Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configurer AWS KMS politiques clés pour CloudTrail

Vous pouvez créer un AWS KMS key de trois manières :

Si vous créez une clé KMS dans le Console de gestion AWS ou le AWS CLI, vous devez ajouter des sections de stratégie à la clé afin de pouvoir l'utiliser avec CloudTrail. La politique doit autoriser CloudTrail l'utilisation de la clé pour chiffrer vos fichiers journaux, vos fichiers de synthèse et vos magasins de données d'événements, et autoriser les utilisateurs que vous spécifiez à lire les fichiers journaux et les fichiers de synthèse sous forme non chiffrée.

Consultez les ressources suivantes :

Sections de politique clés KMS requises à utiliser avec CloudTrail

Si vous avez créé une clé KMS à l'aide de la console de AWS gestion ou du AWS CLI, vous devez au minimum ajouter les instructions suivantes à votre politique de clé KMS pour qu'elle fonctionne CloudTrail.

Éléments de politique clé KMS requis pour les journaux de suivi

Comme bonne pratique en matière de sécurité, ajoutez une clé de condition aws:SourceArn à la politique de clé KMS. La clé de condition globale IAM aws:SourceArn permet de garantir que la clé KMS est CloudTrail utilisée uniquement pour un ou plusieurs sentiers spécifiques. La valeur de aws:SourceArn est toujours l’ARN du journal d’activité (ou tableau des ARN du journal d’activité) qui utilise la clé KMS. Veillez à ajouter la clé de condition aws:SourceArn des politiques de clé KMS pour les journaux d’activité existants.

La clé de condition aws:SourceAccount est également prise en charge, mais elle n’est pas recommandée. La valeur de aws:SourceAccount est l’ID de compte du propriétaire du journal d’activité ou, pour les journaux d’activité de l’organisation, l’ID du compte de gestion.

Éléments de politique clé KMS requis pour les magasins de données d'événement

Les clés de condition aws:SourceArn et aws:SourceAccount ne sont pas prises en charge dans les politiques relatives aux clés KMS pour les magasins de données d'événement.

Octroi d'autorisations de chiffrement pour les pistes

{
   "Sid": "AllowCloudTrailEncryptLogs",
   "Effect": "Allow",
   "Principal": {
       "Service": "cloudtrail.amazonaws.com"
    },
    "Action": "kms:GenerateDataKey*",
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "aws:SourceArn": "arn:aws:cloudtrail:region:account-id:trail/trail-name"
         },
         "StringLike": {
             "kms:EncryptionContext:aws:cloudtrail:arn": "arn:aws:cloudtrail:*:account-id:trail/*"
         }
    }
}

Dans la politique, vous ajoutez un ou plusieurs comptes chiffrés à l'aide de votre clé au CloudTrail EncryptionContext. Cela CloudTrail se limite à l'utilisation de votre clé pour chiffrer les fichiers journaux et les fichiers de synthèse uniquement pour les comptes que vous spécifiez. Lorsque vous autorisez la racine du compte 222222222222 à chiffrer les fichiers journaux et les fichiers de synthèse, elle délègue l'autorisation à l'administrateur du compte de chiffrer les autorisations nécessaires aux autres utilisateurs de ce compte. Pour ce faire, l'administrateur du compte modifie les politiques associées à ces utilisateurs IAM.

Comme bonne pratique en matière de sécurité, ajoutez une clé de condition aws:SourceArn à la politique de clé KMS. La clé de condition globale IAM aws:SourceArn permet de garantir que la clé KMS est CloudTrail utilisée uniquement pour les pistes spécifiées. Cette condition n'est pas prise en charge dans les stratégies de clé KMS pour les entrepôts de données d'événement.

Déclaration de politique de clé KMS :

{
  "Sid": "EnableCloudTrailEncryptPermissions",
  "Effect": "Allow",
  "Principal": {
    "Service": "cloudtrail.amazonaws.com"
  },
  "Action": "kms:GenerateDataKey*",
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:EncryptionContext:aws:cloudtrail:arn": [
        "arn:aws:cloudtrail:*:111111111111:trail/*",
        "arn:aws:cloudtrail:*:222222222222:trail/*"
      ]
    },
    "StringEquals": {
        "aws:SourceArn": "arn:aws:cloudtrail:region:account-id:trail/trail-name"
    }
  }
}

Pour plus d'informations sur la modification d'une stratégie de clé KMS à utiliser avec CloudTrail, consultez la section Modification d'une stratégie de clé dans le Guide du AWS Key Management Service développeur.

Octroi d'autorisations de chiffrement pour les magasins de données d'événements

Une politique relative à une clé KMS utilisée pour chiffrer un magasin de données d'événements CloudTrail Lake ne peut pas utiliser les clés conditionnelles aws:SourceArn ouaws:SourceAccount. Voici un exemple de politique de clé KMS pour un magasin de données d'événement.

{
    "Sid": "AllowCloudTrailEncryptEds",
    "Effect": "Allow",
    "Principal": {
        "Service": "cloudtrail.amazonaws.com"
     },
     "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "*"
}

Octroi d'autorisations de déchiffrement pour les pistes

Avant d'ajouter votre clé KMS à votre CloudTrail configuration, il est important d'accorder des autorisations de déchiffrement à tous les utilisateurs qui en ont besoin. Les utilisateurs disposant d'autorisations de chiffrement, mais pas de déchiffrement ne peuvent pas lire les journaux chiffrés. Si vous utilisez un compartiment S3 existant avec une clé de compartiment S3, kms:Decrypt des autorisations sont nécessaires pour créer ou mettre à jour un journal avec SSE-KMS le chiffrement activé.

Activer les autorisations de déchiffrement des CloudTrail journaux

Les utilisateurs de votre clé doivent détenir des autorisations explicites pour lire les fichiers journaux que CloudTrail a chiffrés. Pour permettre aux utilisateurs de lire les journaux chiffrés, ajoutez l'instruction obligatoire suivante à votre stratégie de clé KMS, en modifiant la section Principal pour ajouter une ligne pour chaque principal que vous souhaitez pouvoir déchiffrer en utilisant votre clé KMS.

{
  "Sid": "EnableCloudTrailLogDecryptPermissions",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::account-id:user/username"
  },
  "Action": "kms:Decrypt",
  "Resource": "*",
  "Condition": {
    "Null": {
      "kms:EncryptionContext:aws:cloudtrail:arn": "false"
    }
  }
}

Voici un exemple de politique requise pour autoriser le principal de CloudTrail service à déchiffrer les journaux de suivi.

{
      "Sid": "AllowCloudTrailDecryptTrail",
      "Effect": "Allow",
      "Principal": {
          "Service": "cloudtrail.amazonaws.com"
        },
      "Action": "kms:Decrypt",
      "Resource": "*"
}

Autoriser les utilisateurs de votre compte à déchiffrer les journaux de suivi avec votre clé KMS

Exemple

Cette déclaration de politique illustre la façon d'autoriser un utilisateur ou un rôle dans votre compte à utiliser votre clé pour lire les journaux chiffrés dans le compartiment S3 de votre compte.

Dans la politique clé, vous activez les autorisations de déchiffrement des CloudTrail journaux pour l'utilisateur IAM Bob.

Déclaration de politique de clé KMS :

{
  "Sid": "EnableCloudTrailLogDecryptPermissions",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111111111111:user/Bob"
  },
  "Action": "kms:Decrypt",
  "Resource": "arn:aws:kms:region:account-id:key/key-id",
  "Condition": {
    "Null": {
      "kms:EncryptionContext:aws:cloudtrail:arn": "false"
    }
  }
}

Autoriser les utilisateurs d'autres comptes à déchiffrer les journaux de suivi avec votre clé KMS

Vous pouvez autoriser les utilisateurs d'autres comptes à utiliser votre clé KMS pour déchiffrer les journaux de suivi. Les modifications à apporter à votre politique de clé dépendent du fait que le compartiment S3 se trouve dans votre compte ou dans un autre compte.

Autoriser les utilisateurs d’un compartiment dans un autre compte à déchiffrer les journaux

Exemple

Cette déclaration de politique montre comment autoriser un utilisateur IAM ou un rôle dans un autre compte à utiliser votre clé pour lire des journaux chiffrés d’un compartiment S3 dans l’autre compte.

Dans ce cas, vous CloudTrail autorisez le déchiffrement des journaux sous le compte 222222222222 et vous autorisez la politique utilisateur IAM d'Alice à utiliser votre cléKeyA, qui se trouve dans le compte. 111111111111

Déclaration de stratégie de clé KMS :

{
  "Sid": "EnableEncryptedCloudTrailLogReadAccess",
  "Effect": "Allow",
  "Principal": {
    "AWS": [
      "arn:aws:iam::222222222222:root"
    ]
  },
  "Action": "kms:Decrypt",
  "Resource": "arn:aws:kms:region:111111111111:key/key-id",
  "Condition": {
    "Null": {
      "kms:EncryptionContext:aws:cloudtrail:arn": "false"
    }
  }
}

Déclaration de politique utilisateur IAM d’Alice :

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:Decrypt",
      "Resource": "arn:aws:kms:us-west-2:111111111111:key/KeyA"
    }
  ]
}

Autoriser les utilisateurs d'un autre compte à déchiffrer les journaux de suivi de votre compartiment

Pour activer ce scénario, vous activez les autorisations de déchiffrement pour le rôle IAM CloudTrailReadRole dans votre compte, puis vous autorisez l'autre compte à assumer ce rôle.

Déclaration de politique de clé KMS :

{
  "Sid": "EnableEncryptedCloudTrailLogReadAccess",
  "Effect": "Allow",
  "Principal": {
    "AWS": [
      "arn:aws:iam::111111111111:role/CloudTrailReadRole"
    ]
  },
  "Action": "kms:Decrypt",
  "Resource": "arn:aws:kms:region:account-id:key/key-id",
  "Condition": {
    "Null": {
      "kms:EncryptionContext:aws:cloudtrail:arn": "false"
    }
  }
}

CloudTrailReadRoledéclaration de politique de l'entité fiduciaire :

JSON

{
 "Version":"2012-10-17",
 "Statement": [
   {
     "Effect": "Allow",
     "Principal": {
       "AWS": "arn:aws:iam::222222222222:root"
     },
     "Action": "sts:AssumeRole"
    }
  ]
 }

Pour plus d'informations sur la modification d'une stratégie de clé KMS à utiliser avec CloudTrail, consultez la section Modification d'une stratégie de clé dans le Guide du AWS Key Management Service développeur.

Octroi d'autorisations de déchiffrement pour les magasins de données d'événements

Une politique de déchiffrement pour une clé KMS utilisée avec un magasin de données d'événements CloudTrail Lake est similaire à la suivante. Les ARN d'utilisateur ou de rôle spécifiés comme valeurs pour Principal doivent déchiffrer les autorisations pour créer ou mettre à jour des magasins de données d'événement, exécuter des requêtes ou obtenir des résultats de requêtes.

{
      "Sid": "EnableUserKeyPermissionsEds"
      "Effect": "Allow",
      "Principal": {
          "AWS": "arn:aws:iam::account-id:user/username"
      },
      "Action": [
          "kms:Decrypt",
          "kms:GenerateDataKey"
      ],
      "Resource": "*"
  }

Voici un exemple de politique requise pour autoriser le responsable du CloudTrail service à déchiffrer un magasin de données d'événements.

{
      "Sid": "AllowCloudTrailDecryptEds",
      "Effect": "Allow",
      "Principal": {
          "Service": "cloudtrail.amazonaws.com"
        },
      "Action": "kms:Decrypt",
      "Resource": "*"
}

Activer CloudTrail pour décrire les propriétés clés de KMS

CloudTrail nécessite la capacité de décrire les propriétés de la clé KMS. Pour activer cette fonctionnalité, ajoutez l’instruction obligatoire suivante telle quelle à votre politique de clé KMS. Cette déclaration n'accorde CloudTrail aucune autorisation au-delà des autres autorisations que vous spécifiez.

Comme bonne pratique en matière de sécurité, ajoutez une clé de condition aws:SourceArn à la politique de clé KMS. La clé de condition globale IAM aws:SourceArn permet de garantir que la clé KMS est CloudTrail utilisée uniquement pour un ou plusieurs sentiers spécifiques.

{
  "Sid": "AllowCloudTrailAccess",
  "Effect": "Allow",
  "Principal": {
    "Service": "cloudtrail.amazonaws.com"
  },
  "Action": "kms:DescribeKey",
  "Resource": "arn:aws:kms:region:account-id:key/key-id",
  "Condition": {
    "StringEquals": {
        "aws:SourceArn": "arn:aws:cloudtrail:region:account-id:trail/trail-name"
    }
  }
}

Pour plus d’informations sur la modification des politiques de clé KMS, consultez Modification d’une politique de clé dans le Guide du développeur AWS Key Management Service .