Manajemen kunci dalam AWS IoT FleetWise

AWS Manajemen kunci FleetWise cloud IoT

Secara default, AWS IoT FleetWise digunakan Kunci yang dikelola AWS untuk melindungi data Anda di file. AWS Cloud Anda dapat memperbarui pengaturan Anda untuk menggunakan kunci yang dikelola pelanggan untuk mengenkripsi data di AWS IoT FleetWise. Anda dapat membuat, mengelola, dan melihat kunci enkripsi Anda melalui AWS Key Management Service (AWS KMS).

AWS IoT FleetWise mendukung enkripsi sisi server dengan kunci terkelola pelanggan yang disimpan AWS KMS untuk mengenkripsi data untuk sumber daya berikut.

Untuk informasi lebih lanjut, lihat Apa itu AWS Key Management Service? di Panduan AWS Key Management Service Pengembang.

Aktifkan enkripsi menggunakan tombol KMS (konsol)

Untuk menggunakan kunci yang dikelola pelanggan dengan AWS IoT FleetWise, Anda harus memperbarui pengaturan IoT AWS Anda. FleetWise

Aktifkan enkripsi menggunakan kunci KMS ()AWS CLI

Anda dapat menggunakan operasi PutEncryptionConfigurationAPI untuk mengaktifkan enkripsi untuk akun AWS IoT FleetWise Anda. Contoh berikut menggunakan AWS CLI.

Untuk mengaktifkan enkripsi, jalankan perintah berikut.

aws iotfleetwise put-encryption-configuration —kms-key-id KMS key id —encryption-type KMS_BASED_ENCRYPTION

{
 "kmsKeyId": "customer_kms_key_id",
 "encryptionStatus": "PENDING",
 "encryptionType": "KMS_BASED_ENCRYPTION"
}

Kebijakan kunci KMS

Setelah Anda membuat kunci KMS, Anda harus, setidaknya, menambahkan pernyataan berikut ke kebijakan kunci KMS Anda agar dapat bekerja dengan IoT AWS . FleetWise Prinsip FleetWise layanan AWS IoT iotfleetwise.amazonaws.com dalam pernyataan kebijakan kunci KMS memungkinkan AWS IoT FleetWise untuk mengakses kunci KMS.

{
  "Sid": "Allow FleetWise to encrypt and decrypt data when customer managed KMS key based encryption is enabled",
  "Effect": "Allow",
  "Principal": {
    "Service": "iotfleetwise.amazonaws.com"
  },
  "Action": [
    "kms:GenerateDataKey*",
    "kms:Decrypt",
    "kms:DescribeKey",
    "kms:CreateGrant",
    "kms:RetireGrant",
    "kms:RevokeGrant"
  ],
  "Resource": "*"
}

Sebagai praktik terbaik keamanan, tambahkan aws:SourceArn dan aws:SourceAccount kondisi kunci ke kebijakan kunci KMS. Kunci kondisi global IAM aws:SourceArn membantu memastikan bahwa AWS FleetWise IoT menggunakan kunci KMS hanya untuk sumber daya khusus layanan Nama Sumber Daya Amazon (). ARNs

Jika Anda menetapkan nilaiaws:SourceArn, itu harus selaluarn:aws:iotfleetwise:us-east-1:account_id:*. Ini memungkinkan kunci KMS untuk mengakses semua sumber daya AWS FleetWise IoT untuk ini. Akun AWS AWS IoT FleetWise mendukung satu kunci KMS per akun untuk semua sumber daya di dalamnya. Wilayah AWS Menggunakan nilai lain untukSourceArn, atau tidak menggunakan wildcard (*) untuk bidang sumber daya ARN, mencegah AWS FleetWise IoT mengakses kunci KMS.

Nilai aws:SourceAccount adalah ID akun Anda, yang digunakan untuk lebih membatasi kunci KMS sehingga hanya dapat digunakan untuk akun spesifik Anda. Jika Anda menambahkan aws:SourceAccount dan aws:SourceArn mengkondisikan kunci ke kunci KMS, pastikan kunci tersebut tidak digunakan oleh layanan atau akun lain. Ini membantu menghindari kegagalan.

Kebijakan berikut mencakup prinsipal layanan (pengenal untuk layanan), serta aws:SourceAccount dan aws:SourceArn pengaturan untuk digunakan berdasarkan Wilayah AWS dan ID akun Anda.

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {
    "Service": "iotfleetwise.amazonaws.com"
  },
  "Action": [
    "kms:Decrypt",
    "kms:GenerateDataKey*",
    "kms:DescribeKey",
  ],
  "Resource": "*",
  "Condition": {
    "StringLike": {
        "aws:SourceAccount": "AWS-account-ID"
              },
    "ArnLike": {
        "aws:SourceArn": "arn:aws:iotfleetwise:region:AWS-account-ID:*"
    }
  }
}

Untuk informasi selengkapnya tentang mengedit kebijakan kunci KMS untuk digunakan dengan AWS FleetWise IoT, lihat Mengubah kebijakan kunci di Panduan AWS Key Management Service Pengembang.

Izin untuk enkripsi AWS KMS

Jika Anda mengaktifkan AWS KMS enkripsi, Anda harus menentukan izin dalam kebijakan peran sehingga Anda dapat memanggil AWS IoT FleetWise APIs. Kebijakan berikut memungkinkan akses ke semua FleetWise tindakan AWS IoT, serta izin AWS KMS tertentu.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iotfleetwise:*",
        "kms:GenerateDataKey*",
        "kms:Decrypt",
        "kms:DescribeKey"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}

Pernyataan kebijakan berikut diperlukan agar peran Anda menjalankan enkripsi APIs. Pernyataan kebijakan ini memungkinkan PutEncryptionConfiguration dan GetEncryptionConfiguration tindakan dari AWS IoT FleetWise.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iotfleetwise:GetEncryptionConfiguration", 
        "iotfleetwise:PutEncryptionConfiguration",
        "kms:GenerateDataKey*",
        "kms:Decrypt",
        "kms:DescribeKey"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}

Pemulihan setelah penghapusan AWS KMS kunci

Jika Anda menghapus AWS KMS kunci setelah mengaktifkan enkripsi dengan AWS FleetWise IoT, Anda harus mengatur ulang akun Anda dengan menghapus semua data sebelum menggunakan AWS IoT lagi. FleetWise Anda dapat menggunakan daftar dan menghapus operasi API untuk membersihkan sumber daya di akun Anda.

Anda harus membersihkan sumber daya dengan urutan sebagai berikut.