Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Chiffrement au repos : comment utiliser des clés gérées par le client pour chiffrer des tables dans Amazon Keyspaces

Vous pouvez utiliser la console ou les instructions CQLAWS KMS key pour spécifier les quatre nouvelles tables et mettre à jour les clés de chiffrement des tables existantes dans Amazon Keyspaces. La rubrique suivante explique comment implémenter des clés gérées par le client pour les tables nouvelles et existantes.

Prérequis : créer une clé gérée par le client à l'aide d'Amazon KeyspacesAWS KMS et octroyer des autorisations à celui-ci

Avant de protéger une table Amazon Keyspaces à l'aide d'une clé gérée par le client, vous devez d'abord créer la clé dansAWS Key Management Service (AWS KMS), puis autoriser Amazon Keyspaces à utiliser cette clé.

Étape 1 : Créer une clé gérée par le client à l'aide dAWS KMS

Pour créer une clé gérée par le client à utiliser pour protéger une table Amazon Keyspaces, vous pouvez suivre les étapes décrites dans Création de clés KMS de chiffrement symétrique à l'aide de la console ou de l'AWSAPI.

Étape 2 : Autoriser l'utilisation de votre clé gérée par le client

Avant de choisir une clé gérée par le client pour protéger une table Amazon Keyspaces, les politiques associées à cette clé gérée par le client doivent autoriser Amazon Keyspaces à l'utiliser en votre nom. Vous avez un contrôle total des politiques et des octrois de clé gérée par le client. Vous pouvez fournir ces autorisations dans une politique de clé, une politique IAM ou un octroi.

Amazon Keyspaces n'a pas besoin d'une autorisation supplémentaire pour utiliser l'par défaut Clé détenue par AWSet protéger les tables Amazon Keyspaces de votreAWS compte.

Les rubriques suivantes expliquent comment configurer les autorisations requises à l'aide des politiques et des autorisations IAM qui autorisent les tables Amazon Keyspaces à utiliser une clé gérée par le client.

Politique de clé pour les clés gérées par le client

Lorsque vous sélectionnez une clé gérée par le client pour protéger une table Amazon Keyspaces, Amazon Keyspaces obtient l'autorisation d'utiliser la clé gérée par le client au nom du mandataire qui effectue la sélection. Ce principal, un utilisateur ou un rôle, doit disposer des autorisations requises par Amazon Keyspaces sur la clé gérée par le client.

Amazon Keyspaces requiert au minimum les autorisations suivantes sur une clé gérée par le client :

Exemple de politique de clé

Par exemple, l'exemple de politique de clé suivant fournit uniquement les autorisations requises. La politique a les effets suivants :

Avant d'utiliser un exemple de politique de clé, remplacez les exemples de principals par des principals réels de votre Compte AWS.

{
  "Id": "key-policy-cassandra",
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid" : "Allow access through Amazon Keyspaces for all principals in the account that are authorized to use Amazon Keyspaces",
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::111122223333:user/db-lead"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey",
        "kms:CreateGrant"
      ],
      "Resource": "*",      
      "Condition": { 
         "StringLike": {
           "kms:ViaService" : "cassandra.*.amazonaws.com"
         }
      }
    },
    {
      "Sid":  "Allow administrators to view the customer managed key and revoke grants",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/db-team"
       },
      "Action": [
        "kms:Describe*",
        "kms:Get*",
        "kms:List*",
        "kms:RevokeGrant"
      ],
      "Resource": "*"
    }
  ]
}

Utilisation d'octrois pour autoriser Amazon Keyspaces

Outre les politiques de clé, Amazon Keyspaces utilise des octrois pour définir des autorisations sur une clé gérée par le client. Pour visualiser les octrois sur une clé gérée par le client dans votre compte, utilisez l'opération ListGrants. Amazon Keyspaces n'a pas besoin d'octrois, ni d'autorisations supplémentaires, pour utiliser la Clé détenue par AWSet protéger votre table.

Amazon Keyspaces utilise les autorisations d'octroi lorsqu'il effectue des tâches de maintenance système en arrière-plan et de protection des données en continu. Il utilise également des octrois pour générer les clés de table.

Chaque octroi est spécifique à une table. Si le compte inclut plusieurs tables chiffrées avec la même clé gérée par le client, il existe un octroi de chaque type pour chaque table. L'autorisation est limitée par le contexte de chiffrement Amazon Keyspaces, qui inclut le nom de la table et l'Compte AWSID. La subvention inclut l'autorisation de retirer la subvention si elle n'est plus nécessaire.

Pour créer les octrois, Amazon Keyspaces doit être autorisé à appeler auCreateGrant nom de l'utilisateur qui a créé la table chiffrée.

La politique de clé peut également permettre au compte de révoquer l'octroi sur la clé gérée par le client. Toutefois, si vous révoquez l'octroi sur une table chiffrée active, Amazon Keyspaces ne pourra pas protéger ni maintenir la table.

Étape 3 : Spécifier une clé gérée par le client pour une nouvelle table

Suivez ces étapes pour spécifier la clé gérée par le client sur une nouvelle table à l'aide de la console Amazon Keyspaces ou de CQL.

Créer une table chiffrée à l'aide d'une clé gérée par le client (console)

Créer une nouvelle table à l'aide d'une clé gérée par le client pour le chiffrement au repos au repos (CQL)

Pour créer une nouvelle table qui utilise une clé gérée par le client pour le chiffrement au repos au repos, vous pouvez utiliser l'CREATE TABLEinstruction comme illustré dans l'exemple suivant : Assurez-vous de remplacer l'ARN de la clé par un ARN pour obtenir une clé valide avec des autorisations accordées à Amazon Keyspaces.

CREATE TABLE my_keyspace.my_table(id bigint, name text, place text STATIC, PRIMARY KEY(id, name)) WITH CUSTOM_PROPERTIES = {
        'encryption_specification':{
                'encryption_type': 'CUSTOMER_MANAGED_KMS_KEY', 
                'kms_key_identifier':'arn:aws:kms:eu-west-1:5555555555555:key/11111111-1111-111-1111-111111111111'
            }
    };

Si vous recevez unInvalid Request Exception, vous devez confirmer que la clé gérée par le client est valide et qu'Amazon Keyspaces dispose des autorisations requises. Pour vérifier que la clé a été correctement configurée, consultez la section Résolution des problèmes d'accès par clé dans le Guide duAWS Key Management Service développeur.

Étape 4 : Mettre à jour la clé de chiffrement d'une table existante

Vous pouvez également utiliser la console Amazon Keyspaces ou CQL pour modifier à tout moment les clés de chiffrement d'une table existante entre une cléClé détenue par AWS et une clé KMS gérée par le client.

Mettre à jour une table existante avec la nouvelle clé gérée par le client (console)

Mettre à jour la clé de chiffrement utilisée pour une table existante

Pour modifier la clé de chiffrement d'une table existante, vous utilisez l'ALTER TABLEinstruction pour spécifier une clé gérée par le client pour le chiffrement au repos. Assurez-vous de remplacer l'ARN de la clé par un ARN pour obtenir une clé valide avec des autorisations accordées à Amazon Keyspaces.

ALTER TABLE my_keyspace.my_table WITH CUSTOM_PROPERTIES = {     
              'encryption_specification':{ 
                      'encryption_type': 'CUSTOMER_MANAGED_KMS_KEY', 
                      'kms_key_identifier':'arn:aws:kms:eu-west-1:5555555555555:key/11111111-1111-111-1111-111111111111'     
                  } 
         };

Si vous recevez unInvalid Request Exception, vous devez confirmer que la clé gérée par le client est valide et qu'Amazon Keyspaces dispose des autorisations requises. Pour vérifier que la clé a été correctement configurée, consultez la section Résolution des problèmes d'accès par clé dans le Guide duAWS Key Management Service développeur.

Pour rétablir la clé de chiffrement à l'option de chiffrement par défaut au repos avecClés détenues par AWS, vous pouvez utiliser l'ALTER TABLEinstruction comme indiqué dans l'exemple suivant.

ALTER TABLE my_keyspace.my_table WITH CUSTOM_PROPERTIES = {
                'encryption_specification':{
                      'encryption_type' : 'AWS_OWNED_KMS_KEY' 
                    } 
         };

Étape 5 : Utiliser le contexte de chiffrement Amazon Keyspaces dans les journaux

Un contexte de chiffrement est un ensemble de paires clé-valeur qui contiennent des données non secrètes arbitraires. Lorsque vous incluez un contexte de chiffrement dans une demande de chiffrement de données, AWS KMS lie de manière chiffrée le contexte de chiffrement aux données chiffrées. Pour déchiffrer les données, vous devez transmettre le même contexte de chiffrement.

Amazon Keyspaces utilise le même contexte de chiffrement dans toutes les opérationsAWS KMS cryptographiques. Si vous utilisez une clé gérée par le client pour protéger votre table Amazon Keyspaces, vous pouvez utiliser le contexte de chiffrement pour identifier l'utilisation de la clé gérée par le client dans les enregistrements d'audit et les journaux. Il apparaît également en texte brut dans les journaux, tels que les journaux pour AWS CloudTrailet Amazon CloudWatch Logs.

Dans ses demandes adressées àAWS KMS, Amazon Keyspaces utilise un contexte de chiffrement avec trois paires clé-valeur.

"encryptionContextSubset": {
    "aws:cassandra:keyspaceName": "my_keyspace",
    "aws:cassandra:tableName": "mytable"
    "aws:cassandra:subscriberId": "111122223333"
}

Étape 6 : Configurer la surveillance avecAWS CloudTrail

Si vous utilisez une clé gérée par le client pour protéger vos tables Amazon Keyspaces, vous pouvez utiliserAWS CloudTrail les journaux pour suivre les demandes envoyées par Amazon Keyspaces àAWS KMS en votre nom.

LesGenerateDataKey,DescribeKeyDecrypt, et lesCreateGrant demandes sont abordées dans cette section. En outre, Amazon Keyspaces utilise une RetireGrantopération pour supprimer une autorisation lorsque vous supprimez un tableau.