Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configurer le chiffrement côté serveur pour les artefacts stockés dans Amazon S3 pour CodePipeline

Il existe deux manières de configurer le chiffrement côté serveur pour les artefacts Amazon S3 :

Si vous utilisez la clé S3 par défaut, vous ne pouvez ni la modifier ni la supprimer Clé gérée par AWS. Si vous utilisez une clé gérée par le client AWS KMS pour chiffrer ou déchiffrer des artefacts dans le compartiment S3, vous pouvez modifier ou alterner cette clé gérée par le client si nécessaire.

Amazon S3 prend en charge les politiques de compartiment que vous pouvez utiliser si vous exigez un chiffrement côté serveur pour tous les objets stockés dans le compartiment. Par exemple, la politique de bucket suivante refuse l'autorisation de télécharger un objet (s3:PutObject) à tout le monde si la demande n'inclut pas l'x-amz-server-side-encryptionen-tête avec lequel le chiffrement côté serveur est demandé. SSE-KMS

JSON

{
    "Version":"2012-10-17",
    "Id": "SSEAndSSLPolicy",
    "Statement": [
        {
            "Sid": "DenyUnEncryptedObjectUploads",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::codepipeline-us-west-2-89050EXAMPLE/*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-server-side-encryption": "aws:kms"
                }
            }
        },
        {
            "Sid": "DenyInsecureConnections",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": "arn:aws:s3:::codepipeline-us-west-2-89050EXAMPLE/*",
            "Condition": {
                "Bool": {
                    "aws:SecureTransport": "false"
                }
            }
        }
    ]
}

Pour plus d'informations sur le chiffrement côté serveur AWS KMS, consultez les sections Protection des données à l'aide du Server-Side chiffrement et Protection des données à l'aide du chiffrement côté serveur avec des clés KMS stockées dans (). AWS Key Management Service SSE-KMS

Pour plus d'informations à ce sujet AWS KMS, consultez le Guide du AWS Key Management Service développeur.

Afficher votre Clé gérée par AWS

Lorsque vous utilisez l'assistant Création d'un pipeline pour créer votre premier pipeline, un compartiment S3 est créé automatiquement dans la région où vous avez créé ce pipeline. Ce compartiment permet de stocker les artefacts du pipeline. Lorsqu'un pipeline s'exécute, les artefacts sont placés dans le compartiment S3 et en sont extraits. Par défaut, CodePipeline utilise le chiffrement côté serveur à AWS KMS l'aide de la aws/s3 clé Clé gérée par AWS pour Amazon S3. Il Clé gérée par AWS est créé et enregistré dans votre AWS compte. Lorsque des artefacts sont extraits du compartiment S3, CodePipeline utilise le même SSE-KMS processus pour déchiffrer l'artefact.

Configurez le chiffrement côté serveur pour les compartiments S3 à l'aide de CloudFormation ou le AWS CLI

Lorsque vous utilisez CloudFormation ou AWS CLI pour créer un pipeline, vous devez configurer manuellement le chiffrement côté serveur. Utilisez l'exemple de politique relative aux compartiments ci-dessus, puis créez votre propre clé gérée par le client. Vous pouvez également utiliser vos propres clés au lieu de Clé gérée par AWS. Voici quelques raisons de choisir votre propre clé :

Les bonnes pratiques de chiffrement décourage la réutilisation étendue des clés de chiffrement. La bonne pratique consiste à effectuer régulièrement une rotation de votre clé. Pour créer de nouveaux éléments cryptographiques pour vos AWS KMS clés, vous pouvez créer une clé gérée par le client, puis modifier vos applications ou alias pour utiliser la nouvelle clé gérée par le client. Vous pouvez également activer la rotation automatique des clés pour une clé gérée par le client existante.

Pour alterner votre clé gérée par le client, voir Rotation des clés.