Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Connexion à AWS Cryptographie des paiements via un terminal VPC

Vous pouvez vous connecter directement à AWS Payment Cryptography via un point de terminaison d'interface privé dans votre cloud privé virtuel (VPC). Lorsque vous utilisez un point de terminaison VPC d'interface, la communication entre votre VPC et AWS Payment Cryptography s'effectue entièrement au sein du réseau. AWS

AWS La cryptographie des paiements prend en charge les terminaux Amazon Virtual Private Cloud (Amazon VPC) alimentés par. AWS PrivateLink Chaque point de terminaison d'un VPC est représenté par une ou plusieurs interfaces réseau Elastic (ENI) avec des adresses IP privées dans vos sous-réseaux VPC.

L'interface VPC endpoint connecte votre VPC directement à AWS Payment Cryptography sans passerelle Internet, périphérique NAT, connexion VPN ou connexion. AWS Direct Connect Les instances de votre VPC n'ont pas besoin d'adresses IP publiques pour communiquer avec AWS Payment Cryptography.

Régions

AWS La cryptographie des paiements prend en charge les terminaux VPC et les politiques relatives aux terminaux VPC dans tous les domaines dans lesquels la cryptographie des AWS paiements est Régions AWS prise en charge.

Considérations pour AWS Points de terminaison VPC pour le chiffrement des paiements

Avant de configurer un point de terminaison VPC d'interface pour le chiffrement des AWS paiements, consultez la rubrique Propriétés et limites du point de terminaison d'interface du AWS PrivateLink Guide.

AWS La prise en charge de la cryptographie des paiements pour un point de terminaison VPC inclut les éléments suivants.

Création d'un point de terminaison VPC pour AWS Cryptographie des paiements

Vous pouvez créer un point de terminaison VPC pour le chiffrement des AWS paiements à l'aide de la console Amazon VPC ou de l'API Amazon VPC. Pour plus d’informations, consultez Création d’un point de terminaison d’interface dans le Guide AWS PrivateLink .

Pour faciliter l'utilisation du point de terminaison de VPC, vous pouvez activer un nom DNS privé pour votre point de terminaison d'un VPC. Si vous sélectionnez l'option Activer le nom DNS, le nom d'hôte DNS standard AWS de cryptographie des paiements est renvoyé à votre point de terminaison VPC. Par exemple, https://controlplane.payment-cryptography.us-west-2.amazonaws.com serait résolu vers un point de terminaison d'un VPC connecté au nom du service com.amazonaws.us-west-2.payment-cryptography.controlplane.

Cette option facilite l'utilisation du point de terminaison d'un VPC. Les AWS kits SDK AWS CLI utilisent le nom d'hôte DNS standard de cryptographie des AWS paiements par défaut. Vous n'avez donc pas besoin de spécifier l'URL du point de terminaison du VPC dans les applications et les commandes.

Pour de plus amples informations, veuillez consulter Accès à un service via un point de terminaison d'interface dans le Guide AWS PrivateLink .

Connexion à un AWS Point de terminaison VPC pour le chiffrement des paiements

Vous pouvez vous connecter à AWS Payment Cryptography via le point de terminaison VPC à l'aide d'un AWS SDK, le ou. AWS CLI Outils AWS pour PowerShell Pour spécifier le point de terminaison VPC, utilisez son nom DNS.

Par exemple, cette commande list-keys utilise le paramètre endpoint-url pour indiquer le point de terminaison VPC. Pour utiliser une commande comme celle-ci, remplacez l'exemple d'ID de point de terminaison VPC par celui de votre compte.

$ aws payment-cryptography list-keys --endpoint-url https://vpce-1234abcdf5678c90a-09p7654s-us-east-1a.ec2.us-east-1.vpce.amazonaws.com

Si vous avez activé les noms d'hôte privés lorsque vous avez créé votre point de terminaison VPC, vous n'avez pas besoin de spécifier l'URL de point de terminaison VPC dans vos commandes de CLI ou dans la configuration de l'application. Le nom d'hôte DNS standard AWS de cryptographie des paiements est attribué à votre point de terminaison VPC. Les SDK AWS CLI et utilisent ce nom d'hôte par défaut. Vous pouvez donc commencer à utiliser le point de terminaison VPC pour vous connecter à un point de terminaison régional de cryptographie des AWS paiements sans rien modifier dans vos scripts et applications.

Pour utiliser des noms d'hôte privés, les attributs enableDnsHostnames et enableDnsSupport de votre VPC doivent avoir la valeur true. Pour définir ces attributs, utilisez l'ModifyVpcAttributeopération. Pour plus d'informations, veuillez consulter Afficher et mettre à jour les attributs DNS pour votre VPC dans le Guide de l'utilisateur Amazon VPC.

Contrôle de l'accès à votre point de terminaison d'un VPC

Pour contrôler l'accès à votre point de terminaison VPC pour le chiffrement des AWS paiements, associez une politique de point de terminaison VPC à votre point de terminaison VPC. La politique des terminaux détermine si les principaux peuvent utiliser le point de terminaison VPC pour appeler des opérations de cryptographie des AWS paiements avec des ressources de cryptographie des AWS paiements spécifiques.

Vous pouvez créer une politique de point de terminaison VPC lorsque vous créez votre point de terminaison, et vous pouvez modifier la politique de point de terminaison d'un VPC à tout moment. Utilisez la console de gestion VPC ou les ModifyVpcEndpoint opérations CreateVpcEndpoint ou. Vous pouvez également créer et modifier une politique de point de terminaison VPC à l'aide d'un AWS CloudFormation modèle. Pour obtenir de l'aide sur l'utilisation de la console de gestion de VPC, veuillez consulter Créer un point de terminaison d'interface et Modification d'un point de terminaison d'interface dans le AWS PrivateLink Guide .

Pour obtenir de l'aide sur la rédaction et la mise en forme d'un document de politique JSON, veuillez consulter Référence de politique JSON IAM dans le Guide de l'utilisateur IAM.

À propos des politiques de point de terminaison d'un VPC

Pour qu'une demande AWS de cryptographie des paiements qui utilise un point de terminaison VPC soit acceptée, le principal a besoin d'autorisations provenant de deux sources :

Par exemple, une politique de clé peut autoriser un principal à appeler Decrypt sur une clé de chiffrement AWS de paiement particulière. Cependant, la politique de point de terminaison du VPC peut ne pas autoriser ce principal à appeler Decrypt ces clés de cryptographie AWS de paiement à l'aide du point de terminaison.

Une politique de point de terminaison VPC peut également autoriser un mandant à utiliser le point de terminaison pour appeler certaines StopKeyUsage clés de cryptographie AWS de paiement. Mais si le principal ne dispose pas de ces autorisations en vertu d'une politique IAM, la demande échoue.

Politique de point de terminaison d'un VPC par défaut

Chaque point de terminaison d'un VPC dispose d'une politique de point de terminaison d'un VPC, mais vous n'êtes pas tenu de spécifier la politique. Si vous ne spécifiez pas de politique, la politique de point de terminaison par défaut autorise toutes les opérations effectuées par tous les principaux sur toutes les ressources du point de terminaison.

Toutefois, pour les ressources AWS de cryptographie des paiements, le principal doit également être autorisé à appeler l'opération à partir d'une politique IAM. Par conséquent, en pratique, la politique par défaut indique que si un principal a l'autorisation d'appeler une opération sur une ressource, il peut également l'appeler à l'aide du point de terminaison.

{
  "Statement": [
    {
      "Action": "*", 
      "Effect": "Allow", 
      "Principal": "*", 
      "Resource": "*"
    }
  ]
}

Pour permettre aux principaux d'utiliser le point de terminaison d'un VPC uniquement pour un sous-ensemble de leurs opérations autorisées, créez ou mettre à jour la politique de point de terminaison d'un VPC.

Création d’une stratégie de point de terminaison de VPC

Une politique de point de terminaison d'un VPC détermine si un principal a l'autorisation d'utiliser le point de terminaison d'un VPC pour effectuer des opérations sur une ressource. Pour les ressources AWS de cryptographie des paiements, le mandant doit également être autorisé à effectuer les opérations à partir d'une politique IAM.

Chaque instruction de politique de point de terminaison d'un VPC nécessite les éléments suivants :

L'instruction de politique ne spécifie pas le point de terminaison d'un VPC. Au lieu de cela, elle s'applique à tout point de terminaison d'un VPC auquel la politique est attachée. Pour plus d’informations, consultez Contrôle de l’accès aux services avec points de terminaison d’un VPC dans le Guide de l’utilisateur Amazon VPC.

Voici un exemple de politique de point de terminaison VPC pour le chiffrement des AWS paiements. Lorsqu'elle est attachée à un point de terminaison VPC, cette politique permet d'ExampleUserutiliser le point de terminaison VPC pour appeler les opérations spécifiées sur les clés de cryptographie AWS de paiement spécifiées. Avant d'utiliser une politique comme celle-ci, remplacez l'exemple de principal et d'identifiant de clé par des valeurs valides provenant de votre compte.

{
   "Statement":[
      {
         "Sid": "AllowDecryptAndView",
         "Principal": {"AWS": "arn:aws:iam::111122223333:user/ExampleUser"},
         "Effect":"Allow",
         "Action": [ 
             "payment-cryptography:Decrypt",
             "payment-cryptography:GetKey",  
             "payment-cryptography:ListAliases", 
             "payment-cryptography:ListKeys",
             "payment-cryptography:GetAlias"
          ],
         "Resource": "arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h"
      }
   ]
}

AWS CloudTrail enregistre toutes les opérations qui utilisent le point de terminaison VPC. Cependant, vos CloudTrail journaux n'incluent pas les opérations demandées par les mandants sur d'autres comptes ni les opérations relatives aux clés de cryptographie des AWS paiements sur d'autres comptes.

Par conséquent, vous souhaiterez peut-être créer une politique de point de terminaison VPC qui empêche les responsables des comptes externes d'utiliser le point de terminaison VPC pour appeler des opérations de cryptographie des AWS paiements sur n'importe quelle clé du compte local.

L'exemple suivant utilise la clé de condition PrincipalAccount globale aws : pour refuser l'accès à tous les mandants pour toutes les opérations sur toutes les clés de cryptographie de AWS paiement, sauf si le principal se trouve dans le compte local. Avant d'utiliser une politique comme celle-ci, remplacez l'ID de compte d'exemple par un ID valide.

{
  "Statement": [
    {
      "Sid": "AccessForASpecificAccount",
      "Principal": {"AWS": "*"},
      "Action": "payment-cryptography:*",
      "Effect": "Deny",
      "Resource": "arn:aws:payment-cryptography:*:111122223333:key/*",
      "Condition": {
        "StringNotEquals": {
          "aws:PrincipalAccount": "111122223333"
        }
      }
    }
  ]
}

Affichage d'une politique de point de terminaison d'un VPC

Pour consulter la politique relative aux terminaux VPC pour un terminal, utilisez la console de gestion VPC ou l'DescribeVpcEndpointsopération.

La AWS CLI commande suivante permet d'obtenir la politique du point de terminaison avec l'ID de point de terminaison VPC spécifié.

Avant d'utiliser cette commande, remplacez l'exemple d'ID de point de terminaison d'exemple par un ID valide provenant de votre compte.

$ aws ec2 describe-vpc-endpoints \
--query 'VpcEndpoints[?VpcEndpointId==`vpce-1234abcdf5678c90a`].[PolicyDocument]'
--output text

Utilisation d'un point de terminaison VPC dans une déclaration de politique

Vous pouvez contrôler l'accès aux ressources et aux opérations de cryptographie des AWS paiements lorsque la demande provient d'un VPC ou utilise un point de terminaison VPC. Pour ce faire, utilisez une politique IAM

Vous pouvez utiliser ces clés de condition globales pour contrôler l'accès aux clés de chiffrement des AWS paiements, aux alias et aux opérations de CreateKey ce type qui ne dépendent pas d'une ressource particulière.

Par exemple, l'exemple de politique de clé suivant permet à un utilisateur d'effectuer des opérations cryptographiques particulières avec une clé de chiffrement de AWS paiement uniquement lorsque la demande utilise le point de terminaison VPC spécifié, bloquant ainsi l'accès depuis Internet et les AWS PrivateLink connexions (en cas de configuration). Lorsqu'un utilisateur adresse une demande à AWS Payment Cryptography, l'ID de point de terminaison VPC figurant dans la demande est comparé à la valeur de la clé de aws:sourceVpce condition dans la politique. S'il n'y a pas de concordance, la requête est refusée.

Pour utiliser une politique comme celle-ci, remplacez l'identifiant d'espace réservé et les Compte AWS ID de point de terminaison VPC par des valeurs valides pour votre compte.

JSON

{
    "Id": "example-key-1",
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "EnableIAMPolicies",
            "Effect": "Allow",
            "Principal": {
                "AWS": [ 
                    "arn:aws:iam::111122223333:root"
                ]
            },
            "Action": [
                "payment-cryptography:*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "RestrictUsageToMyVPCEndpoint",
            "Effect": "Deny",
            "Principal": "*",
            "Action": [
                "payment-cryptography:EncryptData",
                "payment-cryptography:DecryptData"
            ],
            "Resource": "arn:aws:payment-cryptography:us-east-1:111122223333:key/*",
            "Condition": {
                "StringNotEquals": {
                    "aws:sourceVpce": "vpce-1234abcdf5678c90a"
                }
            }
        }

    ]
}

Vous pouvez également utiliser la clé de aws:sourceVpc condition pour restreindre l'accès à vos clés de chiffrement de AWS paiement en fonction du VPC dans lequel se trouve le point de terminaison du VPC.

L'exemple de politique de clé suivant autorise les commandes qui gèrent les clés AWS de cryptographie des paiements uniquement lorsqu'elles proviennentvpc-12345678. En outre, il autorise les commandes qui utilisent les clés AWS de cryptographie de paiement pour les opérations cryptographiques uniquement lorsqu'elles proviennent de. vpc-2b2b2b2b Vous pouvez utiliser politique comme celle-ci si une application est en cours d'exécution dans un VPC, mais que vous utilisez un second VPC isolé pour les fonctions de gestion.

Pour utiliser une politique comme celle-ci, remplacez l'identifiant d'espace réservé et les Compte AWS ID de point de terminaison VPC par des valeurs valides pour votre compte.

JSON

{
    "Id": "example-key-2",
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAdminActionsFromVPC12345678",
            "Effect": "Allow",
            "Principal": {
                "AWS": "111122223333"
            },
            "Action": [
               "payment-cryptography:Create*",
               "payment-cryptography:Encrypt*",
               "payment-cryptography:ImportKey*",
               "payment-cryptography:GetParametersForImport*",
               "payment-cryptography:TagResource",
               "payment-cryptography:UntagResource"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:sourceVpc": "vpc-12345678"
                }
            }
        },
        {
            "Sid": "AllowKeyUsageFromVPC2b2b2b2b",
            "Effect": "Allow",
            "Principal": {
                "AWS": "111122223333"
            },
            "Action": [
                "payment-cryptography:Encrypt*",
                "payment-cryptography:Decrypt*"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:sourceVpc": "vpc-2b2b2b2b"
                }
            }
        },
        {
            "Sid": "AllowListReadActionsFromEverywhere",
            "Effect": "Allow",
            "Principal": {
                "AWS": "111122223333"
            },
            "Action": [
                "payment-cryptography:List*",
                "payment-cryptography:Get*"
            ],
            "Resource": "*"
        }
    ]
}

Journalisation de votre point de terminaison d'un VPC

AWS CloudTrail enregistre toutes les opérations qui utilisent le point de terminaison VPC. Lorsqu'une demande adressée à AWS Payment Cryptography utilise un point de terminaison VPC, l'ID du point de terminaison du VPC apparaît dans l'entrée de AWS CloudTrail journal qui enregistre la demande. Vous pouvez utiliser l'ID de point de terminaison pour auditer l'utilisation de votre point de terminaison VPC de cryptographie des AWS paiements.

Pour protéger votre VPC, les demandes qui sont refusées par une politique de point de terminaison VPC, mais qui auraient autrement été autorisées, ne sont pas enregistrées dans. AWS CloudTrail

Par exemple, cet exemple d'entrée de journal enregistre une requête GenerateMac qui utilise le point de terminaison d'un VPC. Le champ vpcEndpointId apparaît à la fin de l'entrée de journal.

{
      "eventVersion": "1.08",
      "userIdentity": {
          "principalId": "TESTXECZ5U9M4LGF2N6Y5:i-98761b8890c09a34a",
          "arn": "arn:aws:sts::111122223333:assumed-role/samplerole/i-98761b8890c09a34a",
          "accountId": "111122223333",
          "accessKeyId": "TESTXECZ5U2ZULLHHMJG",
          "sessionContext": {
              "sessionIssuer": {
                  "type": "Role",
                  "principalId": "TESTXECZ5U9M4LGF2N6Y5",
                  "arn": "arn:aws:iam::111122223333:role/samplerole",
                  "accountId": "111122223333",
                  "userName": "samplerole"
              },
              "webIdFederationData": {},
              "attributes": {
                  "creationDate": "2024-05-27T19:34:10Z",
                  "mfaAuthenticated": "false"
              },
              "ec2RoleDelivery": "2.0"
          }
      },
      "eventTime": "2024-05-27T19:49:54Z",
      "eventSource": "payment-cryptography.amazonaws.com",
      "eventName": "CreateKey",
      "awsRegion": "us-east-1",
      "sourceIPAddress": "172.31.85.253",
      "userAgent": "aws-cli/2.14.5 Python/3.9.16 Linux/6.1.79-99.167.amzn2023.x86_64 source/x86_64.amzn.2023 prompt/off command/payment-cryptography.create-key",
      "requestParameters": {
          "keyAttributes": {
              "keyUsage": "TR31_M1_ISO_9797_1_MAC_KEY",
              "keyClass": "SYMMETRIC_KEY",
              "keyAlgorithm": "TDES_2KEY",
              "keyModesOfUse": {
                  "encrypt": false,
                  "decrypt": false,
                  "wrap": false,
                  "unwrap": false,
                  "generate": true,
                  "sign": false,
                  "verify": true,
                  "deriveKey": false,
                  "noRestrictions": false
              }
          },
          "exportable": true
      },
      "responseElements": {
          "key": {
              "keyArn": "arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h",
              "keyAttributes": {
                  "keyUsage": "TR31_M1_ISO_9797_1_MAC_KEY",
                  "keyClass": "SYMMETRIC_KEY",
                  "keyAlgorithm": "TDES_2KEY",
                  "keyModesOfUse": {
                      "encrypt": false,
                      "decrypt": false,
                      "wrap": false,
                      "unwrap": false,
                      "generate": true,
                      "sign": false,
                      "verify": true,
                      "deriveKey": false,
                      "noRestrictions": false
                  }
              },
              "keyCheckValue": "A486ED",
              "keyCheckValueAlgorithm": "ANSI_X9_24",
              "enabled": true,
              "exportable": true,
              "keyState": "CREATE_COMPLETE",
              "keyOrigin": "AWS_PAYMENT_CRYPTOGRAPHY",
              "createTimestamp": "May 27, 2024, 7:49:54 PM",
              "usageStartTimestamp": "May 27, 2024, 7:49:54 PM"
          }
      },
      "requestID": "f3020b3c-4e86-47f5-808f-14c7a4a99161",
      "eventID": "b87c3d30-f3ab-4131-87e8-bc54cfef9d29",
      "readOnly": false,
      "eventType": "AwsApiCall",
      "managementEvent": true,
      "recipientAccountId": "111122223333",
      "vpcEndpointId": "vpce-1234abcdf5678c90a",
      "eventCategory": "Management",
      "tlsDetails": {
          "tlsVersion": "TLSv1.3",
          "cipherSuite": "TLS_AES_128_GCM_SHA256",
          "clientProvidedHostHeader": "vpce-1234abcdf5678c90a-oo28vrvr.controlplane.payment-cryptography.us-east-1.vpce.amazonaws.com"
      }
  }