Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Chiffré WorkSpaces dans WorkSpaces Personal

WorkSpaces est intégré au AWS Key Management Service (AWS KMS). Cela vous permet de chiffrer les volumes de stockage à l' WorkSpaces aide de AWS KMS Key. Lorsque vous lancez un WorkSpace, vous pouvez chiffrer le volume racine (pour Microsoft Windows, le lecteur C ; pour Linux,/) et le volume utilisateur (pour Windows, le lecteur D ; pour Linux, /home). Vous garantissez ainsi que les données stockées au repos, les E/S de disque vers le volume et les instantanés créés à partir des volumes sont tous chiffrés.

Prérequis

Vous avez besoin d'une AWS KMS clé avant de pouvoir commencer le processus de chiffrement. Cette clé KMS peut être la clé KMS AWS gérée pour Amazon WorkSpaces (aws/workspaces) ou une clé KMS symétrique gérée par le client.

Vous devez remplir les conditions suivantes pour utiliser une AWS KMS clé afin de chiffrer votre WorkSpaces :

Limites

Vue d'ensemble du WorkSpaces chiffrement à l'aide AWS KMS

Lorsque vous créez WorkSpaces avec des volumes chiffrés, WorkSpaces utilisez Amazon Elastic Block Store (Amazon EBS) pour créer et gérer ces volumes. Amazon EBS chiffre les volumes avec une clé de données utilisant l'algorithme AES-256 standard. Amazon EBS et Amazon WorkSpaces utilisent tous deux votre clé KMS pour travailler avec les volumes chiffrés. Pour plus d'informations sur le chiffrement des volumes EBS, consultez Amazon EBS Encryption dans le guide de l'utilisateur Amazon EC2.

Lorsque vous lancez WorkSpaces avec des volumes chiffrés, le end-to-end processus fonctionne comme suit :

WorkSpaces contexte de chiffrement

WorkSpaces n'utilise pas votre clé KMS directement pour des opérations cryptographiques (telles que Encrypt, Decrypt, GenerateDataKey, etc.), ce qui signifie AWS KMS qu' WorkSpaces il n'envoie pas de demandes incluant un contexte de chiffrement. Toutefois, lorsqu'Amazon EBS demande une clé de données chiffrée pour les volumes chiffrés de votre WorkSpaces (Étape 3dans leVue d'ensemble du WorkSpaces chiffrement à l'aide AWS KMS) et lorsqu'il demande une copie en texte brut de cette clé de données (Étape 5), il inclut le contexte de chiffrement dans la demande.

Le contexte de chiffrement fournit des données authentifiées supplémentaires (AAD) qui sont AWS KMS utilisées pour garantir l'intégrité des données. Le contexte de chiffrement est également écrit dans vos fichiers AWS CloudTrail journaux, ce qui peut vous aider à comprendre pourquoi une clé KMS donnée a été utilisée. Amazon EBS utilise les éléments suivants comme contexte de chiffrement :

L'exemple suivant montre une représentation JSON du contexte de chiffrement qu'Amazon EBS utilise :

{
  "aws:workspaces:sid-directoryid": "[S-1-5-21-277731876-1789304096-451871588-1107]@[d-1234abcd01]",
  "aws:ebs:id": "vol-1234abcd"
}

WorkSpaces Autoriser l'utilisation d'une clé KMS en votre nom

Vous pouvez protéger vos WorkSpace données à l'aide de la clé KMS AWS gérée pour WorkSpaces (aws/espaces de travail) ou d'une clé KMS gérée par le client. Si vous utilisez une clé KMS gérée par le client, vous devez WorkSpaces autoriser l'utilisation de la clé KMS au nom des WorkSpaces administrateurs de votre compte. La clé KMS AWS gérée pour WorkSpaces dispose des autorisations requises par défaut.

Pour préparer votre clé KMS gérée par le client à utiliser avec WorkSpaces, suivez la procédure suivante.

Vos WorkSpaces administrateurs ont également besoin d'une autorisation pour l'utiliser WorkSpaces. Pour plus d'informations sur ces autorisations, consultez Gestion des identités et des accès pour WorkSpaces.

Partie 1 : Ajouter des WorkSpaces administrateurs en tant qu'utilisateurs clés

Pour donner WorkSpaces aux administrateurs les autorisations dont ils ont besoin, vous pouvez utiliser l'API AWS Management Console ou l' AWS KMS API.

Pour ajouter des WorkSpaces administrateurs en tant qu'utilisateurs clés pour une clé KMS (console)

Pour ajouter des WorkSpaces administrateurs en tant qu'utilisateurs clés pour une clé KMS (API)

Partie 2 : Accorder WorkSpaces aux administrateurs des autorisations supplémentaires à l'aide d'une politique IAM

Si vous sélectionnez une clé KMS gérée par le client à utiliser pour le chiffrement, vous devez établir des politiques IAM qui autorisent Amazon WorkSpaces à utiliser la clé KMS au nom d'un utilisateur IAM de votre compte qui lance le chiffrement. WorkSpaces Cet utilisateur doit également être autorisé à utiliser Amazon WorkSpaces. Pour plus d'informations sur la création et la modification de politiques utilisateur IAM, consultez Gestion des politiques IAM dans le Guide de l'utilisateur IAM, et Gestion des identités et des accès pour WorkSpaces.

WorkSpaces le chiffrement nécessite un accès limité à la clé KMS. Voici un modèle de stratégie de clé que vous pouvez utiliser. Cette stratégie sépare les mandataires qui peuvent gérer la clé AWS KMS de ceux qui peuvent l'utiliser. Avant d'utiliser cet exemple de stratégie de clé, remplacez l'exemple d'ID de compte et le nom d'utilisateur IAM par des valeurs réelles de votre compte.

La première instruction correspond à la politique AWS KMS clé par défaut. Elle donne à votre compte l'autorisation d'utiliser des politique IAM pour contrôler l'accès à la clé KMS. Les deuxième et troisième instructions définissent les AWS principaux autorisés à gérer et à utiliser la clé, respectivement. La quatrième instruction permet aux AWS services intégrés AWS KMS d'utiliser la clé pour le compte du principal spécifié. Cette instruction permet aux services AWS de créer et gérer les octrois. La déclaration utilise un élément de condition qui limite les autorisations relatives à la clé KMS à celles accordées par les AWS services au nom des utilisateurs de votre compte.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Create*",
        "kms:Describe*",
        "kms:Enable*",
        "kms:List*",
        "kms:Put*",
        "kms:Update*",
        "kms:Revoke*",
        "kms:Disable*",
        "kms:Get*",
        "kms:Delete*"
       ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": "true"}}
    }
  ]
}

La politique IAM pour un utilisateur ou un rôle qui chiffre un WorkSpace doit inclure les autorisations d'utilisation sur la clé KMS gérée par le client, ainsi que l'accès à. WorkSpaces Pour accorder des WorkSpaces autorisations à un utilisateur ou à un rôle IAM, vous pouvez associer l'exemple de politique suivant à l'utilisateur ou au rôle IAM.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:*",
                "ds:DescribeDirectories",
                "workspaces:*",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:CreateWorkspaces",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:DescribeWorkspaceDirectories",
                "workspaces:DescribeWorkspaces",
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces"
            ],
            "Resource": "*"
        }
    ]
}

La politique IAM suivante est requise par l'utilisateur pour l'utilisation de AWS KMS. Elle donne à l'utilisateur un accès en lecture seule à la clé KMS ainsi que la possibilité de créer des octrois.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:Describe*",
                "kms:List*"
            ],
            "Resource": "*"
        }
    ]
}

Si vous souhaitez spécifier la clé KMS dans votre politique, utilisez une politique IAM similaire à celle qui suit. Remplacez l'exemple d'ARN de clé KMS par un ARN valide.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:CreateGrant",
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:ListAliases",
        "kms:ListKeys"
      ],
      "Resource": "*"
    }
  ]
}

Chiffrer un WorkSpace

Afficher crypté WorkSpaces

Pour voir quels volumes WorkSpaces et quels volumes ont été chiffrés depuis la WorkSpaces console, choisissez dans la barre WorkSpacesde navigation de gauche. La colonne Volume Encryption indique si le chiffrement WorkSpace est activé ou désactivé pour chacun d'entre eux. Pour voir quels volumes spécifiques ont été chiffrés, développez l' WorkSpace entrée pour voir le champ Volumes chiffrés.