Chiffrement au repos Chiffrement en transit et en traitement Comment Amazon Forecast utilise les subventions dans AWS KMS Création d’une clé gérée par le client Surveillance de vos clés de chiffrement pour Amazon Forecast Service

Protection des données dans Amazon Forecast

Le modèle de responsabilité AWS https://aws.amazon.com/compliance/shared-responsibility-model/ s'applique à la protection des données dans Amazon Forecast. Comme décrit dans ce modèle, AWS est responsable de la protection de l'infrastructure mondiale qui gère l'ensemble des AWS Cloud. La gestion du contrôle de votre contenu hébergé sur cette infrastructure relève de votre responsabilité. Vous êtes également responsable des tâches de configuration et de gestion de la sécurité des Services AWS que vous utilisez. Pour plus d'informations sur la confidentialité des données, consultez la FAQ sur la confidentialité des données et les conditions légales de la région . Pour plus d’informations sur la protection des données en Europe, consultez le Centre du règlement général sur la protection des données (RGPD).

À des fins de protection des données, nous vous recommandons de protéger les Compte AWS informations d'identification et de configurer les utilisateurs individuels avec AWS IAM Identity Center ou Gestion des identités et des accès AWS (IAM). Ainsi, chaque utilisateur se voit attribuer uniquement les autorisations nécessaires pour exécuter ses tâches. Nous vous recommandons également de sécuriser vos données comme indiqué ci-dessous :

Utilisez l’authentification multifactorielle (MFA) avec chaque compte.
SSL/TLS À utiliser pour communiquer avec AWS les ressources. Nous exigeons TLS 1.2 et recommandons TLS 1.3.
Configurez l'API et la journalisation des activités des utilisateurs avec AWS CloudTrail. Pour plus d'informations sur l'utilisation des CloudTrail sentiers pour enregistrer AWS des activités, consultez la section Utilisation des CloudTrail sentiers dans le Guide de AWS CloudTrail l'utilisateur.
Utilisez des solutions de AWS cryptage, ainsi que tous les contrôles de sécurité par défaut qui s'y trouvent Services AWS.
Utilisez des services de sécurité gérés avancés tels qu’Amazon Macie, qui contribuent à la découverte et à la sécurisation des données sensibles stockées dans Amazon S3.
Si vous avez besoin de modules cryptographiques validés par la norme FIPS 140-3 pour accéder AWS via une interface de ligne de commande ou une API, utilisez un point de terminaison FIPS. Pour plus d’informations sur les points de terminaison FIPS disponibles, consultez Norme FIPS (Federal Information Processing Standard) 140-3.

Nous vous recommandons fortement de ne jamais placer d’informations confidentielles ou sensibles, telles que les adresses e-mail de vos clients, dans des balises ou des champs de texte libre tels que le champ Nom. Cela inclut lorsque vous travaillez avec Forecast ou autre à Services AWS l'aide de la console, de l'API ou des AWS kits de développement logiciel. AWS CLI Toutes les données que vous entrez dans des balises ou des champs de texte de forme libre utilisés pour les noms peuvent être utilisées à des fins de facturation ou dans les journaux de diagnostic. Si vous fournissez une adresse URL à un serveur externe, nous vous recommandons fortement de ne pas inclure d’informations d’identification dans l’adresse URL permettant de valider votre demande adressée à ce serveur.

Chiffrement au repos

Dans Amazon Forecast, la configuration du chiffrement est fournie pendant les CreatePredictor opérations CreateDataset et. Si la configuration de chiffrement est fournie dans l' CreateDataset opération, votre rôle CMK et IAM pour le chiffrement au repos est utilisé dans l'CreateDatasetImportJobopération.

Par exemple, si vous fournissez votre clé KMSKeyArn et un RoleArn dans l' EncryptionConfig instruction de l' CreateDataset opération, Forecast assumera ce rôle et utilisera la clé pour chiffrer l'ensemble de données. Si aucune configuration n'est fournie, Forecast utilise les clés de service par défaut pour le chiffrement. En outre, si vous fournissez les EncryptionConfig informations nécessaires à l' CreatePredictor opération, toutes les opérations suivantes, telles que CreateForecast et CreatePredictorExplanability CreatePredictorBacktestExportJob, utiliseront la même configuration pour effectuer le chiffrement au repos. Encore une fois, si vous ne fournissez pas de configuration de chiffrement, Forecast utilisera le chiffrement du service par défaut.

Pour toutes les données stockées dans votre compartiment Amazon S3, les données sont chiffrées par la clé Amazon S3 par défaut. Vous pouvez également utiliser votre propre AWS KMS clé pour chiffrer vos données et permettre à Forecast d'accéder à cette clé. Pour plus d'informations sur le chiffrement des données dans Amazon S3, consultez la section Protection des données à l'aide du chiffrement. Pour plus d'informations sur la gestion de votre propre AWS KMS clé, consultez la section Gestion des clés dans le Guide du AWS Key Management Service développeur.

Chiffrement en transit et en traitement

Amazon Forecast utilise le protocole TLS avec AWS des certificats pour chiffrer toutes les données envoyées à d'autres AWS services. Toute communication avec d'autres AWS services s'effectue via HTTPS, et les points de terminaison Forecast ne prennent en charge que les connexions sécurisées via HTTPS.

Amazon Forecast copie les données de votre compte et les traite dans un AWS système interne. Lors du traitement des données, Forecast chiffre les données à l'aide d'une AWS KMS clé Forecast ou de toute AWS KMS clé que vous fournissez.

Comment Amazon Forecast utilise les subventions dans AWS KMS

Amazon Forecast nécessite une subvention pour utiliser votre clé gérée par le client.

Forecast crée une autorisation à l'aide du rôle IAM qui est transmis EncryptionConfig lors de l'CreateDatasetopération CreatePredictor ou. Forecast assume le rôle et effectue une opération de création de subventions en votre nom. Consultez la section Configuration du rôle IAM pour plus de détails.

Toutefois, lorsque vous créez un prédicteur chiffré à l'aide d'une clé gérée par le client, Amazon Forecast crée une subvention en votre nom en envoyant une CreateGrant demande à AWS KMS. Les subventions AWS KMS sont utilisées pour permettre à Amazon Forecast d'accéder à une AWS KMS clé d'un compte client.

Amazon Forecast a besoin de cette autorisation pour pouvoir utiliser la clé gérée par votre client pour envoyer des demandes de déchiffrement AWS KMS afin de lire les artefacts du jeu de données chiffré. Forecast utilise également la subvention pour envoyer des GenerateDataKey demandes AWS KMS afin de chiffrer les artefacts de formation vers Amazon S3.

Vous pouvez révoquer l’accès à l’octroi ou supprimer l’accès du service à la clé gérée par le client à tout moment. Dans ce cas, Amazon Forecast ne pourra accéder à aucune des données chiffrées par la clé gérée par le client, ce qui affectera les opérations qui dépendent de ces données. Par exemple, si vous tentez d'effectuer l' CreateForecast opération sur un prédicteur chiffré auquel Amazon Forecast ne peut pas accéder, l'opération renverra une AccessDeniedException erreur.

Création d’une clé gérée par le client

Vous pouvez créer une clé symétrique gérée par le client à l'aide de l'API Console de gestion AWS ou de l' AWS KMS API. Pour créer une clé symétrique gérée par le client, suivez les étapes de la section Création d'une clé gérée par le client symétrique dans le Guide du AWS Key Management Service développeur.

Les stratégies de clés contrôlent l’accès à votre clé gérée par le client. Chaque clé gérée par le client doit avoir exactement une stratégie de clé, qui contient des instructions qui déterminent les personnes pouvant utiliser la clé et comment elles peuvent l’utiliser. Lorsque vous créez votre clé gérée par le client, vous pouvez spécifier une stratégie de clé. Pour plus d'informations, consultez Gestion de l'accès aux clés gérées par le client dans le Guide du développeur AWS Key Management Service .

Pour utiliser votre clé gérée par le client avec les ressources Amazon Forecast, les opérations d'API suivantes doivent être autorisées dans la politique de clé :

kms : DescribeKey — Fournit les informations relatives à la clé gérée par le client qui permettent à Amazon Forecast de valider la clé.
kms : CreateGrant — Ajoute une autorisation à une clé gérée par le client. Les autorisations contrôlent l'accès à une AWS KMS clé spécifiée, ce qui permet d'accéder aux opérations d'octroi requises par Amazon Forecast. Cette opération permet à Amazon Forecast d'appeler GenerateDataKey pour générer une clé de données chiffrée et la stocker, car la clé de données n'est pas immédiatement utilisée pour le chiffrement. L'opération permet également à Amazon Forecast d'appeler Decrypt afin qu'il puisse utiliser la clé de données cryptée stockée et accéder aux données cryptées.
kms : RetireGrant - Supprimez toutes les subventions accordées pendant CreateGrant l'opération une fois l'opération terminée.

Note

Amazon Forecast effectue une kms:Decrypt kms:GenerateDataKey validation de l'identité de l'appelant. Vous recevrez un AccessDeniedException message si l'appelant ne dispose pas des autorisations nécessaires. La politique clé doit également ressembler au code suivant :


"Effect": "Allow",
"Principal": {
    "AWS": “AWS Invoking Identity”
},
"Action": [
    "kms:Decrypt",
    "kms:GenerateDataKey”
    ],
    "Resource": "*"
}

Pour plus de détails, consultez la section Politique https://docs.aws.amazon.com/forecast/latest/dg/security_iam_id-based-policy-examples.html IAM.

Vous trouverez ci-dessous des exemples de déclarations de politique que vous pouvez ajouter pour Amazon Forecast. Il s'agit des autorisations minimales requises, elles peuvent également être ajoutées à l'aide des politiques IAM.


  "Statement" : [ 
    {"Sid" : "Allow access to principals authorized to use Amazon Forecast",
      "Effect" : "Allow",
      "Principal" : {"AWS" : "arn:aws:iam::111122223333:role/ROLE_PASSED_TO_FORECAST"
      },
      "Action" : [ 
        "kms:DescribeKey", 
        "kms:CreateGrant",
        "kms:RetireGrant"
      ],
      "Resource" : "*",
      "Condition" : {"StringEquals" : {"kms:ViaService" : "forecast.region.amazonaws.com",
          "kms:CallerAccount" : "111122223333"
        }
    },
    {"Sid": "Allow access for key administrators",
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::111122223333:root"
       },
      "Action" : [ 
        "kms:*"
       ],
      "Resource": "arn:aws:kms:region:111122223333:key/key_ID"
    }
  ]

Consultez le Guide du AWS Key Management Service développeur pour plus d'informations sur la définition des autorisations dans une politique et la résolution des problèmes d'accès par clé.

Surveillance de vos clés de chiffrement pour Amazon Forecast Service

Lorsque vous utilisez une clé gérée par le AWS KMS client avec vos ressources Amazon Forecast Service, vous pouvez utiliser AWS CloudTrail Amazon CloudWatch Logs pour suivre les demandes que Forecast envoie AWS KMS. Les exemples suivants concernent des AWS CloudTrail événements destinés à CreateGrantRetireGrant, et DescribeKey à surveiller les AWS KMS opérations appelées par Amazon Forecast pour accéder aux données chiffrées par votre clé gérée par le client.

DescribeKey


{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-10-05T21:16:23Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2022-10-05T21:16:23Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "DescribeKey",
    "awsRegion": "region",
    "sourceIPAddress": "172.12.34.56",
    "userAgent": "ExampleDesktop/1.0 (V1; OS)",
    "requestParameters": {
        "keyId": "arn:aws:kms:region:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "responseElements": null,
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:region:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES256-GCM-SHA384",
        "clientProvidedHostHeader": "kms.region.amazonaws.com"
    }
}

CreateGrant


{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-10-05T23:10:27Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2022-10-05T23:10:27Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "CreateGrant",
    "awsRegion": "region",
    "sourceIPAddress": "172.12.34.56",
    "userAgent": "ExampleDesktop/1.0 (V1; OS)",
    "requestParameters": {
        "operations": [
            "Decrypt",
            "GenerateDataKey"
        ],
        "granteePrincipal": "AWS Internal",
        "keyId": "arn:aws:kms:region:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "responseElements": {
        "grantId": "0ab0ac0d0b000f00ea00cc0a0e00fc00bce000c000f0000000c0bc0a0000aaafSAMPLE"
    },
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:region:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES256-GCM-SHA384",
        "clientProvidedHostHeader": "kms.region.amazonaws.com"
    }
}

RetireGrant


{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-10-06T04:56:14Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2022-10-06T04:56:14Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "RetireGrant",
    "awsRegion": "region",
    "sourceIPAddress": "172.12.34.56",
    "userAgent": "ExampleDesktop/1.0 (V1; OS)",
    "requestParameters": null,
    "responseElements": null,
    "additionalEventData": {
        "grantId": "0ab0ac0d0b000f00ea00cc0a0e00fc00bce000c000f0000000c0bc0a0000aaafSAMPLE"
    },
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:region:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES256-GCM-SHA384",
        "clientProvidedHostHeader": "kms.region.amazonaws.com"
    }
}

Avertissement JavaScript est désactivé ou n'est pas disponible dans votre navigateur.

Pour que vous puissiez utiliser la documentation AWS, Javascript doit être activé. Vous trouverez des instructions sur les pages d'aide de votre navigateur.

Conventions de rédaction

Sécurité

Gestion de l’identité et des accès