View a markdown version of this page

Perlindungan data di AWS Modernisasi Mainframe - AWS Modernisasi Mainframe
Data yang AWS Modernisasi Mainframe mengumpulkanEnkripsi data saat diam untuk AWS Layanan Modernisasi MainframeBagaimana AWS Modernisasi Mainframe menggunakan hibah di AWS KMSMembuat kunci yang dikelola pelangganMenentukan kunci yang dikelola pelanggan untuk AWS Modernisasi MainframeAWS Konteks enkripsi Modernisasi MainframeMemantau kunci enkripsi AndaPelajari selengkapnyaEnkripsi saat bergerak

AWS Pengalaman yang dikelola mandiri Modernisasi Mainframe tidak lagi terbuka untuk pelanggan baru. Untuk kemampuan yang mirip dengan pengalaman yang dikelola mandiri Modernisasi AWS Mainframe, jelajahi kemampuan dari penawaran langsung vendor dan dari. AWS Transform Pelanggan yang sudah ada dapat terus menggunakan layanan ini seperti biasa. Untuk informasi selengkapnya, lihat Perubahan ketersediaan Modernisasi AWS Mainframe.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

AWS Layanan Modernisasi Mainframe (pengalaman Managed Runtime Environ ment) tidak lagi terbuka untuk pelanggan baru. Untuk kemampuan yang mirip dengan Layanan Modernisasi AWS Mainframe (pengalaman Lingkungan Runtime Terkelola), jelajahi Layanan Modernisasi AWS Mainframe (Self-ManagedExperience). Pelanggan yang sudah ada dapat terus menggunakan layanan ini seperti biasa. Untuk informasi selengkapnya, lihat Perubahan ketersediaan Modernisasi AWS Mainframe.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Perlindungan data di AWS Modernisasi Mainframe

Model tanggung jawab AWS bersama model tanggung jawab berlaku untuk perlindungan data dalam Modernisasi AWS Mainframe. Seperti yang dijelaskan dalam model AWS ini, bertanggung jawab untuk melindungi infrastruktur global yang menjalankan semua AWS Cloud. Anda bertanggung jawab untuk mempertahankan kendali atas konten yang di-host pada infrastruktur ini. Anda juga bertanggung jawab atas tugas-tugas konfigurasi dan manajemen keamanan untuk Layanan AWS yang Anda gunakan. Untuk informasi selengkapnya tentang privasi data, lihat FAQ Privasi Data Ket . Untuk informasi tentang perlindungan data di Eropa, lihat Pusat Peraturan Umum Perlindungan Data (GDPR).

Untuk tujuan perlindungan data, kami menyarankan Anda melindungi Akun AWS kredenSIAL dan mengatur pengguna individu dengan AWS IAM Identity Center atau AWS Identity and Access Management (IAM). Dengan cara itu, setiap pengguna hanya diberi izin yang diperlukan untuk memenuhi tanggung jawab tugasnya. Kami juga menyarankan supaya Anda mengamankan data dengan cara-cara berikut:

  • Gunakan autentikasi multi-faktor (MFA) pada setiap akun.

  • Gunakan SSL/TLS untuk berkomunikasi dengan AWS sumber daya. Kami mensyaratkan TLS 1.2 dan menganjurkan TLS 1.3.

  • Siapkan API dan pencatatan aktivitas pengguna dengan AWS CloudTrail. Untuk informasi tentang menggunakan CloudTrail jalur untuk menangkap AWS aktivitas, lihat Bekerja dengan CloudTrail jejak di Panduan AWS CloudTrail Pengguna.

  • Gunakan solusi AWS enkripsi, bersama dengan semua kontrol keamanan default di dalamnya Layanan AWS.

  • Gunakan layanan keamanan terkelola tingkat lanjut seperti Amazon Macie, yang membantu menemukan dan mengamankan data sensitif yang disimpan di Amazon S3.

  • Jika Anda memerlukan modul kriptografi tervalidasi FIPS 140-3 saat mengakses AWS melalui antarmuka baris perintah atau API, gunakan titik akhir FIPS. Lihat informasi selengkapnya tentang titik akhir FIPS yang tersedia di Standar Pemrosesan Informasi Federal (FIPS) 140-3.

Kami sangat merekomendasikan agar Anda tidak pernah memasukkan informasi identifikasi yang sensitif, seperti nomor rekening pelanggan Anda, ke dalam tanda atau bidang isian bebas seperti bidang Nama. Ini termasuk saat Anda bekerja dengan Modernisasi AWS Mainframe atau lainnya Layanan AWS menggunakan konsol, API AWS CLI, atau AWS SDK. Data apa pun yang Anda masukkan ke dalam tanda atau bidang isian bebas yang digunakan untuk nama dapat digunakan untuk log penagihan atau log diagnostik. Saat Anda memberikan URL ke server eksternal, kami sangat menganjurkan supaya Anda tidak menyertakan informasi kredensial di dalam URL untuk memvalidasi permintaan Anda ke server itu.

Data yang AWS Modernisasi Mainframe mengumpulkan

AWS Modernisasi Mainframe mengumpulkan beberapa jenis data dari Anda:

  • Application configuration: Ini adalah file JSON yang Anda buat untuk mengkonfigurasi aplikasi Anda. Ini berisi pilihan Anda untuk berbagai opsi yang ditawarkan Modernisasi AWS Mainframe. File ini juga berisi informasi untuk AWS sumber daya dependen seperti jalur Amazon Simple Storage Service tempat artefak aplikasi disimpan atau Nama Sumber Daya Amazon (ARN) untuk AWS Secrets Manager tempat kredentif database Anda disimpan.

  • Application executable (binary): Ini adalah biner yang Anda kompilasi dan yang ingin Anda terapkan pada Modernisasi AWS Mainframe.

  • Application JCL or scripts: Kode sumber ini mengelola pekerjaan batch atau pemrosesan lain atas nama aplikasi Anda.

  • User application data: Saat Anda mengimpor kumpulan data, Modernisasi AWS Mainframe menyimpannya dalam database relasional sehingga aplikasi Anda dapat mengaksesnya.

  • Application source codeMelalui WorkSpaces Aplikasi Amazon, Modernisasi AWS Mainframe menyediakan lingkungan pengembangan bagi Anda untuk menulis dan mengkompilasi kode.

AWS Modernisasi Mainframe menyimpan data ini secara asli di. AWS Data yang kami kumpulkan dari Anda disimpan dalam bucket AWS Mainframe Modernization-managed Amazon S3. Saat Anda menerapkan aplikasi, Modernisasi AWS Mainframe mengunduh data ke instans Amazon Elastic Block Store-backed Amazon Elastic Compute Cloud. Saat pembersihan dipicu, data dihapus dari volume Amazon EBS dan dari Amazon S3. Volume Amazon EBS adalah penyewa tunggal, yang berarti bahwa satu instance digunakan untuk satu pelanggan. Instance tidak pernah dibagikan. Saat Anda menghapus lingkungan runtime, volume Amazon EBS juga dihapus. Saat Anda menghapus aplikasi, artefak dan konfigurasi dihapus dari Amazon S3.

Log aplikasi disimpan di Amazon CloudWatch. Pesan log aplikasi pelanggan CloudWatch juga diekspor ke. CloudWatch Log mungkin berisi data sensitif pelanggan, seperti data bisnis atau informasi keamanan dalam pesan debug). Untuk informasi selengkapnya, lihat Memantau Modernisasi AWS Mainframe dengan Amazon CloudWatch.

Selain itu, jika Anda memilih untuk melampirkan satu atau lebih sistem file Amazon Elastic File System atau Amazon FSx ke lingkungan runtime Anda, data dalam sistem tersebut akan disimpan di AWS. Anda perlu membersihkan data itu jika Anda memutuskan untuk berhenti menggunakan sistem file.

Anda dapat menggunakan semua opsi enkripsi Amazon S3 yang tersedia untuk mengamankan data saat menempatkannya di bucket Amazon S3 yang digunakan Modernisasi AWS Mainframe untuk penerapan aplikasi dan impor dataset. Selain itu, Anda dapat menggunakan opsi enkripsi Amazon EFS dan Amazon FSx jika Anda melampirkan satu atau lebih sistem file ini ke lingkungan runtime Anda.

Enkripsi data saat diam untuk AWS Layanan Modernisasi Mainframe

AWS Modernisasi Mainframe terintegrasi dengan AWS Key Management Service untuk menyediakan enkripsi sisi server transparan (SSE) pada semua sumber daya dependen yang menyimpan data secara permanen; yaitu Amazon Simple Storage Service, Amazon DynamoDB, dan Amazon Elastic Block Store. AWS Modernisasi Mainframe membuat dan mengelola AWS KMS kunci enkripsi simetris untuk Anda. AWS KMS

Enkripsi data diam secara default membantu mengurangi overhead operasional dan kompleksitas yang terlibat dalam melindungi data sensitif. Pada saat yang sama, ini memungkinkan Anda untuk memigrasikan aplikasi yang memerlukan kepatuhan enkripsi yang ketat dan persyaratan peraturan.

Anda tidak dapat menonaktifkan lapisan enkripsi ini atau memilih jenis enkripsi alternatif saat Anda membuat lingkungan runtime dan aplikasi.

Anda dapat menggunakan kunci yang dikelola pelanggan Anda sendiri untuk aplikasi Modernisasi AWS Mainframe dan lingkungan runtime untuk mengenkripsi sumber daya Amazon S3 dan Amazon EBS.

Untuk aplikasi Modernisasi AWS Mainframe Anda, Anda dapat menggunakan kunci ini untuk mengenkripsi definisi aplikasi Anda serta sumber daya aplikasi lainnya, seperti file JCL, yang disimpan di bucket Amazon S3 yang dibuat di akun layanan. Untuk informasi selengkapnya, lihat Membuat aplikasi.

Untuk lingkungan runtime Modernisasi AWS Mainframe Anda, Modernisasi AWS Mainframe menggunakan kunci yang dikelola pelanggan Anda untuk mengenkripsi volume Amazon EBS yang dibuat dan dilampirkan ke instans Amazon EC2 Modernisasi AWS Mainframe Anda, yang juga ada di akun layanan. Untuk informasi selengkapnya, lihat Buat lingkungan runtime.

catatan

Sumber daya DynamoDB selalu dienkripsi menggunakan akun layanan Kunci yang dikelola AWS Modernisasi AWS Mainframe. Anda tidak dapat mengenkripsi sumber daya DynamoDB menggunakan kunci yang dikelola pelanggan.

AWS Modernisasi Mainframe menggunakan kunci yang dikelola pelanggan Anda untuk tugas-tugas berikut:

  • Menyebarkan ulang aplikasi.

  • Mengganti Instans Modernisasi AWS Mainframe Amazon EC2.

AWS Modernisasi Mainframe tidak menggunakan kunci yang dikelola pelanggan Anda untuk mengenkripsi Amazon Relational Database Service atau Amazon Aurora database, antrian Amazon Simple Queue Service, dan ElastiCache cache Amazon yang dibuat untuk mendukung aplikasi Modernisasi AWS Mainframe, karena tidak ada yang berisi data pelanggan.

Untuk informasi selengkapnya, lihat Kunci yang dikelola pelanggan di Panduan AWS Key Management Service Pengembang.

Tabel berikut merangkum bagaimana Modernisasi AWS Mainframe mengenkripsi data sensitif Anda.

Jenis data Kunci yang dikelola AWS enkripsi Enkripsi kunci yang dikelola pelanggan

Definition

Berisi definisi untuk aplikasi tertentu.

Diaktifkan

Diaktifkan

EnvironmentSummary

Berisi informasi tentang lingkungan runtime.

Diaktifkan

Diaktifkan

ApplicationSummary

Berisi informasi tentang aplikasi Modernisasi AWS Mainframe.

Diaktifkan

Diaktifkan

DeploymentSummary

Berisi informasi tentang penyebaran aplikasi Modernisasi AWS Mainframe.

Diaktifkan

Diaktifkan
catatan

AWS Modernisasi Mainframe secara otomatis mengaktifkan enkripsi saat istirahat menggunakan Kunci yang dikelola AWS untuk melindungi data sensitif Anda tanpa biaya. Namun, AWS KMS biaya berlaku untuk menggunakan kunci yang dikelola pelanggan. Untuk informasi selengkapnya tentang harga, lihat AWS Key Management Service Harga.

Untuk informasi lebih lanjut tentang AWS KMS, lihat AWS Key Management Service.

Bagaimana AWS Modernisasi Mainframe menggunakan hibah di AWS KMS

AWS Modernisasi Mainframe memerlukan hibah untuk menggunakan kunci yang dikelola pelanggan Anda.

Saat Anda membuat aplikasi atau lingkungan runtime, atau menyebarkan aplikasi di AWS Mainframe Modernisasi yang dienkripsi dengan kunci yang dikelola pelanggan, Modernisasi AWS Mainframe membuat hibah atas nama Anda dengan mengirimkan CreateGrant permintaan ke. AWS KMS Hibah AWS KMS digunakan untuk memberikan akses Modernisasi AWS Mainframe ke kunci KMS di akun pelanggan.

AWS Modernisasi Mainframe memerlukan hibah untuk menggunakan kunci yang dikelola pelanggan Anda untuk operasi internal berikut:

AWS Modernisasi Mainframe menggunakan AWS KMS hibah untuk mendekripsi rahasia Anda yang disimpan di Secrets Manager dan saat membuat lingkungan runtime, membuat atau menyebarkan ulang aplikasi, dan membuat penerapan. Hibah yang dicip AWS takan oleh Modernisasi Mainframe mendukung operasi berikut:

  • Buat atau perbarui hibah lingkungan runtime:

    • Dekripsi

    • Enkripsi

    • ReEncryptFrom

    • ReEncryptTo

    • GenerateDataKey

    • DescribeKey

    • CreateGrant

  • Buat atau gunakan kembali hibah aplikasi:

    • GenerateDataKey

  • Buat hibah penerapan:

    • Dekripsi

Anda dapat mencabut akses ke hibah, atau menghapus akses layanan ke kunci yang dikelola pelanggan kapan saja. Jika Anda melakukannya, Modernisasi AWS Mainframe tidak akan dapat mengakses data apa pun yang dienkripsi oleh kunci yang dikelola pelanggan, yang memengaruhi operasi yang bergantung pada data. Misalnya, jika Modernisasi AWS Mainframe mencoba mengakses definisi aplikasi yang dienkripsi oleh kunci yang dikelola pelanggan tanpa pemberian ke kunci tersebut, operasi pembuatan aplikasi akan gagal.

AWS Modernisasi Mainframe mengumpulkan konfigurasi aplikasi pengguna (file JSON) dan artefak (binari dan eksekusi). Ini juga membuat metadata yang melacak berbagai entitas yang digunakan untuk pengoperasian Modernisasi AWS Mainframe, dan membuat log dan metrik. Log dan metrik yang terlihat oleh pelanggan meliputi:

  • CloudWatch log yang mencerminkan aplikasi dan mesin runtime (baik AWS Transform untuk mainframe atau Rocket Software (sebelumnya Micro Focus)).

  • CloudWatch metrik untuk dasbor operasi.

Selain itu, Modernisasi AWS Mainframe mengumpulkan data penggunaan dan metrik untuk pengukuran, pelaporan aktivitas, dan sebagainya tentang layanan. Data ini tidak terlihat oleh pelanggan.

AWS Modernisasi Mainframe menyimpan data ini di tempat yang berbeda tergantung pada jenis datanya. Data pelanggan yang Anda unggah disimpan dalam bucket Amazon S3. Data layanan disimpan di Amazon S3 dan DynamoDB. Saat Anda menerapkan aplikasi, data dan data layanan Anda diunduh ke volume Amazon EBS. Jika Anda memilih untuk melampirkan penyimpanan Amazon EFS atau Amazon FSx ke lingkungan runtime Anda, data yang disimpan dalam sistem file tersebut juga diunduh ke volume Amazon EBS.

Enkripsi saat istirahat dikonfigurasi secara default. Anda tidak dapat menonaktifkannya atau mengubahnya. Saat ini, Anda juga tidak dapat mengubah konfigurasinya.

Membuat kunci yang dikelola pelanggan

Anda dapat membuat kunci yang dikelola pelanggan simetris dengan menggunakan AWS KMS API Konsol Manajemen AWS atau.

Untuk membuat kunci yang dikelola pelanggan simetris

Ikuti langkah-langkah untuk Membuat kunci yang dikelola pelanggan simetris di Panduan Peng AWS Key Management Service embang.

Kebijakan utama

Kebijakan utama mengontrol akses ke kunci yang dikelola pelanggan Anda. Setiap kunci yang dikelola pelanggan harus memiliki tepat satu kebijakan kunci, yang berisi pernyataan yang menentukan siapa yang dapat menggunakan kunci dan bagaimana mereka dapat menggunakannya. Saat membuat kunci yang dikelola pelanggan, Anda dapat menentukan kebijakan kunci. Untuk informasi selengkapnya, lihat Mengelola akses ke kunci yang dikelola pelanggan di Panduan AWS Key Management Service Pengembang.

Untuk menggunakan kunci yang dikelola pelanggan dengan sumber daya Modernisasi AWS Mainframe Anda, operasi API berikut harus diizinkan dalam kebijakan kunci:

  • kms:CreateGrant— Menambahkan hibah ke kunci yang dikelola pelanggan. Memberikan akses kontrol ke kunci KMS tertentu, yang memungkinkan akses untuk memberikan operasi yang dibutuhkan AWS Mainframe Modernisasi. Untuk informasi selengkapnya tentang Menggunakan Hibah, lihat Panduan Peng AWS Key Management Service embang.

    Hal ini memungkinkan Modernisasi AWS Mainframe untuk melakukan hal berikut:

    • Panggil GenerateDataKey untuk menghasilkan kunci data terenkripsi dan menyimpannya, karena kunci data tidak segera digunakan untuk mengenkripsi.

    • Panggil Decrypt untuk menggunakan kunci data terenkripsi yang disimpan untuk mengakses data terenkripsi.

    • Siapkan prinsipal yang pensiun untuk memungkinkan layanan. RetireGrant

  • kms:DescribeKey- Menyediakan detail kunci yang dikelola pelanggan untuk memungkinkan Modernisasi AWS Mainframe memvalidasi kunci.

AWS Modernisasi Mainframe memerlukan kms:CreateGrant dan kms:DescribeKey izin dalam kebijakan utama pelanggan. AWS Modernisasi Mainframe menggunakan kebijakan ini untuk membuat hibah untuk dirinya sendiri.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "Enable IAM User Permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
            },
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        }
    ]
}
catatan

Peran yang ditampilkan Principal dalam contoh sebelumnya adalah peran yang Anda gunakan untuk operasi Modernisasi AWS Mainframe seperti CreateApplication danCreateEnvironment.

Untuk informasi selengkap nya tentang menentukan izin dalam kebijakan, lihat Panduan Peng AWS Key Management Service embang.

Untuk informasi selengkapnya tentang pemecahan masalah akses kunci, lihat Panduan Peng AWS Key Management Service embang.

Menentukan kunci yang dikelola pelanggan untuk AWS Modernisasi Mainframe

Anda dapat menentukan kunci yang dikelola pelanggan untuk sumber daya berikut:

  • Aplikasi

  • Lingkungan

Saat Anda membuat sumber daya, Anda dapat menentukan kunci dengan memasukkan ID KMS, yang digunakan Modernisasi AWS Mainframe untuk mengenkripsi data sensitif yang disimpan oleh sumber daya.

  • KMS ID — Pengi dentifikasi kunci untuk kunci yang dikelola pelanggan. Masukkan ID kunci, ARN kunci, nama alias, atau ARN alias.

Anda dapat menentukan kunci yang dikelola pelanggan menggunakan Konsol Manajemen AWS atau AWS CLI.

Untuk menentukan kunci yang dikelola pelanggan Anda saat membuat lingkungan runtime di Konsol Manajemen AWS, lihatBuat lingkungan runtime Modernisasi AWS Mainframe. Untuk menentukan kunci yang dikelola pelanggan Anda saat membuat aplikasi di Konsol Manajemen AWS, lihatBuat AWS Mainframe Modernization aplikasi.

Untuk menambahkan kunci yang dikelola pelanggan Anda saat Anda membuat lingkungan runtime dengan AWS CLI, tentukan kms-key-id parameter, sebagai berikut:

aws m2 create-environment —engine-type microfocus —instance-type M2.m5.large 
--publicly-accessible —engine-version 7.0.3 —name test
--high-availability-config desiredCapacity=2
--kms-key-id myEnvironmentKey

Untuk menambahkan kunci yang dikelola pelanggan Anda saat Anda membuat aplikasi dengan AWS CLI, tentukan kms-key-id parameter, sebagai berikut:

aws m2 create-application —name test-application —description my description
--engine-type microfocus 
--definition content="$(jq -c . raw-template.json | jq -R)"
--kms-key-id myApplicationKey

AWS Konteks enkripsi Modernisasi Mainframe

Konteks enkripsi adalah kumpulan pasangan kunci-nilai opsional yang berisi informasi kontekstual tambahan tentang data.

AWS KMS menggunakan konteks enkripsi sebagai data terautentikasi tambahan untuk mendukung enkripsi yang diautentikasi. Saat Anda menyertakan konteks enkripsi dalam permintaan untuk mengenkripsi data, AWS KMS mengikat konteks enkripsi ke data terenkripsi. Untuk mendekripsi data, Anda menyertakan konteks enkripsi yang sama dalam permintaan.

AWS Konteks enkripsi Modernisasi Mainframe

AWS Modernisasi Mainframe menggunakan konteks enkripsi yang sama dalam semua operasi AWS KMS kriptografi yang terkait dengan aplikasi (membuat aplikasi dan membuat penerapan), di mana kunci aws:m2:app dan nilainya adalah pengidentifikasi unik aplikasi.

contoh
"encryptionContextSubset": {
        "aws:m2:app": "a1bc2defabc3defabc4defabcd"
}

Menggunakan konteks enkripsi untuk pemantauan

Saat Anda menggunakan kunci yang dikelola pelanggan simetris untuk mengenkripsi aplikasi atau lingkungan runtime Anda, Anda juga dapat menggunakan konteks enkripsi dalam catatan audit dan log untuk mengidentifikasi bagaimana kunci yang dikelola pelanggan digunakan.

Menggunakan konteks enkripsi untuk mengontrol akses ke kunci yang dikelola pelanggan Anda

Anda dapat menggunakan konteks enkripsi dalam kebijakan kunci dan kebijakan IAM conditions untuk mengontrol akses ke kunci yang dikelola pelanggan simetris Anda. Anda juga dapat menggunakan batasan konteks enkripsi dalam hibah.

AWS Modernisasi Mainframe menggunakan batasan konteks enkripsi dalam hibah untuk mengontrol akses ke kunci yang dikelola pelanggan di akun atau wilayah Anda. Batasan hibah mensyaratkan bahwa operasi yang diizinkan oleh hibah menggunakan konteks enkripsi yang ditentukan. Contoh berikut adalah hibah yang dimanfaatkan Modernisasi AWS Mainframe untuk mengenkripsi artefak aplikasi saat membuat aplikasi.

//This grant is retired immediately after create application finish
{
   "grantee-principal": m2.us-west-2.amazonaws.com,
   "retiring-principal": m2.us-west-2.amazonaws.com,
   "operations": [
       "GenerateDataKey"
   ]
   "condition": {
        "encryptionContextSubset": {
            “aws:m2:app”: “a1bc2defabc3defabc4defabcd”
   }
}

Memantau kunci enkripsi Anda untuk AWS Modernisasi Mainframe

Saat Anda menggunakan kunci yang dikelola AWS KMS pelanggan dengan sumber daya Modernisasi AWS Mainframe Anda, Anda dapat menggunakan AWS CloudTrail atau Amazon CloudWatch Logs untuk melacak permintaan yang dikirim oleh Modernisasi AWS Mainframe. AWS KMS

Contoh untuk lingkungan runtime

Contoh berikut adalah AWS CloudTrail peristiwa untukDescribeKey,, CreateGrantGenerateDataKey, dan Decrypt untuk memantau operasi KMS yang dipanggil oleh Modernisasi AWS Mainframe untuk mengakses data yang dienkripsi oleh kunci yang dikelola pelanggan Anda:

DescribeKey

AWS Modernisasi Mainframe menggunakan DescribeKey operasi untuk memverifikasi apakah kunci AWS KMS yang dikelola pelanggan yang terkait dengan lingkungan runtime Anda ada di akun dan wilayah.

Contoh peristiwa berikut merekam DescribeKey operasi:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-12-06T19:40:26Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2022-12-06T20:23:43Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "DescribeKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "205.251.233.182",
    "userAgent": "ExampleDesktop/1.0 (V1; OS)",
    "requestParameters": {
        "keyId": "00dd0db0-0000-0000-ac00-b0c000SAMPLE"
    },
    "responseElements": null,
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_256_GCM_SHA384",
        "clientProvidedHostHeader": "kms.us-west-2.amazonaws.com"
    },
    "sessionCredentialFromConsole": "true"
}
CreateGrant

Saat Anda menggunakan kunci yang dikelola AWS KMS pelanggan untuk mengenkripsi lingkungan runtime Anda, Modernisasi AWS Mainframe mengirimkan beberapa CreateGrant permintaan atas nama Anda untuk melakukan operasi KMS yang diperlukan. Beberapa hibah yang dibuat oleh Modernisasi AWS Mainframe segera dihentikan setelah digunakan. Lainnya dihentikan saat Anda menghapus lingkungan runtime.

Contoh peristiwa berikut merekam CreateGrant operasi untuk peran eksekusi Lambda yang terkait dengan alur kerja Create Environment. 

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-12-06T20:11:45Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "m2.us-west-2.amazonaws.com"
    },
    "eventTime": "2022-12-06T20:23:09Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "CreateGrant",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "m2.us-west-2.amazonaws.com",
    "userAgent": "m2.us-west-2.amazonaws.com",
    "requestParameters": {
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE",
        "operations": [
            "Encrypt",
            "Decrypt",
            "ReEncryptFrom",
            "ReEncryptTo",
            "GenerateDataKey",
            "GenerateDataKey",
            "DescribeKey",
            "CreateGrant"
        ],
        "granteePrincipal": "m2.us-west-2.amazonaws.com",
        "retiringPrincipal": "m2.us-west-2.amazonaws.com"
    },
    "responseElements": {
        "grantId": "0ab0ac0d0b000f00ea00cc0a0e00fc00bce000c000f0000000c0bc0a0000aaafSAMPLE",
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}

Contoh peristiwa berikut merekam CreateGrant operasi untuk peran terkait layanan grup Auto Scaling. Peran eksekusi Lambda yang terkait dengan alur kerja Create Environment memanggil CreateGrant operasi ini. Ini memberikan izin untuk peran eksekusi untuk membuat subgrant terhadap peran terkait layanan grup Auto Scaling.

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROA3YPCLM65MZFUPM4JO:EnvironmentWorkflow-alpha-CreateEnvironmentLambda7-HfxDj5zz86tr",
        "arn": "arn:aws:sts::111122223333:assumed-role/EnvironmentWorkflow-alpha-CreateEnvironmentLambdaS-1AU4A8VNQEEKN/EnvironmentWorkflow-alpha-CreateEnvironmentLambda7-HfxDj5zz86tr",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:iam::111122223333:role/EnvironmentWorkflow-alpha-CreateEnvironmentLambdaS-1AU4A8VNQEEKN",
                "accountId": "111122223333",
                "userName": "EnvironmentWorkflow-alpha-CreateEnvironmentLambdaS-1AU4A8VNQEEKN"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-12-06T20:22:28Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2022-12-06T20:23:09Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "CreateGrant",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "54.148.236.160",
    "userAgent": "aws-sdk-java/2.18.21 Linux/4.14.255-276-224.499.amzn2.x86_64 OpenJDK_64-Bit_Server_VM/11.0.14.1+10-LTS Java/11.0.14.1 vendor/Amazon.com_Inc. md/internal exec-env/AWS_Lambda_java11 io/sync http/Apache cfg/retry-mode/legacy",
    "requestParameters": {
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE",
        "operations": [
            "Encrypt",
            "Decrypt",
            "ReEncryptFrom",
            "ReEncryptTo",
            "GenerateDataKey",
            "GenerateDataKey",
            "DescribeKey",
            "CreateGrant"
        ],
        "granteePrincipal": "m2.us-west-2.amazonaws.com",
        "retiringPrincipal": "m2.us-west-2.amazonaws.com"
    },
    "responseElements": {
        "grantId": "0ab0ac0d0b000f00ea00cc0a0e00fc00bce000c000f0000000c0bc0a0000aaafSAMPLE",
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.3",
        "cipherSuite": "TLS_AES_256_GCM_SHA384",
        "clientProvidedHostHeader": "kms.us-west-2.amazonaws.com"
    }
}
}
GenerateDataKey

Saat Anda mengaktifkan kunci yang dikelola AWS KMS pelanggan untuk sumber daya lingkungan runtime Anda, Auto Scaling membuat kunci unik untuk mengenkripsi volume Amazon EBS yang terkait dengan lingkungan runtime. Ini mengirimkan GenerateDataKey permintaan yang menentukan kunci AWS KMS yang dikelola AWS KMS pelanggan untuk sumber daya.

Contoh peristiwa berikut merekam GenerateDataKey operasi:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROA3YPCLM65EEXVIEH7D:AutoScaling",
        "arn": "arn:aws:sts::111122223333:assumed-role/AWSServiceRoleForAutoScaling/AutoScaling",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:iam::111122223333:role/aws-service-role/autoscaling.amazonaws.com/AWSServiceRoleForAutoScaling",
                "accountId": "111122223333",
                "userName": "AWSServiceRoleForAutoScaling"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-12-06T20:23:16Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "autoscaling.amazonaws.com"
    },
    "eventTime": "2022-12-06T20:23:18Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "GenerateDataKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "autoscaling.amazonaws.com",
    "userAgent": "autoscaling.amazonaws.com",
    "requestParameters": {
        "encryptionContext": {
            "aws:ebs:id": "vol-080f7a32d290807f3"
        },
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE",
        "numberOfBytes": 64
    },
    "responseElements": null,
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}
Decrypt

Saat Anda mengakses lingkungan runtime terenkripsi, Amazon EBS memanggil Decrypt operasi untuk menggunakan kunci data terenkripsi yang disimpan untuk mengakses data terenkripsi.

Contoh peristiwa berikut merekam Decrypt operasi:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AWSService",
        "invokedBy": "ebs.amazonaws.com"
    },
    "eventTime": "2022-12-06T20:23:22Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Decrypt",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "ebs.amazonaws.com",
    "userAgent": "ebs.amazonaws.com",
    "requestParameters": {
        "encryptionAlgorithm": "SYMMETRIC_DEFAULT",
        "encryptionContext": {
            "aws:ebs:id": "vol-080f7a32d290807f3"
        }
    },
    "responseElements": null,
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "sharedEventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventCategory": "Management"
}

Contoh untuk aplikasi

Contoh berikut adalah AWS CloudTrail peristiwa untuk CreateGrant dan GenerateDataKey untuk memantau operasi KMS yang dipanggil oleh Modernisasi AWS Mainframe untuk mengakses data yang dienkripsi oleh kunci yang dikelola pelanggan Anda:

CreateGrant

Saat Anda menggunakan kunci yang dikelola AWS KMS pelanggan untuk mengenkripsi sumber daya aplikasi, peran eksekusi Lambda mengirimkan CreateGrant permintaan atas nama Anda untuk mengakses kunci KMS di akun Anda AWS . Hibah memungkinkan peran eksekusi Lambda untuk mengunggah sumber daya aplikasi pelanggan ke Amazon S3 menggunakan kunci yang dikelola pelanggan Anda. Hibah ini dihentikan segera setelah aplikasi dibuat.

Contoh peristiwa berikut merekam CreateGrant operasi:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-12-06T21:51:45Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "m2.us-west-2.amazonaws.com"
    },
    "eventTime": "2022-12-06T22:47:04Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "CreateGrant",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "m2.us-west-2.amazonaws.com",
    "userAgent": "m2.us-west-2.amazonaws.com",
    "requestParameters": {
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE",
        "constraints": {
            "encryptionContextSubset": {
                "aws:m2:app": "a1bc2defabc3defabc4defabcd"
            }
        },
        "retiringPrincipal": "m2.us-west-2.amazonaws.com",
        "operations": [
            "GenerateDataKey"
        ],
        "granteePrincipal": "m2.us-west-2.amazonaws.com"
    },
    "responseElements": {
        "grantId": "0ab0ac0d0b000f00ea00cc0a0e00fc00bce000c000f0000000c0bc0a0000aaafSAMPLE",
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}
GenerateDataKey

Saat Anda mengaktifkan kunci yang dikelola AWS KMS pelanggan untuk sumber daya aplikasi, peran eksekusi Lambda membuat kunci yang digunakan untuk mengenkripsi dan mengunggah data pelanggan ke Amazon Simple Storage Service. Peran eksekusi Lambda mengirimkan GenerateDataKey permintaan AWS KMS yang menentukan kunci yang dikelola AWS KMS pelanggan untuk sumber daya.

Contoh peristiwa berikut merekam GenerateDataKey operasi:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROA3YPCLM65CLCEKKC7Z:ApplicationWorkflow-alpha-CreateApplicationVersion-CstWZUn5R4u6",
        "arn": "arn:aws:sts::111122223333:assumed-role/ApplicationWorkflow-alpha-CreateApplicationVersion-1IZRBZYDG20B/ApplicationWorkflow-alpha-CreateApplicationVersion-CstWZUn5R4u6",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:iam::111122223333:role/ApplicationWorkflow-alpha-CreateApplicationVersion-1IZRBZYDG20B",
                "accountId": "111122223333",
                "userName": "ApplicationWorkflow-alpha-CreateApplicationVersion-1IZRBZYDG20B"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-12-06T23:28:32Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "m2.us-west-2.amazonaws.com"
    },
    "eventTime": "2022-12-06T23:29:08Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "GenerateDataKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "m2.us-west-2.amazonaws.com",
    "userAgent": "m2.us-west-2.amazonaws.com",
    "requestParameters": {
        "encryptionContext": {
            "aws:m2:app": "a1bc2defabc3defabc4defabcd",
            "aws:s3:arn": "arn:aws:s3:::supernova-processedtemplate-111122223333-us-west-2/111122223333/a1bc2defabc3defabc4defabcd/1/cics-transaction/ZBNKE35.so"
        },
        "keySpec": "AES_256",
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "responseElements": null,
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}

Contoh untuk penerapan

Contoh berikut adalah AWS CloudTrail peristiwa untuk CreateGrant dan Decrypt untuk memantau operasi KMS yang dipanggil oleh Modernisasi AWS Mainframe untuk mengakses data yang dienkripsi oleh kunci yang dikelola pelanggan Anda:

CreateGrant

Saat Anda menggunakan kunci yang dikelola AWS KMS pelanggan untuk mengenkripsi sumber daya penerapan Anda, Modernisasi AWS Mainframe mengirimkan dua CreateGrant permintaan atas nama Anda. Hibah pertama bertentangan dengan peran eksekusi Lambda saat ini untuk dipanggil ListBatchJobScriptFiles, dan dihentikan segera setelah penerapan selesai. Hibah kedua bertentangan dengan peran instans terbatas Amazon EC2 sehingga Amazon EC2 dapat mengunduh sumber daya aplikasi pelanggan dari Amazon S3. Hibah ini dihentikan saat aplikasi dihapus dari lingkungan runtime.

Contoh peristiwa berikut merekam CreateGrant operasi:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-12-06T21:51:45Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "m2.us-west-2.amazonaws.com"
    },
    "eventTime": "2022-12-06T23:40:07Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "CreateGrant",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "m2.us-west-2.amazonaws.com",
    "userAgent": "m2.us-west-2.amazonaws.com",
    "requestParameters": {
        "operations": [
            "Decrypt"
        ],
        "constraints": {
            "encryptionContextSubset": {
                "aws:m2:app": "a1bc2defabc3defabc4defabcd"
            }
        },
        "granteePrincipal": "m2.us-west-2.amazonaws.com",
        "retiringPrincipal": "m2.us-west-2.amazonaws.com",
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "responseElements": {
        "grantId": "0ab0ac0d0b000f00ea00cc0a0e00fc00bce000c000f0000000c0bc0a0000aaafSAMPLE",
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}
Decrypt

Saat Anda mengakses penerapan, Amazon EC2 memanggil Decrypt operasi untuk menggunakan kunci data terenkripsi yang disimpan untuk mendekripsi dan mengunduh data pelanggan terenkripsi dari Amazon S3.

Contoh peristiwa berikut merekam Decrypt operasi:

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROA3YPCLM65BSPZ37E6G:m2-hm-bqe367dxtfcpdbzmnhfzranisu",
        "arn": "arn:aws:sts::111122223333:assumed-role/SupernovaEnvironmentInstanceScopeDownRole/m2-hm-bqe367dxtfcpdbzmnhfzranisu",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:iam::111122223333:role/SupernovaEnvironmentInstanceScopeDownRole",
                "accountId": "111122223333",
                "userName": "SupernovaEnvironmentInstanceScopeDownRole"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-12-06T23:19:29Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "m2.us-west-2.amazonaws.com"
    },
    "eventTime": "2022-12-06T23:40:15Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Decrypt",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "m2.us-west-2.amazonaws.com",
    "userAgent": "m2.us-west-2.amazonaws.com",
    "requestParameters": {
        "encryptionContext": {
            "aws:m2:app": "a1bc2defabc3defabc4defabcdm",
            "aws:s3:arn": "arn:aws:s3:::supernova-processedtemplate-111122223333-us-west-2/111122223333/a1bc2defabc3defabc4defabcdm/1/cics-transaction/BBANK40P.so"
        },
        "encryptionAlgorithm": "SYMMETRIC_DEFAULT"
    },
    "responseElements": null,
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}

Pelajari selengkapnya

Sumber daya berikut memberikan informasi lebih lanjut tentang enkripsi data saat istirahat.

Enkripsi saat bergerak

Untuk aplikasi interaktif yang merupakan bagian dari beban kerja transaksional, pertukaran data antara emulator terminal dan titik akhir layanan Modernisasi AWS Mainframe untuk protokol TN3270 tidak dienkripsi saat transit. Jika aplikasi memerlukan enkripsi saat transit, Anda mungkin ingin menerapkan beberapa mekanisme tunneling tambahan.

AWS Modernisasi Mainframe menggunakan HTTPS untuk mengenkripsi API layanan. Semua komunikasi lain dalam AWS Mainframe Modernisasi dilindungi oleh layanan VPC atau grup keamanan, serta HTTPS. AWS Modernisasi Mainframe mentransfer artefak aplikasi, konfigurasi, dan data aplikasi. Artefak aplikasi disalin dari bucket Amazon S3 yang Anda miliki, seperti juga data aplikasi. Anda dapat menyediakan konfigurasi aplikasi menggunakan tautan ke Amazon S3 atau dengan mengunggah file secara lokal.

Enkripsi dasar dalam transit dikonfigurasi secara default, tetapi tidak berlaku untuk protokol TN3270. AWS Modernisasi Mainframe menggunakan HTTPS untuk titik akhir API, yang juga dikonfigurasi secara default.