Utilisation de rapports d'audit avec votre autorité de certification privée

Pour créer un rapport d'audit (console)

1. Connectez-vous à votre AWS compte et ouvrez la Autorité de certification privée AWS console à l'adresse https://console.aws.amazon.com/acm-pca/home.

2. Sur la page Autorités de certification privées, choisissez votre autorité de certification privée dans la liste.

3. Dans le menu Actions, choisissez Générer un rapport d'audit.

4. Sous Destination du rapport d'audit, pour Créer un nouveau compartiment S3 ? , choisissez Oui et saisissez un nom de compartiment unique, ou choisissez Non et choisissez un compartiment existant dans la liste.

   Si vous choisissez Oui, Autorité de certification privée AWS crée et attache la politique par défaut à votre compartiment. Si vous choisissez Non, vous devez associer une politique à votre compartiment avant de pouvoir générer un rapport d'audit. Utilisez le modèle de politique décrit dansPréparation d'un compartiment Amazon S3 pour les rapports d'audit. Pour plus d'informations sur l'attachement d'une politique, consultez Ajouter une politique de compartiment à l'aide de la console Amazon S3

5. Sous Format de sortie, choisissez JSON pour la notation des JavaScript objets ou CSV pour les valeurs séparées par des virgules.

6. Choisissez Generate audit report (Générer un rapport d'audit).

Pour créer un rapport d'audit (AWS CLI)

1. Si vous n'avez pas encore de compartiment S3 à utiliser, créez-en un.

2. Associez une politique à votre compartiment. Utilisez le modèle de politique décrit dansPréparation d'un compartiment Amazon S3 pour les rapports d'audit. Pour plus d'informations sur l'attachement d'une politique, consultez Ajouter une politique de compartiment à l'aide de la console Amazon S3

3. Utilisez la commande create-certificate-authority-audit-report pour créer le rapport d'audit et le placer dans le compartiment S3 préparé.

   $ aws acm-pca create-certificate-authority-audit-report \
   --certificate-authority-arn arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566 \
   --s3-bucket-name bucket_name \
   --audit-report-response-format JSON 

Pour configurer le chiffrement automatique

Procédez comme suit pour activer le chiffrement côté serveur S3.

1. Ouvrez la console Amazon S3 sur https://console.aws.amazon.com/s3/.

2. Dans le tableau Buckets, choisissez le compartiment qui contiendra vos Autorité de certification privée AWS actifs.

3. Sur la page de votre compartiment, choisissez l'onglet Propriétés .

4. Choisissez la carte de Chiffrement par défaut.

5. Sélectionnez Activer.

6. Choisissez la clé Amazon S3 (SSE-S3).

7. Choisissez Save Changes (Enregistrer les modifications).

Pour configurer le chiffrement personnalisé

Procédez comme suit pour activer le chiffrement à l'aide d'une clé personnalisée.

1. Ouvrez la console Amazon S3 sur https://console.aws.amazon.com/s3/.

2. Dans le tableau Buckets, choisissez le compartiment qui contiendra vos Autorité de certification privée AWS actifs.

3. Sur la page de votre compartiment, choisissez l'onglet Propriétés .

4. Choisissez la carte de Chiffrement par défaut.

5. Sélectionnez Activer.

6. Choisissez AWS Key Management Service la clé (SSE-KMS).

7. Choisissez Choisir parmi vos AWS KMS clés ou Entrer un AWS KMS key ARN.

8. Choisissez Save Changes (Enregistrer les modifications).

9. (Facultatif) Si vous ne possédez pas encore de clé KMS, créez-en une à l'aide de la commande AWS CLI create-key suivante :

   $ aws kms create-key

   La sortie contient l'ID de clé et le nom de ressource Amazon (ARN) de la clé KMS. Voici un exemple de résultat :

   {
       "KeyMetadata": {
           "KeyId": "01234567-89ab-cdef-0123-456789abcdef",
           "Description": "",
           "Enabled": true,
           "KeyUsage": "ENCRYPT_DECRYPT",
           "KeyState": "Enabled",
           "CreationDate": 1478910250.94,
           "Arn": "arn:aws:kms:us-west-2:123456789012:key/01234567-89ab-cdef-0123-456789abcdef",
           "AWSAccountId": "123456789012"
       }
   }

10. En suivant les étapes suivantes, vous autorisez le principal du Autorité de certification privée AWS service à utiliser la clé KMS. Par défaut, toutes les clés KMS sont privées ; seul le propriétaire de la ressource peut utiliser une clé KMS pour chiffrer et déchiffrer les données. Cependant, le propriétaire de la ressource peut accorder à d'autres utilisateurs et ressources des autorisations d'accès à la clé KMS. Le principal de service doit se trouver dans la même région que celle où la clé KMS est stockée.

    1. Tout d'abord, enregistrez la politique par défaut pour votre clé KMS à policy.json l'aide de la get-key-policycommande suivante :

       $ aws kms get-key-policy --key-id key-id --policy-name default --output text > ./policy.json

    2. Ouvrez le fichier policy.json dans un éditeur de texte. Sélectionnez l'une des déclarations de politique suivantes et ajoutez-la à la politique existante.

       Si votre clé de compartiment Amazon S3 est activée, utilisez l'instruction suivante :

       {
          "Sid":"Allow ACM-PCA use of the key",
          "Effect":"Allow",
          "Principal":{
             "Service":"acm-pca.amazonaws.com"
          },
          "Action":[
             "kms:GenerateDataKey",
             "kms:Decrypt"
          ],
          "Resource":"*",
          "Condition":{
             "StringLike":{
                "kms:EncryptionContext:aws:s3:arn":"arn:aws:s3:::bucket-name"
             }
          }
       }

       Si votre clé de compartiment Amazon S3 est désactivée, utilisez l'instruction suivante :

       {
          "Sid":"Allow ACM-PCA use of the key",
          "Effect":"Allow",
          "Principal":{
             "Service":"acm-pca.amazonaws.com"
          },
          "Action":[
             "kms:GenerateDataKey",
             "kms:Decrypt"
          ],
          "Resource":"*",
          "Condition":{
             "StringLike":{
                "kms:EncryptionContext:aws:s3:arn":[
                   "arn:aws:s3:::bucket-name/acm-pca-permission-test-key",
                   "arn:aws:s3:::bucket-name/acm-pca-permission-test-key-private",
                   "arn:aws:s3:::bucket-name/audit-report/*",
                   "arn:aws:s3:::bucket-name/crl/*"
                ]
             }
          }
       }

    3. Enfin, appliquez la politique mise à jour à l'aide de la put-key-policycommande suivante :

       $ aws kms put-key-policy --key-id key_id --policy-name default --policy file://policy.json