Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Perlindungan data dalam Integrasi Terkelola

Model tanggung jawab AWS bersama model tanggung jawab berlaku untuk perlindungan data di Integrasi Terkelola untuk AWS IoT Device Management. Seperti yang dijelaskan dalam model AWS ini, bertanggung jawab untuk melindungi infrastruktur global yang menjalankan semua AWS Cloud. Anda bertanggung jawab untuk mempertahankan kendali atas konten yang di-host pada infrastruktur ini. Anda juga bertanggung jawab atas tugas-tugas konfigurasi dan manajemen keamanan untuk Layanan AWS yang Anda gunakan. Untuk informasi selengkapnya tentang privasi data, lihat FAQ Privasi Data Ket . Untuk informasi tentang perlindungan data di Eropa, lihat Pusat Peraturan Umum Perlindungan Data (GDPR).

Untuk tujuan perlindungan data, kami menyarankan Anda melindungi Akun AWS kredenSIAL dan mengatur pengguna individu dengan AWS IAM Identity Center atau AWS Identity and Access Management (IAM). Dengan cara itu, setiap pengguna hanya diberi izin yang diperlukan untuk memenuhi tanggung jawab tugasnya. Kami juga menyarankan supaya Anda mengamankan data dengan cara-cara berikut:

Kami sangat merekomendasikan agar Anda tidak pernah memasukkan informasi identifikasi yang sensitif, seperti nomor rekening pelanggan Anda, ke dalam tanda atau bidang isian bebas seperti bidang Nama. Ini termasuk saat Anda bekerja dengan integrasi terkelola untuk AWS IoT Device Management atau lainnya Layanan AWS menggunakan konsol, API AWS CLI, atau AWS SDK. Data apa pun yang Anda masukkan ke dalam tanda atau bidang isian bebas yang digunakan untuk nama dapat digunakan untuk log penagihan atau log diagnostik. Saat Anda memberikan URL ke server eksternal, kami sangat menganjurkan supaya Anda tidak menyertakan informasi kredensial di dalam URL untuk memvalidasi permintaan Anda ke server itu.

Enkripsi data dalam keadaan diam untuk Integrasi Terkelola

Integrasi Terkelola untuk AWS IoT Device Management mengenkripsi data pelanggan sensitif saat diam secara default menggunakan kunci enkripsi.

Ada dua jenis kunci enkripsi yang digunakan untuk melindungi data sensitif bagi pelanggan Integrasi Terkelola:

Kunci yang dikelola pelanggan (CMK)

Integrasi Terkelola mendukung penggunaan kunci yang dikelola pelanggan simetris yang dapat Anda buat, miliki, dan kelola. Anda memiliki kontrol penuh atas kunci KMS ini, termasuk menetapkan dan memelihara kebijakan kunci, kebijakan IAM, dan hibah, mengaktifkan dan menonaktifkannya, memutar materi kriptografinya, menambahkan tag, membuat alias yang merujuk ke kunci KMS, dan menjadwalkan kunci KMS untuk dihapus.

AWS kunci yang dimiliki

Integrasi Terkelola menggunakan kunci ini secara default untuk mengenkripsi data pelanggan sensitif secara otomatis. Anda tidak dapat melihat, mengelola, atau mengaudit penggunaannya. Anda tidak perlu mengambil tindakan apa pun atau mengubah program apa pun untuk melindungi kunci yang mengenkripsi data Anda. Enkripsi data diam secara default membantu mengurangi overhead operasional dan kompleksitas yang terlibat dalam melindungi data sensitif. Pada saat yang sama, ini memungkinkan Anda untuk membangun aplikasi aman yang memenuhi kepatuhan enkripsi yang ketat dan persyaratan peraturan.

Kunci enkripsi default yang digunakan adalah kunci AWS milik. Atau, API opsional untuk memperbarui kunci enkripsi Anda adalah PutDefaultEncryptionConfiguration.

Untuk informasi selengkapnya tentang jenis kunci AWS KMS enkripsi, lihat AWS KMS kunci.

AWS KMS penggunaan untuk Integrasi Terkelola

Integrasi Terkelola mengenkripsi dan mendekripsi semua data pelanggan menggunakan enkripsi amplop. Jenis enkripsi ini akan mengambil data plaintext Anda dan mengenkripsinya dengan kunci data. Selanjutnya, kunci enkripsi yang disebut kunci pembungkus akan mengenkripsi kunci data asli yang digunakan untuk mengenkripsi data plaintext Anda. Dalam enkripsi amplop, kunci pembungkus tambahan dapat digunakan untuk mengenkripsi kunci pembungkus yang ada yang lebih dekat dalam derajat pemisahan dari kunci data asli. Karena kunci data asli dienkripsi oleh kunci pembungkus yang disimpan secara terpisah, Anda dapat menyimpan kunci data asli dan data plaintext terenkripsi di lokasi yang sama. Keyring digunakan untuk menghasilkan, mengenkripsi, dan mendekripsi kunci data selain kunci pembungkus yang digunakan untuk mengenkripsi dan mendekripsi kunci data.

Untuk informasi selengkapnya tentang enkripsi amplop, kunci data, kunci pembungkus, dan gantungan kunci, lihat Enkripsi amplop, kunci data, kunci pembungkus , dan gantungan kunci.

Integrasi Terkelola mengharuskan layanan menggunakan kunci yang dikelola pelanggan Anda untuk operasi internal berikut:

Jenis data dienkripsi menggunakan kunci enkripsi

Integrasi Terkelola menggunakan kunci enkripsi untuk mengenkripsi beberapa jenis data yang disimpan saat diam. Daftar berikut menguraikan jenis data yang dienkripsi saat diam menggunakan kunci enkripsi:

Bagaimana Integrasi Terkelola menggunakan kebijakan utama di AWS KMS

Untuk rotasi kunci cabang dan panggilan asinkron, Integrasi Terkelola memerlukan kebijakan kunci untuk menggunakan kunci enkripsi Anda. Kebijakan utama digunakan untuk alasan berikut:

Untuk contoh kebijakan kunci yang digunakan untuk mengelola akses ke kunci enkripsi Anda di Integrasi Terkelola, lihat Buat kunci enkripsi

Selain menggunakan kebijakan kunci untuk mengelola konfigurasi enkripsi Anda dengan AWS KMS kunci, Integrasi Terkelola menggunakan kebijakan IAM. Untuk informasi selengkapnya tentang kebijakan IAM, lihat Kebijakan dan izin di AWS Identity and Access Management.

Buat kunci enkripsi

Anda dapat membuat kunci enkripsi dengan menggunakan Konsol Manajemen AWS atau AWS KMS API.

Untuk membuat kunci enkripsi

Ikuti langkah-langkah untuk Membuat kunci KMS di Panduan Peng AWS Key Management Service embang.

Kebijakan utama

Pernyataan kebijakan kunci mengontrol akses ke AWS KMS kunci. Setiap AWS KMS kunci hanya akan berisi satu kebijakan kunci. Kebijakan kunci itu menentukan prinsi AWS pal mana yang dapat menggunakan kunci dan bagaimana mereka dapat menggunakannya. Untuk informasi selengkapnya tentang mengelola akses dan penggunaan AWS KMS kunci menggunakan pernyataan kebijakan utama, lihat M engelola akses menggunakan kebijakan.

Berikut ini adalah contoh pernyataan kebijakan utama yang dapat Anda gunakan untuk mengelola akses dan penggunaan AWS KMS kunci yang disimpan di Integrasi Akun AWS Terkelola:

{
   "Statement" : [ 
    {
      "Sid" : "Allow access to principals authorized to use managed integrations",
      "Effect" : "Allow",
      "Principal" : {
        //Note: Both role and user are acceptable.
        "AWS": "arn:aws:iam::111122223333:user/username",
        "AWS": "arn:aws:iam::111122223333:role/roleName"
      },
      "Action" : [ 
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:Decrypt",
        "kms:ReEncrypt*"
      ],
      "Resource" : "arn:aws:kms:region:111122223333:key/key_ID",
      "Condition" : {
        "StringEquals" : {
          "kms:ViaService" : "iotmanagedintegrations.amazonaws.com"
        },
        "ForAnyValue:StringEquals": {
          "kms:EncryptionContext:aws-crypto-ec:iotmanagedintegrations": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": [ 
            "arn:aws:iotmanagedintegrations:<region>:<accountId>:managed-thing/<managedThingId>",
            "arn:aws:iotmanagedintegrations:<region>:<accountId>:credential-locker/<credentialLockerId>",
            "arn:aws:iotmanagedintegrations:<region>:<accountId>:provisioning-profile/<provisioningProfileId>",
            "arn:aws:iotmanagedintegrations:<region>:<accountId>:ota-task/<otaTaskId>"
          ]
        }
      }
    },
    {
      "Sid" : "Allow access to principals authorized to use managed integrations for async flow",
      "Effect" : "Allow",
      "Principal" : {
        "Service": "iotmanagedintegrations.amazonaws.com"
      },
      "Action" : [ 
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:Decrypt",
        "kms:ReEncrypt*"
      ],
      "Resource" : "arn:aws:kms:region:111122223333:key/key_ID",
      "Condition" : {
        "ForAnyValue:StringEquals": {
          "kms:EncryptionContext:aws-crypto-ec:iotmanagedintegrations": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": [ 
            "arn:aws:iotmanagedintegrations:<region>:<accountId>:managed-thing/<managedThingId>",
            "arn:aws:iotmanagedintegrations:<region>:<accountId>:credential-locker/<credentialLockerId>",
            "arn:aws:iotmanagedintegrations:<region>:<accountId>:provisioning-profile/<provisioningProfileId>",
            "arn:aws:iotmanagedintegrations:<region>:<accountId>:ota-task/<otaTaskId>"
          ]
        }
      }
    },
    {
      "Sid" : "Allow access to principals authorized to use managed integrations for describe key",
      "Effect" : "Allow",
      "Principal" : {
        "AWS": "arn:aws:iam::111122223333:user/username"
      },
      "Action" : [ 
        "kms:DescribeKey",
      ],
      "Resource" : "arn:aws:kms:region:111122223333:key/key_ID",
      "Condition" : {
        "StringEquals" : {
          "kms:ViaService" : "iotmanagedintegrations.amazonaws.com"
        }
      }
    },
    {
      "Sid": "Allow access for key administrators",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:root"
       },
      "Action" : [ 
        "kms:*"
       ],
      "Resource": "*"
    }
  ]
 }

Untuk informasi selengkapnya tentang toko utama, lihat Toko kunci.

Memperbarui konfigurasi enkripsi

Kemampuan untuk memperbarui konfigurasi enkripsi Anda dengan mulus sangat penting untuk mengelola implementasi enkripsi data Anda untuk Integrasi Terkelola. Saat Anda pertama kali melakukan integrasi dengan Integrasi Terkelola, Anda akan diminta untuk memilih konfigurasi enkripsi Anda. Opsi Anda akan menjadi kunci yang AWS dimiliki default atau membuat AWS KMS kunci Anda sendiri.

Konsol Manajemen AWS

Untuk memperbarui konfigurasi enkripsi Anda di Konsol Manajemen AWS, buka beranda AWS IoT layanan dan kemudian arahkan ke Integrasi Ter kelola untuk Kontrol Terpadu > Peng aturan > Enkripsi. Di jendela pengaturan enkripsi, Anda dapat memperbarui konfigurasi enkripsi Anda dengan memilih AWS KMS kunci baru untuk perlindungan enkripsi tambahan. Pilih Sesuaikan pengaturan enkripsi (lanj utan) untuk memilih AWS KMS kunci yang ada atau Anda dapat memilih Buat AWS KMS kunci untuk membuat kunci yang dikelola pelanggan Anda sendiri.

Perintah API

Ada dua API yang digunakan untuk mengelola konfigurasi enkripsi AWS KMS kunci Anda di Integrasi Terkelola: PutDefaultEncryptionConfiuration danGetDefaultEncryptionConfiguration.

Untuk memperbarui konfigurasi enkripsi default, hubungiPutDefaultEncryptionConfiuration. Untuk informasi selengkapnya tentang PutDefaultEncryptionConfiuration, lihat PutDefaultEncryptionConfiuration.

Untuk melihat konfigurasi enkripsi default, hubungiGetDefaultEncryptionConfiguration. Untuk informasi selengkapnya tentang GetDefaultEncryptionConfiguration, lihat GetDefaultEncryptionConfiguration.