Utiliser les rapports d'audit avec votre autorité de certification privée

Pour créer un rapport d'audit (console)

1. Connectez-vous à votre AWS compte et ouvrez la Autorité de certification privée AWS console à la https://console.aws.amazon.com/acm-pca/maison.

2. Sur la page Autorités de certification privées, choisissez votre autorité de certification privée dans la liste.

3. Dans le menu Actions, choisissez Générer un rapport d'audit.

4. Sous Destination du rapport d'audit, pour Créer un nouveau compartiment S3 ? , choisissez Oui et saisissez un nom de compartiment unique, ou choisissez Non et choisissez un compartiment existant dans la liste.

   Si vous choisissez Oui, Autorité de certification privée AWS crée et attache la politique par défaut à votre compartiment. La politique par défaut inclut une clé de aws:SourceAccount condition qui limite l'accès à un AWS compte spécifique. Si vous souhaitez restreindre davantage l'accès, vous pouvez ajouter d'autres clés de condition à la politique, comme dans l'exemple précédent.

   Si vous choisissez Non, vous devez associer une politique à votre compartiment avant de pouvoir générer un rapport d'audit. Utilisez le modèle de politique décrit dansPréparation d'un compartiment Amazon S3 pour les rapports d'audit. Pour plus d'informations sur l'attachement d'une politique, consultez Ajouter une politique de compartiment à l'aide de la console Amazon S3.

5. Sous Format de sortie, choisissez Notation JSONd' JavaScript objet ou valeurs séparées par CSVdes virgules.

6. Choisissez Generate audit report (Générer un rapport d'audit).

Pour créer un rapport d'audit (AWS CLI)

1. Si vous n'avez pas encore de compartiment S3 à utiliser, créez-en un.

2. Associez une politique à votre compartiment. Utilisez le modèle de politique décrit dansPréparation d'un compartiment Amazon S3 pour les rapports d'audit. Pour plus d'informations sur l'attachement d'une politique, consultez Ajouter une politique de compartiment à l'aide de la console Amazon S3

3. Utilisez la commande create-certificate-authority-audit-report pour créer le rapport d'audit et le placer dans le compartiment S3 préparé.

   $ aws acm-pca create-certificate-authority-audit-report \
   --certificate-authority-arn arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566 \
   --s3-bucket-name amzn-s3-demo-bucket \
   --audit-report-response-format JSON 

Pour configurer le chiffrement automatique

Procédez comme suit pour activer le chiffrement côté serveur S3.

1. Ouvrez la console Amazon S3 à l'adresse https://console.aws.amazon.com/s3/.

2. Dans le tableau Buckets, choisissez le compartiment qui contiendra vos Autorité de certification privée AWS actifs.

3. Sur la page de votre compartiment, choisissez l'onglet Propriétés .

4. Choisissez la carte de Chiffrement par défaut.

5. Sélectionnez Activer.

6. Choisissez la clé Amazon S3 (SSE-S3).

7. Choisissez Save Changes (Enregistrer les modifications).

Pour configurer le chiffrement personnalisé

Procédez comme suit pour activer le chiffrement à l'aide d'une clé personnalisée.

1. Ouvrez la console Amazon S3 à l'adresse https://console.aws.amazon.com/s3/.

2. Dans le tableau Buckets, choisissez le compartiment qui contiendra vos Autorité de certification privée AWS actifs.

3. Sur la page de votre compartiment, choisissez l'onglet Propriétés .

4. Choisissez la carte de Chiffrement par défaut.

5. Sélectionnez Activer.

6. Choisissez AWS Key Management Service la touche (SSE-KMS).

7. Choisissez Choisir parmi vos AWS KMS touches ou Enter AWS KMS key ARN.

8. Choisissez Save Changes (Enregistrer les modifications).

9. (Facultatif) Si vous n'avez pas encore de KMS clé, créez-en une à l'aide de la commande AWS CLI Create-Key suivante :

   $ aws kms create-key

   La sortie contient l'ID de clé et le nom de ressource Amazon (ARN) de la KMS clé. Voici un exemple de résultat :

   {
       "KeyMetadata": {
           "KeyId": "01234567-89ab-cdef-0123-456789abcdef",
           "Description": "",
           "Enabled": true,
           "KeyUsage": "ENCRYPT_DECRYPT",
           "KeyState": "Enabled",
           "CreationDate": 1478910250.94,
           "Arn": "arn:aws:kms:us-west-2:123456789012:key/01234567-89ab-cdef-0123-456789abcdef",
           "AWSAccountId": "123456789012"
       }
   }

10. En suivant les étapes suivantes, vous autorisez le principal du Autorité de certification privée AWS service à utiliser la KMS clé. Par défaut, toutes les KMS clés sont privées ; seul le propriétaire de la ressource peut utiliser une KMS clé pour chiffrer et déchiffrer les données. Toutefois, le propriétaire de la ressource peut autoriser d'autres utilisateurs et ressources à accéder à la KMS clé. Le principal du service doit se trouver dans la même région que celle où la KMS clé est stockée.

    1. Enregistrez d'abord la politique par défaut de votre KMS clé à l'policy.jsonaide de la get-key-policycommande suivante :

       $ aws kms get-key-policy --key-id key-id --policy-name default --output text > ./policy.json

    2. Ouvrez le fichier policy.json dans un éditeur de texte. Sélectionnez l'une des déclarations de politique suivantes et ajoutez-la à la politique existante.

       Si votre clé de compartiment Amazon S3 est activée, utilisez l'instruction suivante :

       {
          "Sid":"Allow ACM-PCA use of the key",
          "Effect":"Allow",
          "Principal":{
             "Service":"acm-pca.amazonaws.com"
          },
          "Action":[
             "kms:GenerateDataKey",
             "kms:Decrypt"
          ],
          "Resource":"*",
          "Condition":{
             "StringLike":{
                "kms:EncryptionContext:aws:s3:arn":"arn:aws:s3:::bucket-name"
             }
          }
       }

       Si votre clé de compartiment Amazon S3 est désactivée, utilisez l'instruction suivante :

       {
          "Sid":"Allow ACM-PCA use of the key",
          "Effect":"Allow",
          "Principal":{
             "Service":"acm-pca.amazonaws.com"
          },
          "Action":[
             "kms:GenerateDataKey",
             "kms:Decrypt"
          ],
          "Resource":"*",
          "Condition":{
             "StringLike":{
                "kms:EncryptionContext:aws:s3:arn":[
                   "arn:aws:s3:::bucket-name/acm-pca-permission-test-key",
                   "arn:aws:s3:::bucket-name/acm-pca-permission-test-key-private",
                   "arn:aws:s3:::bucket-name/audit-report/*",
                   "arn:aws:s3:::bucket-name/crl/*"
                ]
             }
          }
       }

    3. Enfin, appliquez la politique mise à jour à l'aide de la put-key-policycommande suivante :

       $ aws kms put-key-policy --key-id key_id --policy-name default --policy file://policy.json