS KMS claves predeterminada. Le da permiso a su cuenta para usar políticas de IAM para controlar el acceso a la clave KMS. La segunda y la tercera sentencias definen qué AWS directores pueden administrar y usar la clave, respectivamente. La cuarta afirmación permite que AWS los servicios que están integrados AWS KMS utilicen la clave en nombre del principal especificado. Esta instrucción permite a los servicios de AWS crear y administrar concesiones. La declaración utiliza un elemento de condición que limita las concesiones de la clave de KMS a las concedidas por los AWS servicios en nombre de los usuarios de su cuenta.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Create*",
        "kms:Describe*",
        "kms:Enable*",
        "kms:List*",
        "kms:Put*",
        "kms:Update*",
        "kms:Revoke*",
        "kms:Disable*",
        "kms:Get*",
        "kms:Delete*"
       ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": "true"}}
    }
  ]
}

La política de IAM para un usuario o rol que esté cifrando una WorkSpace debe incluir los permisos de uso de la clave de KMS gestionada por el cliente, así como el acceso a. WorkSpaces Para conceder WorkSpaces permisos a un usuario o rol de IAM, puedes adjuntar el siguiente ejemplo de política al usuario o rol de IAM.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:*",
                "ds:DescribeDirectories",
                "workspaces:*",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:CreateWorkspaces",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:DescribeWorkspaceDirectories",
                "workspaces:DescribeWorkspaces",
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces"
            ],
            "Resource": "*"
        }
    ]
}

El usuario requiere la siguiente política de IAM para usar AWS KMS. Proporciona al usuario acceso de solo lectura a la clave KMS junto con la capacidad de crear concesiones.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:Describe*",
                "kms:List*"
            ],
            "Resource": "*"
        }
    ]
}

Si desea especificar la clave KMS en su política, utilice una política de IAM similar a la siguiente. Reemplace el ARN de la clave KMS de ejemplo por uno válido.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:CreateGrant",
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:ListAliases",
        "kms:ListKeys"
      ],
      "Resource": "*"
    }
  ]
}

Cifre un WorkSpace

Ver cifradas WorkSpaces

Para ver los volúmenes WorkSpaces y los volúmenes que se han cifrado desde la WorkSpaces consola, selecciona una opción en la barra WorkSpaces de navegación de la izquierda. La columna Cifrado de volúmenes muestra si cada uno WorkSpace tiene el cifrado activado o desactivado. Para ver qué volúmenes específicos se han cifrado, expanda la WorkSpace entrada para ver el campo Volúmenes cifrados.