Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurare le politiche AWS KMS chiave per CloudTrail

È possibile crearne uno AWS KMS key in tre modi:

Se si crea una KMS chiave in AWS Management o in AWS CLI, è necessario aggiungere sezioni di policy alla chiave in modo da poterla utilizzare con CloudTrail. La politica deve consentire di CloudTrail utilizzare la chiave per crittografare i file di registro e gli archivi di dati degli eventi e consentire agli utenti specificati di leggere i file di registro in formato non crittografato.

Consulta le seguenti risorse:

Sezioni politiche KMS chiave obbligatorie da utilizzare con CloudTrail

Se hai creato una KMS chiave con la console di AWS gestione o la AWS CLI, devi almeno aggiungere le seguenti istruzioni alla policy KMS chiave per farla funzionare CloudTrail.

Elementi politici KMS chiave obbligatori per i sentieri

Come procedura consigliata per la sicurezza, aggiungi una chiave di aws:SourceArn condizione alla policy KMS chiave. La chiave di condizione IAM globale aws:SourceArn aiuta a garantire che la KMS chiave venga CloudTrail utilizzata solo per uno o più sentieri specifici. Il valore di aws:SourceArn è sempre il percorso ARN (o l'array di percorsiARNs) che utilizza la KMS chiave. Assicurati di aggiungere la chiave di aws:SourceArn condizione alle politiche KMS chiave per i percorsi esistenti.

Anche la chiave di condizione aws:SourceAccount è supportata, ma non consigliata. Il valore di aws:SourceAccount è l'ID account del proprietario del percorso o, per i percorsi organizzativi, l'ID dell'account di gestione.

Elementi politici KMS chiave richiesti per gli archivi di dati sugli eventi

Le chiavi aws:SourceArn e aws:SourceAccount condition non sono supportate nelle politiche KMS chiave per gli archivi di dati di eventi.

Concessione delle autorizzazioni di crittografia

{
   "Sid": "Allow CloudTrail to encrypt logs",
   "Effect": "Allow",
   "Principal": {
       "Service": "cloudtrail.amazonaws.com"
    },
    "Action": "kms:GenerateDataKey*",
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "aws:SourceArn": "arn:aws:cloudtrail:region:account-id:trail/trail-name"
         },
         "StringLike": {
             "kms:EncryptionContext:aws:cloudtrail:arn": "arn:aws:cloudtrail:*:account-id:trail/*"
         }
    }
}

Una policy per una KMS chiave utilizzata per crittografare i log del data store degli eventi di CloudTrail Lake non può utilizzare le chiavi aws:SourceArn condizionali o. aws:SourceAccount Di seguito è riportato un esempio di politica KMS chiave per un archivio dati di eventi.

{
    "Sid": "Allow CloudTrail to encrypt event data store",
    "Effect": "Allow",
    "Principal": {
        "Service": "cloudtrail.amazonaws.com"
     },
     "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "*"
}

Nella politica, aggiungi uno o più account che crittografano con la tua chiave a. CloudTrail EncryptionContext Ciò limita CloudTrail l'utilizzo della chiave per crittografare i log solo per gli account specificati. Quando si fornisce la radice dell'account 222222222222 l'autorizzazione a crittografare i log, delega l'autorizzazione all'amministratore dell'account di crittografare le autorizzazioni necessarie agli altri utenti dell'account. L'amministratore dell'account esegue questa operazione modificando le politiche associate a tali utenti. IAM

Come procedura consigliata in materia di sicurezza, aggiungi una chiave di aws:SourceArn condizione alla politica KMS chiave. La chiave di condizione IAM globale aws:SourceArn aiuta a garantire che la KMS chiave venga CloudTrail utilizzata solo per i percorsi specificati. Questa condizione non è supportata nelle politiche KMS chiave per gli archivi di dati sugli eventi.

KMSdichiarazione politica chiave:

{
  "Sid": "Enable CloudTrail encrypt permissions",
  "Effect": "Allow",
  "Principal": {
    "Service": "cloudtrail.amazonaws.com"
  },
  "Action": "kms:GenerateDataKey*",
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:EncryptionContext:aws:cloudtrail:arn": [
        "arn:aws:cloudtrail:*:111111111111:trail/*",
        "arn:aws:cloudtrail:*:222222222222:trail/*"
      ]
    },
    "StringEquals": {
        "aws:SourceArn": "arn:aws:cloudtrail:region:account-id:trail/trail-name"
    }
  }
}

Per ulteriori informazioni sulla modifica di una politica KMS chiave da utilizzare con CloudTrail, consulta Modifica di una politica chiave nella Guida per gli AWS Key Management Service sviluppatori.

Concessione delle autorizzazioni di decrittografia

Prima di aggiungere la KMS chiave alla CloudTrail configurazione, è importante concedere le autorizzazioni di decrittografia a tutti gli utenti che le richiedono. Gli utenti che dispongono delle autorizzazioni di crittografia ma non di quelle di decrittografia non saranno in grado di leggere i log crittografati. Se utilizzi un bucket S3 esistente con una S3 Bucket Key, sono necessarie kms:Decrypt le autorizzazioni per creare o aggiornare un trail con la crittografia abilitata. SSE KMS

Abilita le autorizzazioni di decrittografia dei log CloudTrail

Agli utenti della tua chiave devono essere concesse autorizzazioni esplicite per leggere i file di registro crittografati. CloudTrail Per consentire agli utenti di leggere i log crittografati, aggiungete la seguente dichiarazione obbligatoria alla vostra politica di KMS chiave, modificando la Principal sezione per aggiungere una riga per ogni principale che desiderate poter decrittografare utilizzando la vostra chiave. KMS

{
  "Sid": "Enable CloudTrail log decrypt permissions",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::account-id:user/username"
  },
  "Action": "kms:Decrypt",
  "Resource": "*",
  "Condition": {
    "Null": {
      "kms:EncryptionContext:aws:cloudtrail:arn": "false"
    }
  }
}

Di seguito è riportato un esempio di politica necessaria per consentire al responsabile del CloudTrail servizio di decrittografare i log di percorso.

{
      "Sid": "Allow CloudTrail to decrypt a trail",
      "Effect": "Allow",
      "Principal": {
          "Service": "cloudtrail.amazonaws.com"
        },
      "Action": "kms:Decrypt",
      "Resource": "*"
}

Una politica di decrittografia per una KMS chiave utilizzata con un archivio dati di eventi CloudTrail Lake è simile alla seguente. L'utente o il ruolo ARNs specificato come valori per Principal necessita delle autorizzazioni di decrittografia per creare o aggiornare archivi di dati di eventi, eseguire query o ottenere risultati di query.

{
      "Sid": "Enable user key permissions for event data stores"
      "Effect": "Allow",
      "Principal": {
          "AWS": "arn:aws:iam::account-id:user/username"
      },
      "Action": [
          "kms:Decrypt",
          "kms:GenerateDataKey"
      ],
      "Resource": "*"
  }

Di seguito è riportato un esempio di politica necessaria per consentire al responsabile del CloudTrail servizio di decrittografare i registri del Data Store degli eventi.

{
      "Sid": "Allow CloudTrail to decrypt an event data store",
      "Effect": "Allow",
      "Principal": {
          "Service": "cloudtrail.amazonaws.com"
        },
      "Action": "kms:Decrypt",
      "Resource": "*"
}

Consenti agli utenti del tuo account di decrittografare i trail log con la tua chiave KMS

Esempio

Questa istruzione della policy illustra come consentire a un utente o ruolo IAM nel tuo account di utilizzare la chiave per leggere i log crittografati nel relativo bucket S3.

Nella policy chiave, abiliti le autorizzazioni di decrittografia dei CloudTrail log per l'utente Bob. IAM

KMSdichiarazione politica chiave:

{
  "Sid": "Enable CloudTrail log decrypt permissions",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111111111111:user/Bob"
  },
  "Action": "kms:Decrypt",
  "Resource": "arn:aws:kms:region:account-id:key/key-id",
  "Condition": {
    "Null": {
      "kms:EncryptionContext:aws:cloudtrail:arn": "false"
    }
  }
}

Consenti agli utenti di altri account di decrittografare i trail log con la tua chiave KMS

Puoi consentire agli utenti di altri account di utilizzare la tua KMS chiave per decrittografare i trail log, ma non i log degli Event Data Store. Le modifiche da apportare alla policy della chiave variano a seconda che il bucket S3 si trovi nel tuo account o in un altro account.

Autorizzazione degli utenti di un bucket in un account diverso a decrittografare i log

Esempio

Questa informativa illustra come consentire a un IAM utente o a un ruolo in un altro account di utilizzare la chiave per leggere i log crittografati da un bucket S3 nell'altro account.

In questo caso, date CloudTrail il permesso di decriptare i log in base all'account 222222222222 e date ad Alice il permesso di IAM usare la vostra chiaveKeyA, che è contenuta nell'account. 111111111111

KMSdichiarazione politica chiave:

{
  "Sid": "Enable encrypted CloudTrail log read access",
  "Effect": "Allow",
  "Principal": {
    "AWS": [
      "arn:aws:iam::222222222222:root"
    ]
  },
  "Action": "kms:Decrypt",
  "Resource": "arn:aws:kms:region:account-id:key/key-id",
  "Condition": {
    "Null": {
      "kms:EncryptionContext:aws:cloudtrail:arn": "false"
    }
  }
}

Dichiarazione sulla politica IAM per gli utenti di Alice:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:Decrypt",
      "Resource": "arn:aws:kms:us-west-2:111111111111:key/KeyA"
    }
  ]
}

Consentire agli utenti in un account diverso di decrittare i log di trail dal bucket

Per abilitare questo scenario, abiliti le autorizzazioni di decrittografia per il IAM ruolo CloudTrailReadRolenel tuo account, quindi concedi all'altro account l'autorizzazione ad assumere quel ruolo.

KMSdichiarazione politica chiave:

{
  "Sid": "Enable encrypted CloudTrail log read access",
  "Effect": "Allow",
  "Principal": {
    "AWS": [
      "arn:aws:iam::11111111111:role/CloudTrailReadRole"
    ]
  },
  "Action": "kms:Decrypt",
  "Resource": "arn:aws:kms:region:account-id:key/key-id",
  "Condition": {
    "Null": {
      "kms:EncryptionContext:aws:cloudtrail:arn": "false"
    }
  }
}

CloudTrailReadRoledichiarazione sulla politica delle entità fiduciarie:

{
 "Version": "2012-10-17",
 "Statement": [
   {
     "Sid": "Allow CloudTrail access",
     "Effect": "Allow",
     "Principal": {
       "AWS": "arn:aws:iam::222222222222:root"
     },
     "Action": "sts:AssumeRole"
    }
  ]
 }

Per informazioni sulla modifica di una politica KMS chiave da utilizzare con CloudTrail, consulta Modifica di una politica chiave nella Guida per gli AWS Key Management Service sviluppatori.

Abilita CloudTrail per descrivere le proprietà KMS chiave

CloudTrail richiede la capacità di descrivere le proprietà della KMS chiave. Per abilitare questa funzionalità, aggiungi la seguente dichiarazione obbligatoria così com'è alla tua politica KMS chiave. Questa dichiarazione non concede CloudTrail alcuna autorizzazione oltre alle altre autorizzazioni specificate.

Come procedura consigliata in materia di sicurezza, aggiungete una chiave di aws:SourceArn condizione alla policy KMS chiave. La chiave di condizione IAM globale aws:SourceArn aiuta a garantire che la KMS chiave venga CloudTrail utilizzata solo per uno o più sentieri specifici.

{
  "Sid": "Allow CloudTrail access",
  "Effect": "Allow",
  "Principal": {
    "Service": "cloudtrail.amazonaws.com"
  },
  "Action": "kms:DescribeKey",
  "Resource": "arn:aws:kms:region:account-id:key/key-id",
  "Condition": {
    "StringEquals": {
        "aws:SourceArn": "arn:aws:cloudtrail:region:account-id:trail/trail-name"
    }
  }
}

Per ulteriori informazioni sulla modifica delle politiche KMS chiave, consulta Modifica di una politica chiave nella Guida per gli AWS Key Management Service sviluppatori.