Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

À propos du fournisseur le plus récent

Le fournisseur le plus récent est un fournisseur CMP conçu pour travailler avec un magasin de fournisseur. Il obtient les fournisseurs CMP auprès d'un magasin de fournisseur et les matériaux de chiffrement qu'il retourne auprès des CMP. Il utilise généralement chaque CMP pour répondre à plusieurs demandes de matériaux de chiffrement. Cependant, vous pouvez utiliser les fonctions de son magasin de fournisseur pour contrôler jusqu'à quelle mesure les matériaux sont réutilisés, déterminer la fréquence de rotation de son fournisseur CMP et, même, modifier le type de fournisseur CMP utilisé sans modifier le fournisseur le plus récent.

Le fournisseur le plus récent constitue un bon choix pour les applications qui doivent minimiser les appels au magasin de fournisseur et à sa source de chiffrement, et pour les applications qui peuvent réutiliser certains matériaux de chiffrement sans enfreindre leurs exigences de sécurité. Par exemple, il vous permet de protéger vos documents cryptographiques sous un AWS KMS keyin AWS Key Management Service(AWS KMS) sans appeler AWS KMS chaque fois que vous cryptez ou déchiffrez un élément.

Le magasin de fournisseur que vous choisissez détermine le type de CMP que le fournisseur le plus récent utilise et à quelle fréquence il obtient un nouveau fournisseur CMP. Vous pouvez utiliser tout magasin de fournisseur compatible avec le fournisseur le plus récent, y compris les magasins de fournisseur personnalisés que vous concevez.

Le client de chiffrement DynamoDB inclut un MetaStorequi crée et renvoie des fournisseurs de matériaux encapsulés (Wrapped CMP). Il MetaStore enregistre plusieurs versions des CMP encapsulés qu'il génère dans une table DynamoDB interne et les protège à l'aide d'un chiffrement côté client effectué par une instance interne du client de chiffrement DynamoDB.

Vous pouvez configurer le MetaStore pour utiliser n'importe quel type de CMP interne pour protéger les éléments du tableau, notamment un fournisseur Direct KMS qui génère des matériaux cryptographiques protégés par votreAWS KMS key, un CMP encapsulé qui utilise les clés d'encapsulation et de signature que vous fournissez, ou un CMP personnalisé compatible que vous concevez.

Pour obtenir un exemple de code, consultez :

Comment l'utiliser

Pour créer un fournisseur le plus récent, vous devez créer et configurer un magasin de fournisseur, puis créer un fournisseur le plus récent qui utilise le magasin de fournisseur.

Les exemples suivants montrent comment créer un fournisseur le plus récent qui utilise MetaStore et protège les versions de sa table DynamoDB interne à l'aide de documents cryptographiques provenant d'un fournisseur Direct KMS. Ces exemples utilisent le CachingMostRecentProvidersymbole.

Chaque fournisseur le plus récent possède un nom qui identifie ses CMP dans le MetaStore tableau, un paramètre time-to-live(TTL) et un paramètre de taille du cache qui détermine le nombre d'entrées que le cache peut contenir. Ces exemples définissent la taille du cache à 1 000 entrées et à une valeur TTL de 60 secondes.

Java

// Set the name for MetaStore's internal table
final String keyTableName = 'metaStoreTable'

// Set the Region and AWS KMS key
final String region = 'us-west-2'
final String keyArn = 'arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab'

// Set the TTL and cache size
final long ttlInMillis = 60000;
final long cacheSize = 1000;

// Name that identifies the MetaStore's CMPs in the provider store
final String materialName = 'testMRP'

// Create an internal DynamoDB client for the MetaStore
final AmazonDynamoDB ddb = AmazonDynamoDBClientBuilder.standard().withRegion(region).build();

// Create an internal Direct KMS Provider for the MetaStore
final AWSKMS kms = AWSKMSClientBuilder.standard().withRegion(region).build();
final DirectKmsMaterialProvider kmsProv = new DirectKmsMaterialProvider(kms, keyArn);

// Create an item encryptor for the MetaStore,
// including the Direct KMS Provider
final DynamoDBEncryptor keyEncryptor = DynamoDBEncryptor.getInstance(kmsProv);

// Create the MetaStore
final MetaStore metaStore = new MetaStore(ddb, keyTableName, keyEncryptor);

//Create the Most Recent Provider
final CachingMostRecentProvider cmp = new CachingMostRecentProvider(metaStore, materialName, ttlInMillis, cacheSize);

Python

# Designate an AWS KMS key
kms_key_id = 'arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab'

# Set the name for MetaStore's internal table
meta_table_name = 'metaStoreTable'

# Name that identifies the MetaStore's CMPs in the provider store
material_name = 'testMRP'

# Create an internal DynamoDB table resource for the MetaStore
meta_table = boto3.resource('dynamodb').Table(meta_table_name)

# Create an internal Direct KMS Provider for the MetaStore
kms_cmp = AwsKmsCryptographicMaterialsProvider(key_id=kms_key_id)
    
# Create the MetaStore with the Direct KMS Provider
meta_store = MetaStore(
    table=meta_table,
    materials_provider=kms_cmp
)

# Create a Most Recent Provider using the MetaStore
#    Sets the TTL (in seconds) and cache size (# entries)
most_recent_cmp = MostRecentProvider(
    provider_store=meta_store,
    material_name=material_name,
    version_ttl=60.0,
    cache_size=1000
)

Comment ça marche

Le fournisseur le plus récent obtient les fournisseurs CMP auprès d'un magasin de fournisseur. Puis, il utilise le fournisseur CMP pour générer les matériaux de chiffrement qu'il retourne au chiffreur d'élément.

À propos du fournisseur le plus récent

Le fournisseur le plus récent obtient un fournisseur CMP à partir d'un magasin de fournisseur. Puis, il utilise le fournisseur CMP pour générer les matériaux de chiffrement qu'il retourne. Chaque fournisseur le plus récent est associé à un magasin de fournisseur, mais un magasin de fournisseur peut fournir les CMP à plusieurs fournisseurs répartis sur plusieurs hôtes.

Le fournisseur le plus récent peut travailler avec n'importe quel fournisseur CMP compatible d'un magasin de fournisseur. Il demande du matériel de chiffrement ou de déchiffrement au CMP et renvoie le résultat au chiffreur d'articles. Il n'effectue pas d'opération de chiffrement.

Pour demander un fournisseur CMP auprès de son magasin de fournisseur, le fournisseur le plus récent fournit son nom de matériau et la version d'un fournisseur CMP existant qu'il veut utiliser. Pour les matériaux de chiffrement, le fournisseur le plus récent demande toujours la version maximale (la « plus récente »). Pour les matériaux de chiffrement, il demande la version du fournisseur CMP qui a été utilisée pour créer les matériaux de chiffrement, comme illustré dans le diagramme suivant.

Le fournisseur le plus récent enregistre les versions des fournisseurs CMP que le magasin de fournisseur retourne dans un cache LRU (Least Recently Used) local en mémoire. Le cache permet au fournisseur le plus récent d'obtenir les fournisseurs CMP dont il a besoin sans appeler le magasin de fournisseur pour chaque élément. Vous pouvez effacer le cache à la demande.

Le fournisseur le plus récent utilise une time-to-livevaleur configurable que vous pouvez ajuster en fonction des caractéristiques de votre application.

À propos de la MetaStore

Vous pouvez utiliser un fournisseur le plus récent avec n'importe quel magasin de fournisseur, y compris un magasin de fournisseur personnalisé compatible. Le client de chiffrement DynamoDB inclut une MetaStore implémentation sécurisée que vous pouvez configurer et personnaliser.

A MetaStoreest un magasin fournisseur qui crée et renvoie des CMP encapsulés configurés avec la clé d'encapsulation, la clé de désencapsulage et la clé de signature requises par les CMP encapsulés. A MetaStore est une option sécurisée pour le fournisseur le plus récent, car les CMP encapsulés génèrent toujours des clés de chiffrement uniques pour chaque article. Seule la clé d'encapsulation qui protège la clé de chiffrement d'élément et la clé de signature sont réutilisées.

Le schéma suivant montre les composants du fournisseur le plus récent MetaStore et la manière dont il interagit avec celui-ci.

MetaStoreGénère les CMP encapsulés, puis les stocke (sous forme cryptée) dans une table DynamoDB interne. La clé de partition est le nom du matériel du fournisseur le plus récent ; la clé de tri correspond au numéro de version. Les éléments du tableau sont protégés par un client de chiffrement DynamoDB interne, notamment un crypteur d'éléments et un fournisseur de matériel cryptographique interne (CMP).

Vous pouvez utiliser n'importe quel type de CMP interne dans votreMetaStore, y compris un fournisseur Direct KMS, un CMP encapsulé avec les matériaux cryptographiques que vous fournissez ou un CMP personnalisé compatible. Si le CMP interne de votre fournisseur MetaStore est un fournisseur Direct KMS, vos clés d'encapsulation et de signature réutilisables sont protégées par un AWS KMS keyin AWS Key Management Service(AWS KMS). Les MetaStore appels AWS KMS chaque fois qu'il ajoute une nouvelle version CMP à sa table interne ou obtient une version CMP à partir de sa table interne.

Définition d'une time-to-live valeur

Vous pouvez définir une valeur time-to-live (TTL) pour chaque fournisseur le plus récent que vous créez. En général, utilisez la valeur TTL la plus faible possible pour votre application.

L'utilisation de la valeur TTL est modifiée dans le CachingMostRecentProvider symbole du fournisseur le plus récent.

Le TTL ne détermine pas la fréquence de création d'une nouvelle version CMP. Vous créez de nouvelles versions du CMP en faisant pivoter les matériaux cryptographiques.

La valeur TTL idéale varie en fonction de l'application et de ses objectifs de latence et de disponibilité. Un TTL inférieur améliore votre profil de sécurité en réduisant la durée pendant laquelle les documents cryptographiques sont stockés en mémoire. De plus, un TTL plus faible actualise les informations critiques plus fréquemment. Par exemple, si votre CMP interne est un fournisseur Direct KMS, il vérifie plus fréquemment que l'appelant est toujours autorisé à utiliser un. AWS KMS key

Toutefois, si le TTL est trop court, les appels fréquents vers le magasin du fournisseur peuvent augmenter vos coûts et amener ce dernier à limiter les demandes provenant de votre application et d'autres applications partageant votre compte de service. Il peut également être utile de coordonner le TTL avec la vitesse à laquelle vous faites pivoter les documents cryptographiques.

Pendant les tests, modifiez le TTL et la taille du cache en fonction de différentes charges de travail jusqu'à ce que vous trouviez une configuration adaptée à votre application et à vos normes de sécurité et de performances.

Rotation des matériaux de chiffrement

Lorsqu'un fournisseur le plus récent a besoin de matériel de chiffrement, il utilise toujours la version la plus récente de son CMP dont il a connaissance. La fréquence à laquelle il vérifie la présence d'une version plus récente est déterminée par la valeur time-to-live(TTL) que vous avez définie lorsque vous configurez le fournisseur le plus récent.

Lorsque le TTL expire, le fournisseur le plus récent vérifie la présence d'une version plus récente du CMP dans le magasin des fournisseurs. S'il en existe un, le fournisseur le plus récent l'obtient et remplace le CMP dans son cache. Il utilise ce CMP et ses matériaux cryptographiques jusqu'à ce qu'il découvre que le fournisseur dispose d'une version plus récente.

Pour demander au magasin de fournisseur de créer une version d'un CMP pour un fournisseur le plus récent, appelez l'opération Create New Provider du magasin de fournisseur avec le nom de matériau du fournisseur le plus récent. Le magasin de fournisseur crée un CMP et enregistre une copie chiffrée dans son stockage interne avec un numéro de version supérieur. (Il retourne aussi un CMP, mais vous pouvez l'ignorer.) Par conséquent, la prochaine fois que le fournisseur le plus récent demandera au magasin de fournisseurs le numéro de version maximal de ses CMP, il obtiendra le nouveau numéro de version supérieur et l'utilisera dans les demandes suivantes adressées au magasin pour voir si une nouvelle version du CMP a été créée.

Vous pouvez planifier vos appels Create New Provider en fonction de l'heure, du nombre d'éléments ou d'attributs traités, ou de toute autre métrique qui revêt un sens pour votre application.

Obtention des matériaux de chiffrement

Le fournisseur le plus récent utilise le processus suivant, illustré dans le diagramme, pour obtenir les matériaux de chiffrement qu'il retourne au chiffreur d'élément. La sortie dépend du type de fournisseur CMP que le magasin de fournisseur retourne. Le fournisseur le plus récent peut utiliser n'importe quel magasin de fournisseurs compatible, y compris MetaStore celui inclus dans le client de chiffrement DynamoDB.

Obtention des matériaux de déchiffrement

Quand le chiffreur d'élément demande au fournisseur le plus récent les matériaux de chiffrement, le fournisseur le plus récent utilise le processus suivant pour les obtenir et les retourner.

Mises à jour apportées au fournisseur le plus récent

Le symbole du fournisseur le plus récent est remplacé par MostRecentProviderCachingMostRecentProvider.

CachingMostRecentProviderImplémente les modifications suivantes :

Pour effectuer la mise à jour vers leCachingMostRecentProvider, vous devez modifier le nom du symbole dans votre code. À tous les autres égards, le CachingMostRecentProvider est entièrement rétrocompatible avec leMostRecentProvider. Il n'est pas nécessaire de crypter à nouveau les éléments du tableau.

Toutefois, cela CachingMostRecentProvider génère davantage d'appels vers l'infrastructure clé sous-jacente. Il appelle le magasin du fournisseur au moins une fois par intervalle time-to-live (TTL). Les applications comportant de nombreuses CMP actives (en raison d'une rotation fréquente) ou les applications impliquant de grands parcs de véhicules sont les plus susceptibles d'être sensibles à ce changement.

Avant de publier votre code mis à jour, testez-le minutieusement pour vous assurer que les appels les plus fréquents n'altèrent pas votre application ou n'entraînent pas de blocage par des services dont dépend votre fournisseur, tels que AWS Key Management Service (AWS KMS) ou Amazon DynamoDB. Pour atténuer les problèmes de performances, ajustez la taille du cache et la time-to-live de CachingMostRecentProvider en fonction des caractéristiques de performances que vous observez. Pour de plus amples informations, consultez Définition d'une time-to-live valeur.