Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configura la crittografia lato server per gli artefatti archiviati in Amazon S3 per CodePipeline

Esistono due modi per configurare la crittografia lato server per gli artefatti di Amazon S3:

Se si utilizza la chiave S3 predefinita, non è possibile modificarla o eliminarla. Chiave gestita da AWS Se utilizzi una chiave gestita dal cliente AWS KMS per crittografare o decrittografare gli artefatti nel bucket S3, puoi modificare o ruotare questa chiave gestita dal cliente, se necessario.

Amazon S3 supporta le policy di bucket che puoi utilizzare per la crittografia lato server per tutti gli oggetti archiviati nel bucket. Ad esempio, la seguente policy del bucket nega l'autorizzazione di upload object (s3:PutObject) a tutti se la richiesta non include l'intestazione che richiede la crittografia lato server con. x-amz-server-side-encryption SSE-KMS

JSON

{
    "Version":"2012-10-17",
    "Id": "SSEAndSSLPolicy",
    "Statement": [
        {
            "Sid": "DenyUnEncryptedObjectUploads",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::codepipeline-us-west-2-89050EXAMPLE/*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-server-side-encryption": "aws:kms"
                }
            }
        },
        {
            "Sid": "DenyInsecureConnections",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": "arn:aws:s3:::codepipeline-us-west-2-89050EXAMPLE/*",
            "Condition": {
                "Bool": {
                    "aws:SecureTransport": "false"
                }
            }
        }
    ]
}

Per ulteriori informazioni sulla crittografia lato server e AWS KMS, vedere Protezione dei dati mediante Server-Side crittografia e Protezione dei dati tramite crittografia lato server con chiavi KMS archiviate in (). AWS Key Management Service SSE-KMS

Per ulteriori informazioni, consulta la Guida per gli AWS KMS sviluppatori. AWS Key Management Service

Visualizza la tua Chiave gestita da AWS

Quando utilizzi la procedura guidata Create Pipeline (Crea pipeline) per creare la prima pipeline, un bucket S3 viene automaticamente creato nella stessa regione in cui è stata creata la pipeline. Il bucket viene utilizzato per archiviare gli artefatti pipeline. Quando una pipeline viene eseguita, gli artefatti vengono inseriti nel bucket S3 e recuperati dallo stesso. Per impostazione predefinita, CodePipeline utilizza la crittografia lato server con l' AWS KMS utilizzo Chiave gestita da AWS di Amazon S3 (la aws/s3 chiave). Questo Chiave gestita da AWS viene creato e archiviato nel tuo account. AWS Quando gli artefatti vengono recuperati dal bucket S3, CodePipeline utilizza lo stesso SSE-KMS processo per decrittografare l'artefatto.

Configura la crittografia lato server per i bucket S3 utilizzando CloudFormation o il AWS CLI

Quando si utilizza CloudFormation o AWS CLI per creare una pipeline, è necessario configurare manualmente la crittografia lato server. Utilizza la policy bucket di esempio riportata sopra, quindi crea la tua chiave gestita dal cliente. Puoi anche usare le tue chiavi al posto di Chiave gestita da AWS. Alcuni motivi per scegliere la propria chiave includono:

Le best practice di crittografia scoraggiano il riutilizzo esteso delle chiavi di crittografia. Come best practice, ruota la chiave regolarmente. Per creare nuovo materiale crittografico per AWS KMS le tue chiavi, puoi creare una chiave gestita dal cliente e quindi modificare le applicazioni o gli alias per utilizzare la nuova chiave gestita dal cliente. In alternativa, puoi abilitare la rotazione automatica delle chiavi per una chiave gestita dal cliente esistente.

Per ruotare la chiave gestita dal cliente, consulta Rotazione delle chiavi.