Gunakan laporan audit dengan CA pribadi Anda

Untuk membuat laporan audit (konsol)

1. Masuk ke AWS akun Anda dan buka AWS Private CA konsol di https://console.aws.amazon.com/acm-pca/rumah.

2. Pada halaman Private Certificate Authories, pilih CA pribadi Anda dari daftar.

3. Dari menu Tindakan, pilih Hasilkan laporan audit.

4. Di bawah tujuan laporan Audit, untuk Buat bucket S3 baru? , pilih Ya dan ketik nama bucket unik, atau pilih Tidak dan pilih bucket yang ada dari daftar.

   Jika Anda memilih Ya, AWS Private CA buat dan lampirkan kebijakan default ke bucket Anda. Kebijakan default menyertakan kunci aws:SourceAccount kondisi, yang membatasi akses ke AWS akun tertentu. Jika ingin membatasi akses lebih lanjut, Anda dapat menambahkan kunci kondisi lain ke kebijakan seperti pada contoh sebelumnya.

   Jika Anda memilih Tidak, Anda harus melampirkan kebijakan ke bucket agar dapat membuat laporan audit. Gunakan pola kebijakan yang dijelaskan dalamSiapkan bucket Amazon S3 untuk laporan audit. Untuk informasi tentang melampirkan kebijakan, lihat Menambahkan kebijakan bucket menggunakan konsol Amazon S3.

5. Di bawah format Output, pilih JSONuntuk JavaScript Object Notation atau CSVuntuk nilai yang dipisahkan koma.

6. Pilih Hasilkan laporan audit.

Untuk membuat laporan audit (AWS CLI)

1. Jika Anda belum memiliki bucket S3 untuk digunakan, buat satu.

2. Lampirkan kebijakan ke bucket Anda Gunakan pola kebijakan yang dijelaskan dalamSiapkan bucket Amazon S3 untuk laporan audit. Untuk informasi tentang melampirkan kebijakan, lihat Menambahkan kebijakan bucket menggunakan konsol Amazon S3

3. Gunakan perintah create-certificate-authority-audit-report untuk membuat laporan audit dan menempatkannya di bucket S3 yang sudah disiapkan.

   $ aws acm-pca create-certificate-authority-audit-report \
   --certificate-authority-arn arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566 \
   --s3-bucket-name amzn-s3-demo-bucket \
   --audit-report-response-format JSON 

Untuk mengkonfigurasi enkripsi otomatis

Selesaikan langkah-langkah berikut untuk mengaktifkan enkripsi sisi server S3.

1. Buka konsol Amazon S3 di. https://console.aws.amazon.com/s3/

2. Di tabel Bucket, pilih ember yang akan menampung AWS Private CA aset Anda.

3. Pada halaman untuk bucket Anda, pilih tab Properti.

4. Pilih kartu Enkripsi default.

5. Pilih Aktifkan.

6. Pilih tombol Amazon S3 (SSE-S3).

7. Pilih Simpan Perubahan.

Untuk mengkonfigurasi enkripsi kustom

Selesaikan langkah-langkah berikut untuk mengaktifkan enkripsi menggunakan kunci kustom.

1. Buka konsol Amazon S3 di. https://console.aws.amazon.com/s3/

2. Di tabel Bucket, pilih ember yang akan menampung AWS Private CA aset Anda.

3. Pada halaman untuk bucket Anda, pilih tab Properti.

4. Pilih kartu Enkripsi default.

5. Pilih Aktifkan.

6. Pilih AWS Key Management Service kunci (SSE-KMS).

7. Pilih salah satu Pilih dari AWS KMS kunci Anda atau Enter AWS KMS key ARN.

8. Pilih Simpan Perubahan.

9. (Opsional) Jika Anda belum memiliki KMS kunci, buat satu menggunakan perintah AWS CLI create-key berikut:

   $ aws kms create-key

   Output berisi ID kunci dan Amazon Resource Name (ARN) dari KMS kunci. Berikut ini adalah contoh output:

   {
       "KeyMetadata": {
           "KeyId": "01234567-89ab-cdef-0123-456789abcdef",
           "Description": "",
           "Enabled": true,
           "KeyUsage": "ENCRYPT_DECRYPT",
           "KeyState": "Enabled",
           "CreationDate": 1478910250.94,
           "Arn": "arn:aws:kms:us-west-2:123456789012:key/01234567-89ab-cdef-0123-456789abcdef",
           "AWSAccountId": "123456789012"
       }
   }

10. Dengan menggunakan langkah-langkah berikut, Anda memberikan izin kepada kepala AWS Private CA layanan untuk menggunakan KMS kunci. Secara default, semua KMS kunci bersifat pribadi; hanya pemilik sumber daya yang dapat menggunakan KMS kunci untuk mengenkripsi dan mendekripsi data. Namun, pemilik sumber daya dapat memberikan izin untuk mengakses KMS kunci ke pengguna dan sumber daya lain. Prinsipal layanan harus berada di Wilayah yang sama dengan tempat KMS kunci disimpan.

    1. Pertama, simpan kebijakan default untuk KMS kunci Anda seperti policy.json menggunakan get-key-policyperintah berikut:

       $ aws kms get-key-policy --key-id key-id --policy-name default --output text > ./policy.json

    2. Buka file policy.json di editor teks. Pilih salah satu pernyataan kebijakan berikut dan tambahkan ke kebijakan yang ada.

       Jika kunci bucket Amazon S3 diaktifkan, gunakan pernyataan berikut:

       {
          "Sid":"Allow ACM-PCA use of the key",
          "Effect":"Allow",
          "Principal":{
             "Service":"acm-pca.amazonaws.com"
          },
          "Action":[
             "kms:GenerateDataKey",
             "kms:Decrypt"
          ],
          "Resource":"*",
          "Condition":{
             "StringLike":{
                "kms:EncryptionContext:aws:s3:arn":"arn:aws:s3:::bucket-name"
             }
          }
       }

       Jika kunci bucket Amazon S3 dinonaktifkan, gunakan pernyataan berikut:

       {
          "Sid":"Allow ACM-PCA use of the key",
          "Effect":"Allow",
          "Principal":{
             "Service":"acm-pca.amazonaws.com"
          },
          "Action":[
             "kms:GenerateDataKey",
             "kms:Decrypt"
          ],
          "Resource":"*",
          "Condition":{
             "StringLike":{
                "kms:EncryptionContext:aws:s3:arn":[
                   "arn:aws:s3:::bucket-name/acm-pca-permission-test-key",
                   "arn:aws:s3:::bucket-name/acm-pca-permission-test-key-private",
                   "arn:aws:s3:::bucket-name/audit-report/*",
                   "arn:aws:s3:::bucket-name/crl/*"
                ]
             }
          }
       }

    3. Terakhir, terapkan kebijakan yang diperbarui menggunakan put-key-policyperintah berikut:

       $ aws kms put-key-policy --key-id key_id --policy-name default --policy file://policy.json