Création d'une clé de chiffrement pour le stockage éphémère Fargate pour Amazon ECS

Accédez au fichier https://console.aws.amazon.com/km.

Suivez les instructions relatives à la création de clés dans le guide du AWS Key Management Service développeur.

Lorsque vous créez votre AWS KMS clé, assurez-vous de fournir les autorisations d'opération AWS KMS pertinentes au service Fargate dans les politiques clés. Les API opérations suivantes doivent être autorisées dans la politique pour utiliser votre clé gérée par le client avec les ressources de votre ECS cluster Amazon.

L'exemple suivant montre une politique de AWS KMS clé que vous devez appliquer à la clé cible pour le chiffrement. Pour utiliser les exemples de déclarations de politique, user input placeholders remplacez-les par vos propres informations. Comme toujours, configurez uniquement les autorisations dont vous avez besoin, mais vous devrez AWS KMS fournir des autorisations à au moins un utilisateur pour éviter les erreurs.

{
      "Sid": "Allow generate data key access for Fargate tasks.",
      "Effect": "Allow",
      "Principal": { "Service":"fargate.amazonaws.com" },
      "Action": [
        "kms:GenerateDataKeyWithoutPlaintext"
      ],
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:aws:ecs:clusterAccount": [
            "customerAccountId"
          ],
          "kms:EncryptionContext:aws:ecs:clusterName": [
             "clusterName"
          ]   
        }
      },
      "Resource": "*"
    },
    {
      "Sid": "Allow grant creation permission for Fargate tasks.",
      "Effect": "Allow",
      "Principal": { "Service":"fargate.amazonaws.com" },
      "Action": [
        "kms:CreateGrant"
      ],
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:aws:ecs:clusterAccount": [
            "customerAccountId"
          ],
          "kms:EncryptionContext:aws:ecs:clusterName": [
             "clusterName"
          ]   
        },
       "ForAllValues:StringEquals": {
          "kms:GrantOperations": [
             "Decrypt"
          ]
       }
      },
      "Resource": "*"
    },
    {
      "Sid": "Allow describe key permission for cluster operator - CreateCluster and UpdateCluster.",
      "Effect": "Allow",
      "Principal": { "AWS":"arn:aws:iam::customerAccountId:role/customer-chosen-role" },
      "Action": [
        "kms:DescribeKey"
      ],
      "Resource": "*"
    }

Les tâches Fargate utilisent les clés de contexte de chiffrement aws:ecs:clusterName et pour aws:ecs:clusterAccount les opérations cryptographiques effectuées avec la clé. Les clients doivent ajouter ces autorisations pour restreindre l'accès à un compte et/ou à un cluster spécifiques. Utilisez le nom du cluster et non le nom ARN lorsque vous le spécifiez.

Consultez Contexte de chiffrement dans le AWS KMS guide du développeur pour en savoir plus.

Lorsque vous créez ou mettez à jour un cluster, vous avez la possibilité d'utiliser la clé de conditionfargateEphemeralStorageKmsKeyId. Cette clé de condition permet aux clients d'avoir un contrôle plus précis des IAM politiques. Les mises à jour de fargateEphemeralStorageKmsKeyId configuration ne prennent effet que sur les nouveaux déploiements de services.

L'exemple suivant montre comment autoriser les clients à n'accorder des autorisations qu'à un ensemble spécifique de AWS KMS clés approuvées.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecs:CreateCluster",
        "ecs:UpdateCluster"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ecs:fargate-ephemeral-storage-kms-key": "arn:aws:kms:us-west-2:111122223333:key/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"
        }
      }
    }
  ]
}

Voici un exemple de refus des tentatives de suppression de AWS KMS clés déjà associées à un cluster.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Deny",
    "Action": [
        "ecs:CreateCluster",
        "ecs:UpdateCluster"
    ],
    "Resource": "*",
    "Condition": {
      "Null": {
        "ecs:fargate-ephemeral-storage-kms-key": "true"
      }
    }
  }
}

Les clients peuvent voir si leurs tâches non gérées ou leurs tâches de service sont chiffrées à l'aide de la clé à l'aide des describe-services commandes AWS CLI describe-tasksdescribe-cluster, ou.

Pour plus d'informations, consultez la section Clés AWS KMS de condition du guide du AWS KMS développeur.