Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Chiffrement au repos

Par défaut, Amazon Inspector stocke les données au repos à l'aide de solutions de AWS chiffrement. Amazon Inspector chiffre les données, telles que les suivantes :

Vous ne pouvez pas gérer, utiliser ou consulter les clés AWS détenues. Il n'est toutefois pas nécessaire de prendre des mesures ou de modifier les programmes pour protéger les clés qui chiffrent vos données. Pour plus d’informations, consultez Clés détenues par AWS.

Si vous désactivez Amazon Inspector, il supprime définitivement toutes les ressources qu'il stocke ou gère pour vous, telles que l'inventaire collecté et les résultats de sécurité.

Chiffrement au repos pour le code de vos résultats

Pour l'analyse du code Lambda d'Amazon Inspector, Amazon Inspector travaille en partenariat avec Amazon Q pour analyser votre code à la recherche de vulnérabilités. Lorsqu'une vulnérabilité est détectée, Amazon Q extrait un extrait de code contenant la vulnérabilité et stocke ce code jusqu'à ce qu'Amazon Inspector demande l'accès. Par défaut, Amazon Q utilise une clé AWS détenue pour chiffrer le code extrait. Vous pouvez toutefois configurer Amazon Inspector pour qu'il utilise votre propre AWS KMS clé gérée par le client pour le chiffrement.

Le flux de travail suivant explique comment Amazon Inspector utilise la clé que vous configurez pour chiffrer votre code :

Autorisations pour le chiffrement du code à l'aide d'une clé gérée par le client

Pour le chiffrement, vous devez créer une clé KMS avec une politique incluant une instruction permettant à Amazon Inspector et Amazon Q d'effectuer les actions suivantes.

Déclaration de stratégie

Vous pouvez utiliser la déclaration de politique suivante lors de la création de la clé KMS.

{
  "Effect": "Allow",
  "Principal": {
    "Service": "q.amazonaws.com"
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:GenerateDataKeyWithoutPlaintext",
    "kms:GenerateDataKey"
  ],
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:EncryptionContext:aws:qdeveloper:lambda-codescan-scope": "account-id"
    },
    "StringEquals": {
      "aws:SourceAccount": "account-id"
    },
    "ArnLike": {
      "aws:SourceArn": "arn:aws:qdeveloper:Region:account-id:scans/*"
    }
  }
},
{
  "Effect": "Allow",
  "Principal": {
    "Service": "q.amazonaws.com"
  },
  "Action": "kms:DescribeKey",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "aws:SourceAccount": "account-id"
    },
    "ArnLike": {
      "aws:SourceArn": "arn:aws:qdeveloper:Region:account-id:scans/*"
    }
  }
},
{
  "Effect": "Allow",
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:GenerateDataKeyWithoutPlaintext",
    "kms:GenerateDataKey"
  ],
  "Principal": {
    "AWS": "role-ARN"
  },
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ViaService": "inspector2.Region.amazonaws.com"
    },
    "StringLike": {
      "kms:EncryptionContext:aws:qdeveloper:lambda-codescan-scope": "account-id"
    }
  }
},
{
  "Effect": "Allow",
  "Action": [
    "kms:DescribeKey"
  ],
  "Principal": {
    "AWS": "role-ARN"
  },
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ViaService": "inspector2.Region.amazonaws.com"
    }
  }
}

La déclaration de politique est mise en forme au format JSON. Après avoir inclus l'instruction, passez en revue la politique pour vous assurer que la syntaxe est valide. S'il s'agit de la dernière déclaration de la politique, placez une virgule après l'accolade fermante de l'instruction précédente. S'il s'agit de la première déclaration ou entre deux instructions existantes de la politique, placez une virgule après l'accolade fermante de la déclaration.

Si vous définissez, mettez à jour ou réinitialisez la clé de cryptage de votre compte, vous devez utiliser une politique d'administrateur Amazon Inspector, telle que la politique AWS géréeAmazonInspector2FullAccess.

Configuration du chiffrement à l'aide d'une clé gérée par le client

Pour configurer le chiffrement de votre compte à l'aide d'une clé gérée par le client, vous devez être un administrateur Amazon Inspector et disposer des autorisations décrites dansAutorisations pour le chiffrement du code à l'aide d'une clé gérée par le client. En outre, vous aurez besoin d'une AWS KMS clé située dans la même AWS région que vos résultats, ou d'une clé https://docs.aws.amazon.com/kms/latest/developerguide/multi-region-keys-overview.html multirégionale. Vous pouvez utiliser une clé symétrique existante dans votre compte ou créer une clé symétrique gérée par le client à l'aide de la console AWS de gestion ou des AWS KMS API. Pour plus d'informations, consultez la section Création de AWS KMS clés de chiffrement symétriques dans le guide de AWS KMS l'utilisateur.

Utilisation de l'API Amazon Inspector pour configurer le chiffrement

Pour définir une clé pour chiffrer le UpdateEncryptionKey fonctionnement de l'API Amazon Inspector lorsque vous êtes connecté en tant qu'administrateur Amazon Inspector. Dans la demande d'API, utilisez le kmsKeyId champ pour spécifier l'ARN de la AWS KMS clé que vous souhaitez utiliser. Pour scanType entrer CODE et pour resourceType entrerAWS_LAMBDA_FUNCTION.

Vous pouvez utiliser UpdateEncryptionKey l'API pour vérifier quelle AWS KMS clé Amazon Inspector utilise pour le chiffrement.

Si vous supprimez la clé ou modifiez sa politique pour refuser l'accès à Amazon Inspector ou Amazon Q, vous ne pourrez pas accéder aux résultats de la vulnérabilité de votre code et l'analyse du code Lambda échouera pour votre compte.

Vous pouvez utiliser ResetEncryptionKey pour recommencer à utiliser une clé AWS détenue pour crypter le code extrait dans le cadre de vos recherches Amazon Inspector.