Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Dienkripsi WorkSpaces secara WorkSpaces pribadi

WorkSpaces terintegrasi dengan AWS Key Management Service (AWS KMS). Ini memungkinkan Anda untuk mengenkripsi volume penyimpanan WorkSpaces menggunakan K AWS KMS unci. Ketika Anda meluncurkan a WorkSpace, Anda dapat mengenkripsi volume root (untuk Microsoft Windows, drive C; untuk Linux,/) dan volume pengguna (untuk Windows, drive D; untuk Linux, /home). Melakukan hal itu memastikan bahwa data yang disimpan saat istirahat, disk I/O ke volume, dan snapshot yang dibuat dari volume semuanya dienkripsi.

Prasyarat

Anda memerlukan AWS KMS kunci sebelum Anda dapat memulai proses enkripsi. Kunci KMS ini dapat berupa Kunci KMS AWS terkelola untuk Amazon WorkSpaces (aws/workspaces) atau Kunci KMS yang dikelola pelanggan simetris.

Anda harus memenuhi persyaratan berikut untuk menggunakan K AWS KMS unci untuk mengenkripsi WorkSpaces:

Batas

Ikhtisar WorkSpaces enkripsi menggunakan AWS KMS

Saat Anda membuat WorkSpaces dengan volume terenkripsi, WorkSpaces gunakan Amazon Elastic Block Store (Amazon EBS) untuk membuat dan mengelola volume tersebut. Amazon EBS mengenkripsi volume Anda dengan kunci data menggunakan algoritma standar industri AES-256 . Baik Amazon EBS maupun Amazon WorkSpaces menggunakan Kunci KMS Anda untuk bekerja dengan volume terenkripsi. Untuk informasi selengkapnya tentang enkripsi volume EBS, lihat Enkripsi Amazon EBS di Panduan Pengguna Amazon EC2.

Saat Anda meluncurkan WorkSpaces dengan volume terenkripsi, proses end-to-end bekerja seperti ini:

WorkSpaces konteks enkripsi

WorkSpaces tidak menggunakan Kunci KMS Anda secara langsung untuk operasi kriptografi (seperti Encrypt,, Decrypt GenerateDataKey, dll.), yang WorkSpaces berarti tidak mengirim permintaan ke AWS KMS yang menyertakan konteks enkripsi. Namun, ketika Amazon EBS meminta kunci data terenkripsi untuk volume terenkripsi Anda WorkSpaces (Tahap 3di dalamIkhtisar WorkSpaces enkripsi menggunakan AWS KMS) dan ketika meminta salinan teks biasa dari kunci data tersebut (Tahap 5), itu menyertakan konteks enkripsi dalam permintaan.

Konteks enkripsi menyediakan data otentikasi tambahan (AAD) yang digunakan untuk AWS KMS memastikan integritas data. Konteks enkripsi juga ditulis ke file AWS CloudTrail log Anda, yang dapat membantu Anda memahami mengapa Kunci KMS tertentu digunakan. Amazon EBS menggunakan hal berikut ini untuk konteks enkripsi:

Contoh berikut menunjukkan representasi JSON dari konteks enkripsi yang digunakan Amazon EBS:

{
  "aws:workspaces:sid-directoryid": "[S-1-5-21-277731876-1789304096-451871588-1107]@[d-1234abcd01]",
  "aws:ebs:id": "vol-1234abcd"
}

Ber WorkSpaces ikan izin untuk menggunakan Kunci KMS atas nama Anda

Anda dapat melindungi WorkSpace data Anda di bawah Kunci KMS terkel AWS ola untuk WorkSpaces (aws/workspaces) atau Kunci KMS yang dikelola pelanggan. Jika Anda menggunakan Kunci KMS yang dikelola pelanggan, Anda harus memberikan WorkSpaces izin untuk menggunakan Kunci KMS atas nama WorkSpaces administrator di akun Anda. K AWS unci KMS terkelola untuk WorkSpaces memiliki izin yang diperlukan secara default.

Untuk menyiapkan Kunci KMS yang dikelola pelanggan Anda untuk WorkSpaces digunakan, gunakan prosedur berikut.

WorkSpaces Administrator Anda juga memerlukan izin untuk menggunakan WorkSpaces. Untuk informasi selengkapnya tentang izin ini, buka Identitas dan manajemen akses untuk WorkSpaces.

Bagian 1: Menambahkan WorkSpaces administrator sebagai pengguna utama

Untuk memberi WorkSpaces administrator izin yang mereka butuhkan, Anda dapat menggunakan AWS KMS API Konsol Manajemen AWS atau.

Untuk menambahkan WorkSpaces administrator sebagai pengguna kunci untuk KMS Key (konsol)

Untuk menambahkan WorkSpaces administrator sebagai pengguna kunci untuk KMS Key (API)

Bagian 2: Berikan izin tambahan kepada WorkSpaces administrator menggunakan kebijakan IAM

Jika Anda memilih Kunci KMS yang dikelola pelanggan untuk digunakan untuk enkripsi, Anda harus menetapkan kebijakan IAM yang WorkSpaces memungkinkan Amazon menggunakan Kunci KMS atas nama pengguna IAM di akun Anda yang meluncurkan terenkripsi. WorkSpaces Pengguna itu juga membutuhkan izin untuk menggunakan Amazon WorkSpaces. Untuk informasi selengkapnya tentang membuat dan mengedit kebijakan pengguna IAM, lihat Mengelola Kebijakan IAM dalam Panduan Pengguna IAM dan Identitas dan manajemen akses untuk WorkSpaces.

WorkSpaces enkripsi membutuhkan akses terbatas ke KMS Key. Berikut ini adalah contoh kebijakan kunci yang dapat Anda gunakan. Kebijakan ini memisahkan kepala sekolah yang dapat mengelola K AWS KMS unci dari mereka yang dapat menggunakannya. Sebelum Anda menggunakan kebijakan kunci contoh ini, ganti contoh akun ID dan nama pengguna IAM dengan nilai aktual dari akun Anda.

Pernyataan pertama cocok dengan kebijakan AWS KMS kunci default. Ini memberi izin akun Anda untuk menggunakan kebijakan IAM untuk mengontrol akses ke KMS Key. Pernyataan kedua dan ketiga menentukan prinsi AWS pal mana yang dapat mengelola dan menggunakan kunci, masing-masing. Pernyataan keempat memungkinkan AWS layanan yang terintegrasi AWS KMS dengan menggunakan kunci atas nama prinsipal yang ditentukan. Pernyataan ini mengaktifkan layanan AWS untuk membuat dan mengelola pemberian. Pernyataan menggunakan elemen kondisi yang membatasi pemberian pada Kunci KMS untuk pemberian yang dibuat oleh AWS layanan atas nama pengguna di akun Anda.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Create*",
        "kms:Describe*",
        "kms:Enable*",
        "kms:List*",
        "kms:Put*",
        "kms:Update*",
        "kms:Revoke*",
        "kms:Disable*",
        "kms:Get*",
        "kms:Delete*"
       ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": "true"}}
    }
  ]
}

Kebijakan IAM untuk pengguna atau peran yang mengenkripsi WorkSpace harus menyertakan izin penggunaan pada Kunci KMS yang dikelola pelanggan, serta akses ke. WorkSpaces Untuk memberikan WorkSpaces izin kepada pengguna atau peran IAM, Anda dapat melampirkan kebijakan contoh berikut ke pengguna atau peran IAM.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:*",
                "ds:DescribeDirectories",
                "workspaces:*",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:CreateWorkspaces",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:DescribeWorkspaceDirectories",
                "workspaces:DescribeWorkspaces",
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces"
            ],
            "Resource": "*"
        }
    ]
}

Kebijakan IAM berikut ini diperlukan oleh pengguna untuk menggunakan AWS KMS. Ini memberi pengguna akses read-only ke Kunci KMS bersama dengan kemampuan untuk membuat hibah.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:Describe*",
                "kms:List*"
            ],
            "Resource": "*"
        }
    ]
}

Jika Anda ingin menentukan Kunci KMS dalam kebijakan Anda, gunakan kebijakan IAM yang serupa dengan yang berikut ini. Ganti contoh KMS Key ARN dengan yang valid.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:CreateGrant",
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:ListAliases",
        "kms:ListKeys"
      ],
      "Resource": "*"
    }
  ]
}

Enkripsi a WorkSpace

Lihat terenkripsi WorkSpaces

Untuk melihat volume mana yang WorkSpaces telah dienkripsi dari WorkSpaces konsol, pilih WorkSpaces dari bilah navigasi di sebelah kiri. Kolom Enkripsi Volume menunjukkan apakah setiap en WorkSpace kripsi diaktifkan atau dinonaktifkan. Untuk melihat volume tertentu yang telah dienkripsi, perluas WorkSpace entri untuk melihat bidang Vol ume Terenkripsi.