Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Chiffrement des données au repos dans AWS IoT Core

Par défaut, toutes les AWS IoT Core données au repos sont chiffrées à l'aide de clés AWS détenues. AWS IoT Core prend également en charge les clés symétriques gérées par le client depuis AWS Key Management Service (AWS KMS). Avec les clés gérées par le client, vous pouvez créer, posséder et gérer les AWS KMS clés de votre AWS compte. AWS IoT Core utilisera vos clés KMS pour chiffrer vos données au repos. Vous avez le contrôle total de ces clés KMS, y compris la création et la gestion de leurs politiques clés. Vous pouvez également configurer des politiques IAM pour les rôles qui accèdent AWS KMS afin de contrôler les autorisations relatives à ces clés.

AWS clés possédées

AWS les clés détenues sont un ensemble de clés KMS qu'un AWS service possède et gère pour être utilisées dans plusieurs AWS comptes. AWS les services peuvent utiliser des clés AWS détenues pour protéger vos données. Par défaut, AWS IoT Core chiffre les données au repos à l'aide de clés AWS détenues. Ces clés sont gérées par le service. Vous ne pouvez pas afficher, gérer ou utiliser les clés que vous AWS possédez. Il n'est toutefois pas nécessaire de prendre des mesures pour protéger ces clés.

Pour plus d'informations sur les clés AWS détenues, consultez la section Clés AWS détenues dans le Guide du AWS Key Management Service développeur.

Clés gérées par le client

Les clés gérées par le client sont des clés KMS de votre AWS compte que vous créez, possédez et gérez. Vous avez le contrôle total de ces AWS KMS clés, y compris la création et la gestion de leurs politiques clés. Vous pouvez également configurer des politiques IAM pour les rôles qui accèdent AWS KMS afin de contrôler les autorisations relatives à ces clés. Vous pouvez configurer AWS IoT Core l'utilisation de clés KMS gérées par le client pour chiffrer vos données.

Pour plus d’informations sur les clés gérées par le client, consultez Clés gérées par le client dans le Guide du développeur AWS Key Management Service .

Pour activer les clés gérées par le client AWS IoT Core, procédez comme suit :

Étape 1 : Créer une clé gérée par le client

Vous pouvez créer une clé symétrique gérée par le client à l'aide de la AWS KMS console ou des commandes AWS KMS CLI. Le keySpec must SYMMETRIC_DEFAULT et le keyUsage must êtreENCRYPT_DECRYPT.

Voici un exemple de AWS CLI commande permettant de créer une clé KMS qui peut être utilisée AWS IoT Core pour les clés gérées par le client.

aws kms create-key --key-spec SYMMETRIC_DEFAULT --key-usage ENCRYPT_DECRYPT --region us-west-2

Voici un exemple de sortie de la commande.

{
    "KeyMetadata": {
        "AWSAccountId": "111122223333",
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "CreationDate": "2024-09-19T11:45:23.982000-07:00",
        "Enabled": true,
        "Description": "",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "KeyState": "Enabled",
        "Origin": "AWS_KMS",
        "KeyManager": "CUSTOMER",
        "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
        "KeySpec": "SYMMETRIC_DEFAULT",
        "EncryptionAlgorithms": [
            "SYMMETRIC_DEFAULT"
        ],
        "MultiRegion": false
    }
}

Pour plus d'informations, consultez la section Création d'une clé symétrique gérée par le client dans le Guide du AWS Key Management Service développeur.

Stratégie de clé

Lorsque vous créez une clé gérée par le client, vous pouvez spécifier une politique de clé. Les stratégies de clés contrôlent l’accès à votre clé gérée par le client. Chaque clé gérée par le client doit avoir exactement une stratégie de clé, qui contient des instructions qui déterminent les personnes pouvant utiliser la clé et comment elles peuvent l’utiliser. Pour plus d'informations, consultez les principales politiques du Guide du AWS Key Management Service développeur.

AWS IoT Core utilise un rôle IAM dans votre compte pour accéder à votre clé gérée par le client. Si vous utilisez une politique de clé personnalisée, assurez-vous que le rôle IAM créé sur cette clé dispose des autorisations suivantes :

Étape 2 : Création d'un rôle IAM à attribuer AWS IoT Core autorisations d'utilisation de la clé KMS

AWS IoT Core Pour utiliser la clé KMS que vous avez créée pour chiffrer vos données au repos, vous devez également créer un rôle IAM dans votre compte, qui AWS IoT Core peut supposer d'accéder à la clé KMS.

Le rôle doit respecter la politique de confiance suivante pour AWS IoT Core pouvoir assumer le rôle.

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Principal": {
            "Service": "iot.amazonaws.com"
        },
        "Action": "sts:AssumeRole",
        "Condition": {
            "StringEquals": {
                "aws:SourceAccount": "111122223333"
            },
            "ArnLike": {
                "aws:SourceArn": "arn:aws:iot:us-west-2:111122223333:*"
            }
        }
    }
}

Assurez-vous que les politiques IAM associées au rôle IAM disposent des autorisations suivantes sur la clé KMS :

Voici un exemple de politique IAM avec les autorisations requises pour les clés gérées par le client.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowIoTToAccessKMSResource",
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey",
                "kms:Decrypt",
                "kms:Encrypt",
                "kms:ReEncryptTo",
                "kms:ReEncryptFrom",
                "kms:GenerateDataKeyWithoutPlaintext"
            ],
            "Resource": [
                "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
            ],
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws-crypto-ec:vendor": "iot.amazonaws.com"
                }
            }
        }
    ]
}

Pour plus d'informations, voir Créer un rôle pour déléguer des autorisations à un utilisateur IAM dans le Guide de l'Gestion des identités et des accès AWS utilisateur.

Étape 3 : Optez pour les clés gérées par le client dans AWS IoT Core

Après avoir effectué toutes les étapes précédentes, exécutez la commande update-encryption-configuration CLI pour vous inscrire à l'aide des clés gérées par le client AWS IoT Core. Lorsque vous optez pour les clés gérées par le client, toutes les AWS IoT Core ressources de votre AWS compte sont cryptées à l'aide de la AWS KMS clé spécifiée.

Étape 4 : autorisations supplémentaires requises pour AWS IoT Core opérations sur le plan de contrôle

Une fois que vous avez activé les clés gérées par le client, toutes les AWS IoT Core ressources appartenant à votre AWS compte sont cryptées à l'aide de la clé KMS fournie. Toutes les opérations du plan de contrôle nécessitent désormais que l'appelant dispose d'kms:Decryptautorisations sur la clé KMS en plus des autorisations requises pour l'opération spécifique sur la AWS IoT Core ressource. Si l'appelant n'a pas d'kms:Decryptautorisation et qu'il effectue un appel d'API nécessitant le chiffrement ou le déchiffrement des données (par exemple,GetPolicy), il recevra un. UnauthorizedException

Par exemple, lorsque vous appelezGetPolicy, vous avez besoin des deux iot:GetPolicy et kms:Decrypt des autorisations sur votre clé KMS gérée par le client pour que l'appel d'API réussisse.

AWS KMS autorisations pour UpdateEncryptionConfiguration

L'appel d'UpdateEncryptionConfigurationAPI nécessite les AWS KMS autorisations suivantes sur la clé KMS pour pouvoir accéder aux clés gérées par le client ou modifier la configuration des clés :

AWS KMS autorisations pour toutes les autres API du plan de contrôle

La plupart des API du plan de contrôle nécessitent kms:Decrypt des autorisations lorsque les clés gérées par le client sont activées. Certaines API ne nécessitent toutefois pas ces autorisations supplémentaires :

Étape 5 : Gestion des clés

AWS IoT Core vérifie périodiquement la configuration des clés gérées par le client pour s'assurer que les opérations de chiffrement et de déchiffrement ne sont pas affectées. Ces contrôles de santé sont exécutés toutes les minutes et vérifient AWS IoT Core la capacité de l'utilisateur à accéder à la AWS KMS clé et au rôle IAM associé et à les utiliser pour les opérations de chiffrement et de déchiffrement.

Les actions des clients qui peuvent avoir un impact sur leur état de santé

Plusieurs actions du client peuvent faire passer l'état de santé clé de HEALTHY à UNHEALTHY :

Mettre à jour la configuration de chiffrement

Mettez à jour votre configuration de chiffrement AWS IoT Core pour passer d'une clé gérée par le client à une autre, ou entre les clés AWS détenues et les clés gérées par le client.

Pour modifier la configuration en utilisant une autre clé gérée par le client, procédez comme suit :

Pour modifier la configuration des clés gérées par le client vers des clés AWS détenues, procédez comme suit :

aws iot update-encryption-configuration --encryption-type "AWS_OWNED_KMS_KEY"

Scénarios de défaillance courants et impacts

Le tableau suivant décrit les scénarios de défaillance courants lorsque des clés sont supprimées ou désactivées :

Prévention et bonnes pratiques

Pour éviter la suppression ou la désactivation accidentelles des clés et minimiser le risque de pannes de service :

Étape 6 : Surveillance de l'état de santé des principaux

Dans le cadre des contrôles AWS IoT Core périodiques, des CloudWatch métriques et des journaux sont émis pour fournir une visibilité sur l'état de santé de la configuration des clés gérées par le client.

AWS IoT Core émet la CMK.Health métrique CloudWatch au moins une fois par minute. La métrique fournit des informations sur l'état de santé des clés gérées par le client utilisées AWS IoT Core pour chiffrer et déchiffrer vos données.

La CMK.Health métrique peut avoir les valeurs suivantes :

AWS IoT Core émet également des journaux AWS IoT V2 lorsque l'état de santé des clés de chiffrement change. Ces journaux fournissent des informations supplémentaires sur la mise à jour de l'état de santé. Pour consulter ces journaux, vous devez activer les journaux AWS IoT V2. Les HEALTHY journaux sont émis au INFO niveau, et les UNHEALTHY journaux sont émis au ERROR niveau. Pour plus d'informations sur les niveaux de journalisation, voir Niveaux de journalisation.

Les exemples suivants sont des entrées de CloudWatch journal émises par AWS IoT Core pour indiquer la mise à jour de l'état de santé des clés gérées par le client.

Pour suivre efficacement les principaux changements de l'état de santé et y répondre :

De la mauvaise santé à la santé

Lorsque l'état des clés de chiffrement est mis à jour de UNHEALTHY àHEALTHY, AWS IoT Core émet un message de journal AWS IoT V2 au format suivant.

{
    "timestamp": "2017-08-10 15:37:23.476",
    "logLevel": "INFO",
    "traceId": "8421693b-f4f0-4e4a-9235-0cff8bab897d",
    "accountId": "111122223333",
    "status": "SUCCESS",
    "cmkStatus": "HEALTHY",
    "kmsKeyArn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "kmsAccessRoleArn": "arn:aws:iam::111122223333:role/myrole",
    "eventType": "CmkHealthCheck"
}

Du sain au mauvais pour la santé

Lorsque l'état des clés de chiffrement est mis à jour de HEALTHY àUNHEALTHY, AWS IoT Core émet un message de journal AWS IoT V2 au format suivant.

{
    "timestamp": "2017-08-10 15:37:23.476",
    "logLevel": "ERROR",
    "traceId": "8421693b-f4f0-4e4a-9235-0cff8bab897d",
    "accountId": "111122223333",
    "status": "FAILURE",
    "cmkStatus": "UNHEALTHY",
    "errorCode": "KMS_KEY_VALIDATION_ERROR / ROLE_VALIDATION_ERROR",
    "errorMessage": "Error message on why there was a failure",
    "kmsKeyArn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "kmsAccessRoleArn": "arn:aws:iam::111122223333:role/myrole",
    "eventType": "CmkHealthCheck"
}

Surveillance de l'état de rotation des clés des branches

AWS IoT Core utilise une structure de clé hiérarchique pour chiffrer vos données. Au sommet de cette hiérarchie se trouve votre AWS KMS clé (la clé gérée par le client que vous configurez). En dessous, se trouvent AWS IoT Core les clés de branche, c'est-à-dire les clés internes dérivées de votre AWS KMS clé. AWS IoT Core utilise ensuite ces clés de branche pour générer des clés d'encapsulation uniques, qui effectuent le chiffrement et le déchiffrement effectifs de vos données. Cette approche en couches limite la portée d'une clé unique et suit les meilleures pratiques de AWS chiffrement. AWS IoT Core gère les clés de branche en tant que détail d'implémentation interne, distinct de votre rotation des AWS KMS clés, qui AWS KMS gère directement. Pour plus d'informations, voir Faire pivoter votre clé de branche active.

AWS IoT Core fait alterner les clés des succursales chaque année en tant que meilleure pratique de sécurité. La rotation crée une nouvelle version de clé de branche active tout en préservant les versions précédentes pour déchiffrer les données existantes. Cette rotation nécessite l'kms:Encryptautorisation du rôle IAM associé à la configuration des clés gérées par le client. AWS IoT Core émet la CMK.BranchKeyRotationHealth métrique CloudWatch une fois par minute pour indiquer si votre rôle AWS KMS d'accès dispose des autorisations requises pour la rotation.

La CMK.BranchKeyRotationHealth métrique peut avoir les valeurs suivantes :

Pour être averti lorsque la rotation des touches de branche ne peut pas avoir lieu, configurez une CloudWatch alarme pour la CMK.BranchKeyRotationHealth métrique :

aws cloudwatch put-metric-alarm --region us-west-2 \
  --alarm-name "IoTCore-CMK-BranchKeyRotationHealth-Alert" \
  --alarm-description "Alert when IoT Core branch key rotation health is degraded" \
  --metric-name "CMK.BranchKeyRotationHealth" \
  --namespace "AWS/IoT" \
  --statistic "Minimum" \
  --period 300 \
  --evaluation-periods 1 \
  --threshold 1 \
  --comparison-operator "LessThanThreshold" \
  --alarm-actions "arn:aws:sns:us-west-2:111122223333:iot-alerts"

AWS CloudTrail events

Vous pouvez également surveiller AWS IoT Core l'utilisation de la clé KMS pour les opérations de chiffrement et de déchiffrement. AWS IoT Core effectueraDescribeKey, DecryptReEncrypt, et GenerateDataKeyWithoutPlaintext des opérations sur votre clé KMS pour crypter/déchiffrer les données appartenant à votre AWS compte stockées au repos.

Il y a CloudTrail des événements pour DescribeKeyDecrypt,ReEncrypt, etGenerateDataKeyWithoutPlaintext. Ces événements surveillent AWS KMS les opérations appelées AWS IoT Core à accéder aux données chiffrées par la clé gérée par votre client.

Exemple de déchiffrement

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "*********************",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "*****"
            },
            "attributes": {
                "creationDate": "2024-09-16T20:23:39Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "iot.amazonaws.com"
    },
    "eventTime": "2024-09-16T20:32:48Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Decrypt",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "iot.amazonaws.com",
    "userAgent": "iot.amazonaws.com",
    "requestParameters": {
        "encryptionContext": {
            "kms-arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
            "aws-crypto-ec:vendor": "iot.amazonaws.com",
            "branch-key-id": "111122223333",
            "type": "branch:ACTIVE"
        },
        "encryptionAlgorithm": "SYMMETRIC_DEFAULT",
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    "responseElements": null,
    "requestID": "1afb6d98-8388-455d-8b48-e62c9e0cf7f4",
    "eventID": "b59a5f16-0d98-46d8-a590-0e040a48b39b",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}