Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Enkripsi rahasia dan dekripsi di AWS Secrets Manager

Secrets Manager menggunakan enkripsi amplop dengan AWS KMS kunci dan kunci data untuk melindungi setiap nilai rahasia. Setiap kali nilai rahasia dalam rahasia berubah, Secrets Manager meminta kunci data baru AWS KMS untuk melindunginya. Kunci data dienkripsi di bawah KMS kunci dan disimpan dalam metadata rahasia. Untuk mendekripsi rahasia, Secrets Manager terlebih dahulu mendekripsi kunci data terenkripsi menggunakan kunci masuk. KMS AWS KMS

Secrets Manager tidak menggunakan KMS kunci untuk mengenkripsi nilai rahasia secara langsung. Sebaliknya, ia menggunakan KMS kunci untuk menghasilkan dan mengenkripsi kunci data simetris Advanced Encryption Standard (AES) 256-bit, dan menggunakan kunci data untuk mengenkripsi nilai rahasia. Secrets Manager menggunakan kunci data plaintext untuk mengenkripsi nilai rahasia di luar AWS KMS, dan kemudian menghapusnya dari memori. Ini menyimpan salinan terenkripsi dari kunci data dalam metadata dari rahasia.

Memilih AWS KMS kunci

Saat Anda membuat rahasia, Anda dapat memilih kunci yang dikelola pelanggan enkripsi simetris di Akun AWS dan Wilayah, atau Anda dapat menggunakan Kunci yang dikelola AWS for Secrets Manager (aws/secretsmanager). Jika Anda memilih Kunci yang dikelola AWS aws/secretsmanager dan itu belum ada, Secrets Manager membuatnya dan mengaitkannya dengan rahasia. Anda dapat menggunakan kunci yang sama atau KMS KMS kunci yang berbeda untuk setiap rahasia di akun Anda. Anda mungkin ingin menggunakan KMS kunci yang berbeda untuk menyetel izin khusus pada kunci untuk sekelompok rahasia, atau jika Anda ingin mengaudit operasi tertentu untuk kunci tersebut. Secrets Manager hanya mendukung KMSkunci enkripsi simetris. Jika Anda menggunakan KMS kunci di penyimpanan kunci eksternal, operasi kriptografi pada KMS kunci mungkin memakan waktu lebih lama dan kurang dapat diandalkan dan tahan lama karena permintaan harus melakukan perjalanan di luar. AWS

Untuk informasi tentang mengubah kunci enkripsi untuk rahasia, lihatMengubah kunci enkripsi untuk AWS Secrets Manager Rahasia.

Saat Anda mengubah kunci enkripsi, Secrets Manager mengenkripsi ulang AWSCURRENTAWSPENDING, dan AWSPREVIOUS versi dengan kunci baru. Untuk menghindari mengunci Anda dari rahasia, Secrets Manager menyimpan semua versi yang ada dienkripsi dengan kunci sebelumnya. Itu berarti Anda dapat mendekripsiAWSCURRENT,AWSPENDING, dan AWSPREVIOUS versi dengan kunci sebelumnya atau kunci baru. Jika Anda tidak memiliki kms:Decrypt izin untuk kunci sebelumnya, ketika Anda mengubah kunci enkripsi, Secrets Manager tidak dapat mendekripsi versi rahasia untuk mengenkripsi ulang mereka. Dalam hal ini, versi yang ada tidak dienkripsi ulang.

Untuk membuatnya sehingga hanya AWSCURRENT dapat didekripsi oleh kunci enkripsi baru, buat versi baru rahasia dengan kunci baru. Kemudian untuk dapat mendekripsi versi AWSCURRENT rahasia, Anda harus memiliki izin untuk kunci baru.

Anda dapat menolak izin untuk Kunci yang dikelola AWS aws/secretsmanager dan memerlukan rahasia dienkripsi dengan kunci yang dikelola pelanggan. Untuk informasi selengkapnya, lihat Contoh: Tolak AWS KMS kunci tertentu untuk mengenkripsi rahasia.

Untuk menemukan KMS kunci yang terkait dengan rahasia, lihat rahasia di konsol atau panggil ListSecretsatau DescribeSecret. Ketika rahasia dikaitkan dengan Kunci yang dikelola AWS for Secrets Manager (aws/secretsmanager), operasi ini tidak mengembalikan pengenal KMS kunci.

Apa yang dienkripsi?

Secrets Manager mengenkripsi nilai rahasia, tetapi tidak mengenkripsi yang berikut:

Proses enkripsi dan dekripsi

Untuk mengenkripsi nilai rahasia dalam rahasia, Secrets Manager menggunakan proses berikut.

Untuk mendekripsi nilai rahasia terenkripsi:

Izin untuk kunci KMS

Ketika Secrets Manager menggunakan KMS kunci dalam operasi kriptografi, ia bertindak atas nama pengguna yang mengakses atau memperbarui nilai rahasia. Anda dapat memberikan izin dalam IAM kebijakan atau kebijakan utama. Operasi Secrets Manager berikut memerlukan AWS KMS izin.

Untuk mengizinkan KMS kunci hanya digunakan untuk permintaan yang berasal dari Secrets Manager, dalam kebijakan izin, Anda dapat menggunakan kunci ViaService kondisi kms: dengan nilainya. secretsmanager.<Region>.amazonaws.com

Anda juga dapat menggunakan kunci atau nilai dalam konteks enkripsi sebagai syarat untuk menggunakan KMS kunci untuk operasi kriptografi. Misalnya, Anda dapat menggunakan operator kondisi string dalam dokumen kebijakan IAM atau kunci, atau menggunakan batasan hibah dalam hibah. KMSpropagasi hibah kunci dapat memakan waktu hingga lima menit. Untuk informasi lebih lanjut, lihat CreateGrant.

Bagaimana Secrets Manager menggunakan KMS kunci Anda

Secrets Manager memanggil AWS KMS operasi berikut dengan KMS kunci Anda.

Kebijakan utama dari Kunci yang dikelola AWS (aws/secretsmanager)

Kebijakan kunci Kunci yang dikelola AWS untuk Secrets Manager (aws/secretsmanager) memberi pengguna izin untuk menggunakan KMS kunci untuk operasi tertentu hanya jika Secrets Manager membuat permintaan atas nama pengguna. Kebijakan kunci tidak mengizinkan pengguna untuk menggunakan KMS kunci secara langsung.

Kebijakan utama ini, seperti kebijakan semua Kunci yang dikelola AWS, ditetapkan oleh layanan. Anda tidak dapat mengubah kebijakan kunci, tetapi Anda dapat melihatnya kapan saja. Untuk detailnya, lihat Melihat kebijakan utama.

Pernyataan kebijakan dalam kebijakan kunci memiliki efek sebagai berikut:

Berikut ini adalah kebijakan utama untuk Kunci yang dikelola AWS contoh Secrets Manager.

{
  "Id": "auto-secretsmanager-2",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow access through AWS Secrets Manager for all principals in the account that are authorized to use AWS Secrets Manager",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "*"
        ]
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:CreateGrant",
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:CallerAccount": "111122223333",
          "kms:ViaService": "secretsmanager.us-west-2.amazonaws.com"
        }
      }
    },
    {
      "Sid": "Allow access through AWS Secrets Manager for all principals in the account that are authorized to use AWS Secrets Manager",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "*"
        ]
      },
      "Action": "kms:GenerateDataKey*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:CallerAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "secretsmanager.us-west-2.amazonaws.com"
        }
      }
    },
    {
      "Sid": "Allow direct access to key metadata to the account",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:iam::111122223333:root"
        ]
      },
      "Action": [
        "kms:Describe*",
        "kms:Get*",
        "kms:List*",
        "kms:RevokeGrant"
      ],
      "Resource": "*"
    }
  ]
}

Konteks enkripsi Secrets Manager

Konteks enkripsi adalah seperangkat pasangan nilai kunci yang berisi data non-rahasia yang berubah-ubah. Ketika Anda menyertakan konteks enkripsi dalam permintaan untuk mengenkripsi data, secara AWS KMS kriptografis mengikat konteks enkripsi ke data terenkripsi. Untuk mendekripsi data, Anda harus meneruskan konteks enkripsi yang sama.

Dalam permintaannya GenerateDataKeydan Dekripsi ke AWS KMS, Secrets Manager menggunakan konteks enkripsi dengan dua pasangan nama-nilai yang mengidentifikasi rahasia dan versinya, seperti yang ditunjukkan pada contoh berikut. Nama-nama tidak bervariasi, tetapi nilai-nilai konteks enkripsi gabungan akan berbeda untuk setiap nilai rahasia.

"encryptionContext": {
    "SecretARN": "arn:aws:secretsmanager:us-east-2:111122223333:secret:test-secret-a1b2c3",
    "SecretVersionId": "EXAMPLE1-90ab-cdef-fedc-ba987SECRET1"
}

Anda dapat menggunakan konteks enkripsi untuk mengidentifikasi operasi kriptografi ini dalam catatan audit dan log, seperti AWS CloudTraildan Amazon CloudWatch Logs, dan sebagai syarat untuk otorisasi dalam kebijakan dan hibah.

Enkripsi konteks Secrets Manager terdiri dari dua pasangan nama-nilai.

Saat Anda membuat atau mengubah KMS kunci untuk rahasia, Secrets Manager mengirimkan GenerateDataKeydan Mendekripsi permintaan AWS KMS untuk memvalidasi bahwa pemanggil memiliki izin untuk menggunakan KMS kunci untuk operasi ini. Ini membuang tanggapan; tidak menggunakannya pada nilai rahasia.

Dalam permintaan validasi ini, nilai SecretARN adalah sebenarnya ARN dari rahasia, tetapi SecretVersionId nilainyaRequestToValidateKeyAccess, seperti yang ditunjukkan dalam konteks enkripsi contoh berikut. Nilai khusus ini membantu Anda untuk mengidentifikasi permintaan validasi di log dan jejak audit.

"encryptionContext": {
    "SecretARN": "arn:aws:secretsmanager:us-east-2:111122223333:secret:test-secret-a1b2c3",
    "SecretVersionId": "RequestToValidateKeyAccess"
}

Memantau interaksi Secrets Manager dengan AWS KMS

Anda dapat menggunakan AWS CloudTrail dan Amazon CloudWatch Logs untuk melacak permintaan yang dikirimkan Secrets Manager atas nama Anda. AWS KMS Untuk informasi tentang pemantauan penggunaan rahasia, lihatMemantau AWS Secrets Manager rahasia.