Crea una chiave di crittografia per lo storage effimero Fargate per Amazon ECS

Passa a /kms. https://console.aws.amazon.com

Segui le istruzioni per la creazione di chiavi nella Guida per gli AWS Key Management Service sviluppatori.

Durante la creazione della AWS KMS chiave, assicuratevi di fornire al servizio Fargate le autorizzazioni AWS KMS operative pertinenti nelle politiche chiave. Le seguenti API operazioni devono essere consentite nella politica per utilizzare la chiave gestita dal cliente con le risorse ECS del cluster Amazon.

L'esempio seguente mostra una politica AWS KMS chiave da applicare alla chiave di destinazione per la crittografia. Per utilizzare le dichiarazioni politiche di esempio, user input placeholders sostituiscile con le tue informazioni. Come sempre, configura solo le autorizzazioni di cui hai bisogno, ma dovrai fornire AWS KMS le autorizzazioni ad almeno un utente per evitare errori.

{
      "Sid": "Allow generate data key access for Fargate tasks.",
      "Effect": "Allow",
      "Principal": { "Service":"fargate.amazonaws.com" },
      "Action": [
        "kms:GenerateDataKeyWithoutPlaintext"
      ],
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:aws:ecs:clusterAccount": [
            "customerAccountId"
          ],
          "kms:EncryptionContext:aws:ecs:clusterName": [
             "clusterName"
          ]   
        }
      },
      "Resource": "*"
    },
    {
      "Sid": "Allow grant creation permission for Fargate tasks.",
      "Effect": "Allow",
      "Principal": { "Service":"fargate.amazonaws.com" },
      "Action": [
        "kms:CreateGrant"
      ],
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:aws:ecs:clusterAccount": [
            "customerAccountId"
          ],
          "kms:EncryptionContext:aws:ecs:clusterName": [
             "clusterName"
          ]   
        },
       "ForAllValues:StringEquals": {
          "kms:GrantOperations": [
             "Decrypt"
          ]
       }
      },
      "Resource": "*"
    },
    {
      "Sid": "Allow describe key permission for cluster operator - CreateCluster and UpdateCluster.",
      "Effect": "Allow",
      "Principal": { "AWS":"arn:aws:iam::customerAccountId:role/customer-chosen-role" },
      "Action": [
        "kms:DescribeKey"
      ],
      "Resource": "*"
    }

Le attività Fargate utilizzano le aws:ecs:clusterAccount chiavi contestuali di aws:ecs:clusterName crittografia per le operazioni crittografiche con la chiave. I clienti devono aggiungere queste autorizzazioni per limitare l'accesso a un account e/o cluster specifico. Usa il nome del cluster e non il nome ARN quando specifichi il cluster.

Per ulteriori informazioni, consultare Contesto della crittografia nella Guida per gli sviluppatori di AWS KMS.

Quando si crea o si aggiorna un cluster, è possibile utilizzare la chiave di condizionefargateEphemeralStorageKmsKeyId. Questa chiave di condizione consente ai clienti di avere un controllo più granulare delle IAM politiche. Gli aggiornamenti alla fargateEphemeralStorageKmsKeyId configurazione hanno effetto solo sulle nuove implementazioni di servizi.

Di seguito è riportato un esempio di come consentire ai clienti di concedere le autorizzazioni solo a un set specifico di chiavi approvate. AWS KMS

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecs:CreateCluster",
        "ecs:UpdateCluster"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ecs:fargate-ephemeral-storage-kms-key": "arn:aws:kms:us-west-2:111122223333:key/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"
        }
      }
    }
  ]
}

Segue un esempio per negare i tentativi di rimuovere AWS KMS chiavi già associate a un cluster.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Deny",
    "Action": [
        "ecs:CreateCluster",
        "ecs:UpdateCluster"
    ],
    "Resource": "*",
    "Condition": {
      "Null": {
        "ecs:fargate-ephemeral-storage-kms-key": "true"
      }
    }
  }
}

I clienti possono verificare se le attività non gestite o le attività di servizio sono crittografate utilizzando la chiave utilizzando i AWS CLI describe-tasks comandidescribe-cluster, odescribe-services.

Per ulteriori informazioni, consulta Condition keys AWS KMS nella AWS KMS Developer Guide.