Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Enkripsi saat istirahat: Cara menggunakan kunci yang dikelola pelanggan untuk mengenkripsi tabel di Amazon Keyspaces

Anda dapat menggunakan pernyataan konsol atau CQL untuk menetapkan tabel baru dan memperbarui kunci enkripsi tabel yang ada di Amazon Keyspaces.AWS KMS key Topik berikut menguraikan cara menerapkan kunci yang dikelola pelanggan untuk tabel baru dan yang sudah ada.

Prasyarat: Membuat kunci yang dikelola pelanggan menggunakanAWS KMS dan memberikan izin ke Amazon Keyspaces

Sebelum Anda dapat melindungi tabel Amazon Keyspaces dengan kunci yang dikelola pelanggan, Anda harus terlebih dahulu membuat kunci diAWS Key Management Service (AWS KMS) dan kemudian mengotorisasi Amazon Keyspaces untuk menggunakan kunci tersebut.

Langkah 1: Buat kunci yang dikelola pelanggan menggunakanAWS KMS

Untuk membuat kunci yang dikelola pelanggan untuk digunakan untuk melindungi tabel Amazon Keyspaces, Anda dapat mengikuti langkah-langkah dalam Membuat kunci KMS enkripsi simetris menggunakan konsol atauAWS API.

Langkah 2: Otorisasi penggunaan kunci yang dikelola pelanggan

Sebelum Anda dapat memilih kunci yang dikelola pelanggan untuk melindungi tabel Amazon Keyspaces, kebijakan pada kunci yang dikelola pelanggan harus memberikan izin Amazon Keyspaces untuk menggunakannya atas nama Anda. Anda memiliki kontrol penuh atas kebijakan dan hibah pada kunci yang dikelola pelanggan Anda dapat memberikan izin ini dalam kebijakan kunci, kebijakan IAM, atau hibah.

Amazon Keyspaces tidak memerlukan otorisasi tambahan untuk menggunakan default Kunci milik AWSuntuk melindungi tabel Amazon Keyspaces diAWS akun Anda.

Topik berikut menunjukkan cara mengonfigurasi izin yang diperlukan menggunakan kebijakan IAM dan hibah yang memungkinkan tabel Amazon Keyspaces menggunakan kunci yang dikelola pelanggan.

Kebijakan kunci untuk kunci yang dikelola

Bila Anda memilih kunci yang dikelola pelanggan untuk melindungi tabel Amazon Keyspaces, Amazon Keyspaces mendapat izin untuk menggunakan kunci yang dikelola pelanggan atas nama prinsipal yang membuat pilihan. Prinsipal, pengguna atau peran, harus memiliki izin pada kunci yang dikelola pelanggan yang diperlukan Amazon Keyspaces.

Minimal, Amazon Keyspaces memerlukan izin berikut pada kunci yang dikelola pelanggan:

Contoh kebijakan kunci

Sebagai contoh, kebijakan kunci contoh berikut menyediakan hanya izin yang diperlukan. Kebijakan ini memiliki efek sebagai berikut:

Sebelum menggunakan kebijakan kunci contoh, ganti contoh prinsipal dengan prinsipal yang sebenarnya dari Akun AWS Anda.

{
  "Id": "key-policy-cassandra",
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid" : "Allow access through Amazon Keyspaces for all principals in the account that are authorized to use Amazon Keyspaces",
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::111122223333:user/db-lead"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey",
        "kms:CreateGrant"
      ],
      "Resource": "*",      
      "Condition": { 
         "StringLike": {
           "kms:ViaService" : "cassandra.*.amazonaws.com"
         }
      }
    },
    {
      "Sid":  "Allow administrators to view the customer managed key and revoke grants",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/db-team"
       },
      "Action": [
        "kms:Describe*",
        "kms:Get*",
        "kms:List*",
        "kms:RevokeGrant"
      ],
      "Resource": "*"
    }
  ]
}

Menggunakan hibah untuk mengotorisasi Amazon Keyspaces

Selain kebijakan kunci, Amazon Keyspaces menggunakan hibah untuk menetapkan izin pada kunci yang dikelola pelanggan. Untuk melihat hibah pada kunci yang dikelola pelanggan di akun Anda, gunakan ListGrantsoperasi. Amazon Keyspaces tidak memerlukan hibah, atau izin tambahan, untuk menggunakan Kunci milik AWSuntuk melindungi tabel Anda.

Amazon Keyspaces menggunakan izin hibah ketika melakukan pemeliharaan sistem latar belakang dan tugas perlindungan data berkelanjutan. Ini juga menggunakan hibah untuk menghasilkan kunci tabel.

Setiap hibah spesifik pada tabel. Jika akun mencakup beberapa tabel dienkripsi di bawah kunci yang dikelola pelanggan, ada hibah dari setiap jenis untuk setiap tabel. Hibah dibatasi oleh konteks enkripsi Amazon Keyspaces, yang mencakup nama tabel danAkun AWS ID. Hibah termasuk izin untuk pensiun hibah jika tidak lagi diperlukan.

Untuk membuat hibah, Amazon Keyspaces harus memiliki izin untuk memanggilCreateGrant atas nama pengguna yang membuat tabel terenkripsi.

Kebijakan kunci juga dapat memungkinkan akun untuk mencabut hibah pada kunci yang dikelola pelanggan. Namun, jika Anda mencabut hibah pada tabel dienkripsi yang aktif, Amazon Keyspaces tidak akan mampu melindungi dan mempertahankan tabel.

Langkah 3: Tentukan kunci yang dikelola pelanggan untuk tabel baru

Ikuti langkah berikut untuk menetapkan kunci yang dikelola pelanggan pada tabel baru menggunakan konsol Amazon Keyspaces atau CQL.

Buat tabel terenkripsi menggunakan kunci yang dikelola pelanggan (konsol)

Buat tabel baru menggunakan kunci yang dikelola pelanggan untuk enkripsi saat istirahat (CQL)

Untuk membuat tabel baru yang menggunakan kunci yang dikelola pelanggan untuk enkripsi saat diam, Anda dapat menggunakanCREATE TABLE pernyataan seperti yang ditunjukkan dalam contoh berikut. Pastikan untuk mengganti ARN kunci dengan ARN untuk kunci yang valid dengan izin yang diberikan ke Amazon Keyspaces.

CREATE TABLE my_keyspace.my_table(id bigint, name text, place text STATIC, PRIMARY KEY(id, name)) WITH CUSTOM_PROPERTIES = {
        'encryption_specification':{
                'encryption_type': 'CUSTOMER_MANAGED_KMS_KEY', 
                'kms_key_identifier':'arn:aws:kms:eu-west-1:5555555555555:key/11111111-1111-111-1111-111111111111'
            }
    };

Jika Anda menerimaInvalid Request Exception, Anda perlu mengonfirmasi bahwa kunci yang dikelola pelanggan valid dan Amazon Keyspaces memiliki izin yang diperlukan. Untuk mengonfirmasi bahwa kunci telah dikonfigurasi dengan benar, lihat Memecahkan masalah akses kunci di PanduanAWS Key Management Service Pengembang.

Langkah 4: Perbarui kunci enkripsi dari tabel yang ada

Anda juga dapat menggunakan konsol Amazon Keyspaces atau CQL untuk mengubah kunci enkripsi dari tabel yang ada antara kunci KMS yang dikelola pelanggan atau kunci KMS yang dikelola pelanggan atau CQL untuk mengubah kunci enkripsi dari tabel yangKunci milik AWS ada antara kunci KMS yang dikelola pelanggan atau kunci KMS yang dikelola setiap saat.

Perbarui tabel yang ada dengan kunci terkelola pelanggan baru (konsol)

Memperbarui kunci enkripsi yang digunakan untuk tabel yang ada

Untuk mengubah kunci enkripsi tabel yang ada, Anda menggunakanALTER TABLE pernyataan tersebut untuk menentukan kunci yang dikelola pelanggan untuk enkripsi saat istirahat. Pastikan untuk mengganti ARN kunci dengan ARN untuk kunci yang valid dengan izin yang diberikan ke Amazon Keyspaces.

ALTER TABLE my_keyspace.my_table WITH CUSTOM_PROPERTIES = {     
              'encryption_specification':{ 
                      'encryption_type': 'CUSTOMER_MANAGED_KMS_KEY', 
                      'kms_key_identifier':'arn:aws:kms:eu-west-1:5555555555555:key/11111111-1111-111-1111-111111111111'     
                  } 
         };

Jika Anda menerimaInvalid Request Exception, Anda perlu mengonfirmasi bahwa kunci yang dikelola pelanggan valid dan Amazon Keyspaces memiliki izin yang diperlukan. Untuk mengonfirmasi bahwa kunci telah dikonfigurasi dengan benar, lihat Memecahkan masalah akses kunci di PanduanAWS Key Management Service Pengembang.

Untuk mengubah kunci enkripsi kembali ke opsi enkripsi default saat istirahatKunci milik AWS, Anda dapat menggunakanALTER TABLE pernyataan seperti yang ditunjukkan pada contoh berikut.

ALTER TABLE my_keyspace.my_table WITH CUSTOM_PROPERTIES = {
                'encryption_specification':{
                      'encryption_type' : 'AWS_OWNED_KMS_KEY' 
                    } 
         };

Langkah 5: Gunakan konteks enkripsi Amazon Keyspaces di log

Konteks enkripsi adalah seperangkat pasangan nilai kunci yang berisi data non-rahasia yang berubah-ubah. Bila Anda menyertakan konteks enkripsi dalam permintaan untuk mengenkripsi data, AWS KMS secara kriptografi mengikat konteks enkripsi untuk data terenkripsi tersebut. Untuk mendekripsi data, Anda harus lulus dalam konteks enkripsi yang sama.

Amazon Keyspaces menggunakan konteks enkripsi yang sama di semua operasiAWS KMS kriptografi. Jika Anda menggunakan kunci yang dikelola pelanggan untuk melindungi tabel Amazon Keyspaces Anda, Anda dapat menggunakan konteks enkripsi untuk mengidentifikasi penggunaan kunci yang dikelola pelanggan untuk melindungi tabel Amazon Keyspaces, Anda dapat menggunakan konteks enkripsi untuk mengidentifikasi penggunaan kunci yang dikelola pelanggan dalam catatan dan log audit dan log. Ini juga muncul dalam plaintext dalam log, seperti di log untuk AWS CloudTraildan Amazon CloudWatch Logs.

Dalam permintaannya untukAWS KMS, Amazon Keyspaces menggunakan konteks enkripsi dengan tiga pasangan kunci-nilai.

"encryptionContextSubset": {
    "aws:cassandra:keyspaceName": "my_keyspace",
    "aws:cassandra:tableName": "mytable"
    "aws:cassandra:subscriberId": "111122223333"
}

Langkah 6: Mengonfigurasi pemantauanAWS CloudTrail

Jika Anda menggunakan kunci yang dikelola pelanggan untuk melindungi tabel Amazon Keyspaces, Anda dapat menggunakanAWS CloudTrail log untuk melacak permintaan yang Amazon Keyspaces kirim keAWS KMS atas nama Anda.

CreateGrantPermintaanGenerateDataKey,DescribeKey,Decrypt, dan dibahas di bagian ini. Selain itu, Amazon Keyspaces menggunakan RetireGrantoperasi untuk menghapus hibah ketika Anda menghapus tabel.