Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Note per l'utilizzo della crittografia dei dati inattivi di DynamoDB

Quando si utilizza la crittografia a riposo di Amazon DynamoDB, tenere in considerazione quanto riportato di seguito.

Tutti i dati della tabella vengono crittografati

La crittografia dei dati a riposo sul lato server è abilitata su tutti i dati della tabella DynamoDB e non può essere disabilitata. Non è possibile criptare solo un sottoinsieme di elementi in una tabella.

La crittografia dei dati inattivi crittografa i dati mentre è statica (dati inattivi) su media di storage persistente. Se la sicurezza dei dati è un problema per i dati in transito o i dati in utilizzo, è possibile adottare ulteriori misure:

È possibile utilizzare i flussi con le tabelle crittografate. I flussi DynamoDB sono sempre crittografati con una chiave di crittografia a livello di tabella. Per ulteriori informazioni, consulta Acquisizione dei dati di modifica per DynamoDB Streams.

I backup DynamoDB sono crittografati e anche la tabella che viene ripristinata da un backup ha la crittografia abilitata. È possibile utilizzare la chiave o la Chiave di proprietà di AWS chiave gestita dal cliente per crittografare i dati di backup. Chiave gestita da AWS Per ulteriori informazioni, consulta Backup e ripristino per DynamoDB.

Gli indici secondari locali e gli indici secondari globali vengono crittografati utilizzando la stessa chiave della tabella di base.

Tipi di crittografia

In AWS Management Console, il tipo di crittografia si intende KMS quando si utilizza la chiave Chiave gestita da AWS o la chiave gestita dal cliente per crittografare i dati. Il tipo di crittografia è DEFAULT quando utilizzi la Chiave di proprietà di AWS. In Amazon API DynamoDB, il tipo di crittografia KMS è quando si utilizza la chiave o Chiave gestita da AWS la chiave gestita dal cliente. In assenza del tipo di crittografia, i dati vengono criptati con la chiave Chiave di proprietà di AWS. Puoi passare dalla chiave gestita dal Chiave di proprietà di AWS cliente a quella gestita dal cliente in qualsiasi momento. Chiave gestita da AWS Puoi utilizzare la console, il AWS Command Line Interface (AWS CLI) o Amazon API DynamoDB per cambiare le chiavi di crittografia.

Notare le seguenti limitazioni quando si utilizzano le chiavi gestite dal cliente:

KMSUtilizzo di chiavi e chiavi dati

La funzionalità di crittografia a riposo di DynamoDB utilizza AWS KMS key una e una gerarchia di chiavi di dati per proteggere i dati della tabella. DynamoDB utilizza la stessa gerarchia di chiavi per proteggere i flussi DynamoDB, tabelle globali e backup quando sono scritti su supporti durevoli.

Consigliamo di pianificare la strategia di crittografia prima di implementare la tabella in DynamoDB. Se archivi dati sensibili o riservati in DynamoDB, prendi in considerazione l'inclusione della crittografia lato client nel piano. In questo modo puoi crittografare i dati il più vicino possibile alla loro origine e garantirne la protezione per tutto il loro ciclo di vita. Per ulteriori informazioni su ciascun tipo, consultare la documentazione relativa al client di crittografia di DynamoDB.

Autorizzazione dell'uso della chiave KMS

Se utilizzi una chiave gestita dal cliente o Chiave gestita da AWSnel tuo account per proteggere la tua tabella DynamoDB, le policy su KMS quella chiave devono autorizzare DynamoDB a utilizzarla per tuo conto. Il contesto di autorizzazione di Chiave gestita da AWS for DynamoDB include la sua politica chiave e le autorizzazioni a delegare le autorizzazioni per utilizzarlo.

Hai il pieno controllo sulle policy e sulle concessioni di una chiave gestita dal cliente Poiché la Chiave gestita da AWS è presente nell'account, puoi visualizzare le relative policy e concessioni. Tuttavia, poiché è gestito da, non è possibile modificare AWS le politiche.

DynamoDB non necessita di autorizzazioni aggiuntive per utilizzare l'Chiave di proprietà di AWSimpostazione predefinita per proteggere le tabelle DynamoDB presenti nel tuo. Account AWS

Politica chiave per un Chiave gestita da AWS

Quando DynamoDB utilizza la Chiave gestita da AWS per DynamoDB (aws/dynamodb) in operazioni di crittografia, lo fa per conto dell'utente che accede alla risorsa DynamoDB. La politica chiave di Chiave gestita da AWS consente a tutti gli utenti dell'account di utilizzare Chiave gestita da AWS le operazioni specificate. Tuttavia, l'autorizzazione è concessa solo quando DynamoDB effettua la richiesta per conto dell'utente. La ViaService condizione nella policy chiave non consente a nessun utente di utilizzare la, a Chiave gestita da AWS meno che la richiesta non provenga dal servizio DynamoDB.

Questa politica chiave, come le politiche comuni a tutti Chiavi gestite da AWS, è stabilita da. AWS Non è possibile modificarla, ma è possibile visualizzarla in qualsiasi momento. Per informazioni dettagliate, consulta Visualizzazione di una policy di chiave.

Le istruzioni di policy nella policy delle chiavi hanno l'effetto seguente:

{
  "Version" : "2012-10-17",
  "Id" : "auto-dynamodb-1",
  "Statement" : [ {
    "Sid" : "Allow access through Amazon DynamoDB for all principals in the account that are authorized to use Amazon DynamoDB",
    "Effect" : "Allow",
    "Principal" : {
      "AWS" : "*"
    },
    "Action" : [ "kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms:GenerateDataKey*", "kms:CreateGrant", "kms:DescribeKey" ],
    "Resource" : "*",
    "Condition" : {
      "StringEquals" : {
        "kms:CallerAccount" : "111122223333",
        "kms:ViaService" : "dynamodb.us-west-2.amazonaws.com"
      }
    }
  }, {
    "Sid" : "Allow direct access to key metadata to the account",
    "Effect" : "Allow",
    "Principal" : {
      "AWS" : "arn:aws:iam::111122223333:root"
    },
    "Action" : [ "kms:Describe*", "kms:Get*", "kms:List*", "kms:RevokeGrant" ],
    "Resource" : "*"
  }, {
    "Sid" : "Allow DynamoDB Service with service principal name dynamodb.amazonaws.com to describe the key directly",
    "Effect" : "Allow",
    "Principal" : {
      "Service" : "dynamodb.amazonaws.com"
    },
    "Action" : [ "kms:Describe*", "kms:Get*", "kms:List*" ],
    "Resource" : "*"
  } ]
}

Policy delle chiavi per una chiave gestita dal cliente

Quando si seleziona una chiave gestita dal cliente per proteggere una tabella DynamoDB, DynamoDB ottiene l'autorizzazione a utilizzare KMS la chiave per conto del principale che effettua la selezione. Tale principale, un utente o un ruolo, deve disporre delle autorizzazioni sulla KMS chiave richieste da DynamoDB. È possibile fornire queste autorizzazioni in una policy di chiave, in una policy IAM o mediante una concessione.

Le autorizzazioni minime richieste da DynamoDB per una chiave gestita dal cliente sono:

Ad esempio, la policy di chiave di esempio riportata di seguito fornisce solo le autorizzazioni necessarie. La policy ha i seguenti effetti:

Prima di utilizzare una policy chiave di esempio, sostituisci i principali di esempio con i principali effettivi scelti dalla tua. Account AWS

{
  "Id": "key-policy-dynamodb",
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid" : "Allow access through Amazon DynamoDB for all principals in the account that are authorized to use Amazon DynamoDB",
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::111122223333:user/db-lead"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey",
        "kms:CreateGrant"
      ],
      "Resource": "*",      
      "Condition": { 
         "StringLike": {
           "kms:ViaService" : "dynamodb.*.amazonaws.com"
         }
      }
    },
    {
      "Sid":  "Allow administrators to view the KMS key and revoke grants",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/db-team"
       },
      "Action": [
        "kms:Describe*",
        "kms:Get*",
        "kms:List*",
        "kms:RevokeGrant"
      ],
      "Resource": "*"
    }
  ]
}

Utilizzo di concessioni per autorizzare DynamoDB

Oltre alle policy delle chiavi, DynamoDB usa le concessioni per impostare le autorizzazioni per una chiave gestita dal cliente o per la Chiave gestita da AWS per DynamoDB (aws/dynamodb). Per visualizzare le sovvenzioni relative a una KMS chiave del tuo account, usa l'operazione. ListGrants DynamoDB non ha bisogno di concessioni, o di autorizzazioni aggiuntive, per utilizzare la Chiave di proprietà di AWS per proteggere la tabella.

DynamoDB usa le autorizzazioni per la concessione quando esegue la manutenzione dei sistemi in background e le attività di protezione dei dati continuative nel tempo. Utilizza inoltre concessioni per generare le chiavi delle tabelle.

Ogni concessione è specifica di una tabella. Se l'account include più tabelle crittografate con la stessa KMS chiave, è prevista una concessione di ogni tipo per ogni tabella. La concessione è vincolata dal contesto di crittografia DynamoDB, che include il nome della tabella e l' Account AWS ID, e include l'autorizzazione a ritirare la concessione se non è più necessaria.

Per creare le concessioni, DynamoDB deve disporre dell'autorizzazione per chiamare CreateGrant per conto dell'utente che ha creato la tabella crittografata. Infatti Chiavi gestite da AWS, DynamoDB kms:CreateGrant ottiene l'autorizzazione dalla policy chiave, che consente agli utenti dell'account di CreateGrantrichiamare KMS la chiave solo quando DynamoDB effettua la richiesta per conto di un utente autorizzato.

La policy chiave può anche consentire all'account di revocare la concessione sulla chiave. KMS Tuttavia, se revochi la concessione sulla tabella crittografata attiva, DynamoDB non sarà in grado di proteggere e mantenere la tabella.

Contesto di crittografia DynamoDB

Un contesto di crittografia è un set di coppie chiave-valore che contiene dati arbitrari non segreti. Quando includi un contesto di crittografia in una richiesta di crittografia dei dati, associa AWS KMS crittograficamente il contesto di crittografia ai dati crittografati. lo stesso contesto di crittografia sia necessario per decrittografare i dati.

DynamoDB utilizza lo stesso contesto di crittografia in AWS KMS tutte le operazioni crittografiche. Se si utilizza una chiave gestita dal cliente o una Chiave gestita da AWSper proteggere la tabella DynamoDB, è possibile utilizzare il contesto di crittografia per identificare l'uso della chiave nei record e KMS nei log di controllo. Viene inoltre visualizzato in testo non crittografato nei log, ad esempio AWS CloudTrailAmazon Logs. CloudWatch

Il contesto di crittografia può anche essere usato come una condizione per le autorizzazioni in policy e concessioni. DynamoDB utilizza il contesto di crittografia per limitare le concessioni che consentono l'accesso alla chiave gestita dal cliente Chiave gestita da AWS o nell'account e nella regione dell'utente.

Nelle sue richieste a AWS KMS, DynamoDB utilizza un contesto di crittografia con due coppie chiave-valore.

"encryptionContextSubset": {
    "aws:dynamodb:tableName": "Books"
    "aws:dynamodb:subscriberId": "111122223333"
}

Monitoraggio dell'interazione di DynamoDB con AWS KMS

Se utilizzi una chiave gestita dal cliente o una Chiave gestita da AWSper proteggere le tue tabelle DynamoDB, puoi AWS CloudTrail utilizzare i log per tenere traccia delle richieste a cui DynamoDB invia per tuo conto. AWS KMS

Le richieste GenerateDataKey, Decrypt e CreateGrant vengono illustrate in questa sezione. Inoltre, DynamoDB utilizza DescribeKeyun'operazione per determinare se KMS la chiave selezionata esiste nell'account e nella regione. Utilizza anche un'RetireGrantoperazione per rimuovere una concessione quando si elimina una tabella.