Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Chiffré WorkSpaces dans WorkSpaces Personal

WorkSpaces est intégré au AWS Key Management Service (AWS KMS). Cela vous permet de chiffrer les volumes de stockage à l' WorkSpaces aide de AWS KMS Key. Lorsque vous lancez un WorkSpace, vous pouvez chiffrer le volume racine (pour Microsoft Windows, le lecteur C ; pour Linux,/) et le volume utilisateur (pour Windows, le lecteur D ; pour Linux, /home). Vous garantissez ainsi que les données stockées au repos, les E/S de disque vers le volume et les instantanés créés à partir des volumes sont tous chiffrés.

Prérequis

Vous avez besoin d'une AWS KMS clé avant de pouvoir commencer le processus de chiffrement. Cette KMS clé peut être la KMScléAWS gérée pour Amazon WorkSpaces (aws/workspaces) ou une clé symétrique gérée par le client. KMS

Vous devez remplir les conditions suivantes pour utiliser une AWS KMS clé afin de chiffrer votre WorkSpaces :

Limites

Vue d'ensemble du WorkSpaces chiffrement à l'aide AWS KMS

Lorsque vous créez WorkSpaces avec des volumes chiffrés WorkSpaces , utilisez Amazon Elastic Block Store (AmazonEBS) pour créer et gérer ces volumes. Amazon EBS chiffre vos volumes à l'aide d'une clé de données à l'aide de l'algorithme standard AES -256. Amazon EBS et Amazon WorkSpaces utilisent tous deux votre KMS clé pour travailler avec les volumes chiffrés. Pour plus d'informations sur EBS le chiffrement des volumes, consultez Amazon EBS Encryption dans le guide de EC2 l'utilisateur Amazon.

Lorsque vous lancez WorkSpaces avec des volumes chiffrés, le end-to-end processus fonctionne comme suit :

WorkSpaces contexte de chiffrement

WorkSpaces n'utilise pas votre KMS clé directement pour des opérations cryptographiques (telles que Encrypt,, DecryptGenerateDataKey, etc.), ce qui signifie AWS KMS qu' WorkSpaces il n'envoie pas de demandes incluant un contexte de chiffrement. Toutefois, lorsqu'Amazon EBS demande une clé de données chiffrée pour les volumes chiffrés de votre WorkSpaces (Étape 3dans leVue d'ensemble du WorkSpaces chiffrement à l'aide AWS KMS) et lorsqu'il demande une copie en texte brut de cette clé de données (Étape 5), le contexte de chiffrement est inclus dans la demande.

Le contexte de chiffrement fournit des données authentifiées supplémentaires (AAD) qui sont AWS KMS utilisées pour garantir l'intégrité des données. Le contexte de chiffrement est également écrit dans vos fichiers AWS CloudTrail journaux, ce qui peut vous aider à comprendre pourquoi une KMS clé donnée a été utilisée. Amazon EBS utilise les éléments suivants pour le contexte de chiffrement :

L'exemple suivant montre une JSON représentation du contexte de chiffrement EBS utilisé par Amazon :

{
  "aws:workspaces:sid-directoryid": "[S-1-5-21-277731876-1789304096-451871588-1107]@[d-1234abcd01]",
  "aws:ebs:id": "vol-1234abcd"
}

WorkSpaces Autoriser l'utilisation d'une KMS clé en votre nom

Vous pouvez protéger vos WorkSpace données à l'aide de la KMS clé AWS gérée pour WorkSpaces (aws/espaces de travail) ou d'une clé gérée par le client. KMS Si vous utilisez une KMS clé gérée par le client, vous devez WorkSpaces autoriser l'utilisation de la KMS clé au nom des WorkSpaces administrateurs de votre compte. La KMS clé AWS gérée pour WorkSpaces dispose des autorisations requises par défaut.

Pour préparer votre KMS clé gérée par le client à utiliser WorkSpaces, suivez la procédure suivante.

Vos WorkSpaces administrateurs ont également besoin d'une autorisation pour l'utiliser WorkSpaces. Pour plus d'informations sur ces autorisations, consultez Gestion des identités et des accès pour WorkSpaces.

Partie 1 : Ajouter des WorkSpaces administrateurs en tant qu'utilisateurs clés

Pour accorder WorkSpaces aux administrateurs les autorisations dont ils ont besoin, vous pouvez utiliser le AWS Management Console ou le AWS KMS API.

Pour ajouter des WorkSpaces administrateurs en tant qu'utilisateurs clés d'une KMS clé (console)

Pour ajouter des WorkSpaces administrateurs en tant qu'utilisateurs clés d'une KMS clé (API)

Partie 2 : Accorder WorkSpaces aux administrateurs des autorisations supplémentaires à l'aide d'une IAM politique

Si vous sélectionnez une KMS clé gérée par le client à utiliser pour le chiffrement, vous devez établir des IAM politiques permettant WorkSpaces à Amazon d'utiliser la KMS clé au nom d'un IAM utilisateur de votre compte qui lance le chiffrement WorkSpaces. Cet utilisateur doit également être autorisé à utiliser Amazon WorkSpaces. Pour plus d'informations sur la création et la modification des politiques IAM utilisateur, voir Gestion des IAM politiques dans le Guide de IAM l'utilisateur etGestion des identités et des accès pour WorkSpaces.

WorkSpaces le chiffrement nécessite un accès limité à la KMS clé. Voici un modèle de stratégie de clé que vous pouvez utiliser. Cette stratégie sépare les mandataires qui peuvent gérer la clé AWS KMS de ceux qui peuvent l'utiliser. Avant d'utiliser cet exemple de stratégie de clé, remplacez l'exemple d'ID de compte et le nom d'utilisateur IAM par des valeurs réelles de votre compte.

La première instruction correspond à la politique AWS KMS clé par défaut. Cela donne à votre compte l'autorisation d'utiliser IAM des politiques pour contrôler l'accès à la KMS clé. Les deuxième et troisième instructions définissent les AWS principaux autorisés à gérer et à utiliser la clé, respectivement. La quatrième instruction permet aux AWS services intégrés AWS KMS d'utiliser la clé pour le compte du principal spécifié. Cette instruction permet aux services AWS de créer et gérer les octrois. La déclaration utilise un élément de condition qui limite les autorisations relatives à la KMS clé à celles accordées par les AWS services au nom des utilisateurs de votre compte.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Create*",
        "kms:Describe*",
        "kms:Enable*",
        "kms:List*",
        "kms:Put*",
        "kms:Update*",
        "kms:Revoke*",
        "kms:Disable*",
        "kms:Get*",
        "kms:Delete*"
       ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": "true"}}
    }
  ]
}

La IAM politique d'un utilisateur ou d'un rôle qui chiffre une clé WorkSpace doit inclure les autorisations d'utilisation sur la KMS clé gérée par le client, ainsi que l'accès à WorkSpaces. Pour accorder des WorkSpaces autorisations à un IAM utilisateur ou à un rôle, vous pouvez associer l'exemple de politique suivant à l'IAMutilisateur ou au rôle.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:*",
                "ds:DescribeDirectories",
                "workspaces:*",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:CreateWorkspaces",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:DescribeWorkspaceDirectories",
                "workspaces:DescribeWorkspaces",
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces"
            ],
            "Resource": "*"
        }
    ]
}

La stratégie IAM suivante est requise par l'utilisateur pour l'utilisation de AWS KMS. Il donne à l'utilisateur un accès en lecture seule à la KMS clé ainsi que la possibilité de créer des subventions.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:Describe*",
                "kms:List*"
            ],
            "Resource": "*"
        }
    ]
}

Si vous souhaitez spécifier la KMS clé dans votre politique, utilisez une IAM stratégie similaire à la suivante. Remplacez l'exemple de KMS clé ARN par une clé valide.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:CreateGrant",
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:ListAliases",
        "kms:ListKeys"
      ],
      "Resource": "*"
    }
  ]
}

Chiffrer un WorkSpace

Afficher crypté WorkSpaces

Pour voir quels volumes WorkSpaces et quels volumes ont été chiffrés depuis la WorkSpaces console, choisissez dans la barre WorkSpacesde navigation de gauche. La colonne Volume Encryption indique si le chiffrement WorkSpace est activé ou désactivé pour chacun d'entre eux. Pour voir quels volumes spécifiques ont été chiffrés, développez l' WorkSpace entrée pour voir le champ Volumes chiffrés.