Crittografia dei dati inattivi Crittografia in transito ed elaborazione In che modo Amazon Forecast utilizza le sovvenzioni in AWS KMS Creazione di una chiave gestita dal cliente Monitoraggio delle chiavi di crittografia per Amazon Forecast Service

Protezione dei dati in Amazon Forecast

Il modello di responsabilità AWS https://aws.amazon.com/compliance/shared-responsibility-model/ si applica alla protezione dei dati in Amazon Forecast. Come descritto in questo modello, AWS è responsabile della protezione dell'infrastruttura globale che gestisce tutti i Cloud AWS. L’utente è responsabile del controllo dei contenuti ospitati su questa infrastruttura. L’utente è inoltre responsabile della configurazione della protezione e delle attività di gestione per i Servizi AWS utilizzati. Per ulteriori informazioni sulla privacy dei dati, vedi Domande frequenti sulla privacy dei dati Termini legali della regione . Per ulteriori informazioni sulla protezione dei dati in Europa, consulta il Centro generale sulla protezione dei dati (GDPR).

Ai fini della protezione dei dati, ti consigliamo di proteggere Account AWS le credenziali e configurare i singoli utenti con Centro identità AWS IAM o AWS Identity and Access Management (IAM). In tal modo, a ogni utente verranno assegnate solo le autorizzazioni necessarie per svolgere i suoi compiti. Suggeriamo, inoltre, di proteggere i dati nei seguenti modi:

Utilizza l’autenticazione a più fattori (MFA) con ogni account.
SSL/TLS Usalo per comunicare con AWS le risorse. È richiesto TLS 1.2 ed è consigliato TLS 1.3.
Configura l'API e la registrazione delle attività degli utenti con AWS CloudTrail. Per informazioni sull'uso dei CloudTrail percorsi per acquisire AWS le attività, consulta Lavorare con i CloudTrail percorsi nella Guida per l'AWS CloudTrail utente.
Utilizza soluzioni di AWS crittografia, insieme a tutti i controlli di sicurezza predefiniti all'interno Servizi AWS.
Utilizza i servizi di sicurezza gestiti avanzati, come Amazon Macie, che aiutano a individuare e proteggere i dati sensibili archiviati in Amazon S3.
Se hai bisogno di moduli crittografici convalidati FIPS 140-3 per l'accesso AWS tramite un'interfaccia a riga di comando o un'API, utilizza un endpoint FIPS. Per ulteriori informazioni sugli endpoint FIPS disponibili, consulta il Federal Information Processing Standard (FIPS) 140-3.

Ti consigliamo di non inserire mai informazioni riservate o sensibili, ad esempio gli indirizzi e-mail dei clienti, nei tag o nei campi di testo in formato libero, ad esempio nel campo Nome. Ciò include quando lavori con Forecast o altro Servizi AWS utilizzando la console, l'API o gli SDK. AWS CLI AWS I dati inseriti nei tag o nei campi di testo in formato libero utilizzati per i nomi possono essere utilizzati per i la fatturazione o i log di diagnostica. Quando si fornisce un URL a un server esterno, suggeriamo vivamente di non includere informazioni sulle credenziali nell’URL per convalidare la richiesta al server.

Crittografia dei dati inattivi

In Amazon Forecast la configurazione della crittografia viene fornita durante le CreatePredictor operazioni di CreateDataset and. Se nell'operazione viene fornita la configurazione di crittografia, nell' CreateDataset operazione viene utilizzato il ruolo CMK e IAM per la CreateDatasetImportJob crittografia a riposo.

Ad esempio, se fornisci le tue chiavi KMSKeyArn e a RoleArn nella EncryptionConfig dichiarazione dell' CreateDataset operazione, Forecast assumerà quel ruolo e utilizzerà la chiave per crittografare il set di dati. Se non viene fornita alcuna configurazione, Forecast utilizza le chiavi di servizio predefinite per la crittografia. Inoltre, se si forniscono le EncryptionConfig informazioni per l' CreatePredictor operazione, tutte le operazioni successive, ad esempio CreateForecast e CreatePredictorExplanability CreatePredictorBacktestExportJob, utilizzeranno la stessa configurazione per eseguire la crittografia a riposo. Anche in questo caso, se non si fornisce una configurazione di crittografia, Forecast utilizzerà la crittografia del servizio predefinita.

Per tutti i dati archiviati nel tuo bucket Amazon S3, i dati vengono crittografati dalla chiave Amazon S3 predefinita. Puoi anche utilizzare la tua AWS KMS chiave per crittografare i dati e consentire a Forecast di accedere a questa chiave. Per informazioni sulla crittografia dei dati in Amazon S3, consulta Protecting data using encryption. Per informazioni sulla gestione della tua AWS KMS chiave, consulta Managing keys nella AWS Key Management Service Developer Guide.

Crittografia in transito ed elaborazione

Amazon Forecast utilizza TLS con AWS certificati per crittografare tutti i dati inviati ad altri AWS servizi. Qualsiasi comunicazione con altri AWS servizi avviene tramite HTTPS e gli endpoint Forecast supportano solo connessioni sicure tramite HTTPS.

Amazon Forecast copia i dati dal tuo account e li elabora in un AWS sistema interno. Durante l'elaborazione dei dati, Forecast crittografa i dati con una AWS KMS chiave Forecast o qualsiasi AWS KMS chiave fornita.

In che modo Amazon Forecast utilizza le sovvenzioni in AWS KMS

Amazon Forecast richiede una sovvenzione per utilizzare la chiave gestita dal cliente.

Forecast crea una concessione utilizzando il ruolo IAM passato durante EncryptionConfig l'CreateDatasetoperazione CreatePredictor or. Forecast assume il ruolo ed esegue un'operazione di creazione di concessione per tuo conto. Vedi Configurazione del ruolo IAM per maggiori dettagli.

Tuttavia, quando crei un predittore crittografato con una chiave gestita dal cliente, Amazon Forecast crea una sovvenzione per tuo conto inviando una CreateGrant richiesta a AWS KMS. Le sovvenzioni AWS KMS vengono utilizzate per consentire ad Amazon Forecast di accedere a una AWS KMS chiave in un account cliente.

Amazon Forecast richiede la concessione per poter utilizzare la chiave gestita dal cliente per inviare richieste Decrypt a e leggere gli AWS KMS artefatti del set di dati crittografato. Forecast utilizza la concessione anche per inviare GenerateDataKey richieste al fine di crittografare gli AWS KMS artefatti di formazione ad Amazon S3.

Puoi revocare l'accesso alla concessione o rimuovere l'accesso del servizio alla chiave gestita dal cliente in qualsiasi momento. In tal caso, Amazon Forecast non sarà in grado di accedere a nessuno dei dati crittografati dalla chiave gestita dal cliente, il che influisce sulle operazioni che dipendono da tali dati. Ad esempio, se tenti di eseguire l' CreateForecast operazione su un predittore crittografato a cui Amazon Forecast non può accedere, l'operazione restituirà un AccessDeniedException errore.

Creazione di una chiave gestita dal cliente

Puoi creare una chiave simmetrica gestita dal cliente utilizzando Console di gestione AWS o l'API. AWS KMS Per creare una chiave simmetrica gestita dal cliente, segui i passaggi per la creazione di una chiave simmetrica gestita dal cliente nella Guida per gli sviluppatori. AWS Key Management Service

Le policy della chiave controllano l’accesso alla chiave gestita dal cliente. Ogni chiave gestita dal cliente deve avere esattamente una policy della chiave, che contiene istruzioni che determinano chi può usare la chiave e come la possono usare. Quando crei la chiave gestita dal cliente, è possibile specificare una policy della chiave. Per ulteriori informazioni, consulta Gestione dell'accesso alle chiavi gestite dal cliente nella Guida per gli sviluppatori di AWS Key Management Service .

Per utilizzare la tua chiave gestita dal cliente con le risorse di Amazon Forecast, le seguenti operazioni API devono essere consentite nella policy chiave:

kms: DescribeKey — Fornisce i dettagli chiave gestiti dal cliente che consentono ad Amazon Forecast di convalidare la chiave.
kms: CreateGrant — Aggiunge una concessione a una chiave gestita dal cliente. Le concessioni controllano l'accesso a una AWS KMS chiave specificata, che consente l'accesso alle operazioni di concessione richieste da Amazon Forecast. Questa operazione consente ad Amazon Forecast di GenerateDataKey chiamare per generare una chiave dati crittografata e archiviarla, poiché la chiave dati non viene utilizzata immediatamente per la crittografia. Inoltre, l'operazione consente ad Amazon Forecast di chiamare Decrypt in modo da poter utilizzare la chiave di dati crittografata archiviata e accedere ai dati crittografati.
kms: RetireGrant - Ritira tutte le sovvenzioni fornite durante l'CreateGrantoperazione una volta completata l'operazione.

Nota

Amazon Forecast esegue kms:Decrypt una kms:GenerateDataKey convalida sull'identità del chiamante. Riceverai un avviso AccessDeniedException nel caso in cui il chiamante non disponga delle autorizzazioni pertinenti. La politica chiave dovrebbe inoltre assomigliare al seguente codice:


"Effect": "Allow",
"Principal": {
    "AWS": “AWS Invoking Identity”
},
"Action": [
    "kms:Decrypt",
    "kms:GenerateDataKey”
    ],
    "Resource": "*"
}

Per maggiori dettagli, consulta IAM Policy.

Di seguito sono riportati alcuni esempi di dichiarazioni politiche che puoi aggiungere per Amazon Forecast. Queste sono le autorizzazioni minime richieste, che possono essere aggiunte anche utilizzando le politiche IAM.


  "Statement" : [ 
    {"Sid" : "Allow access to principals authorized to use Amazon Forecast",
      "Effect" : "Allow",
      "Principal" : {"AWS" : "arn:aws:iam::111122223333:role/ROLE_PASSED_TO_FORECAST"
      },
      "Action" : [ 
        "kms:DescribeKey", 
        "kms:CreateGrant",
        "kms:RetireGrant"
      ],
      "Resource" : "*",
      "Condition" : {"StringEquals" : {"kms:ViaService" : "forecast.region.amazonaws.com",
          "kms:CallerAccount" : "111122223333"
        }
    },
    {"Sid": "Allow access for key administrators",
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::111122223333:root"
       },
      "Action" : [ 
        "kms:*"
       ],
      "Resource": "arn:aws:kms:region:111122223333:key/key_ID"
    }
  ]

Consulta la Guida per gli AWS Key Management Service sviluppatori per ulteriori informazioni sulla specificazione delle autorizzazioni in una policy e sulla risoluzione dei problemi di accesso con chiave.

Monitoraggio delle chiavi di crittografia per Amazon Forecast Service

Quando utilizzi una chiave gestita AWS KMS dal cliente con le tue risorse Amazon Forecast Service, puoi utilizzare AWS CloudTrail Amazon CloudWatch Logs per tenere traccia delle richieste inviate a Forecast AWS KMS. I seguenti esempi sono AWS CloudTrail eventi per CreateGrant e per DescribeKey monitorare AWS KMS le operazioni chiamate da Amazon Forecast per accedere ai dati crittografati dalla chiave gestita dal cliente. RetireGrant

DescribeKey


{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-10-05T21:16:23Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2022-10-05T21:16:23Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "DescribeKey",
    "awsRegion": "region",
    "sourceIPAddress": "172.12.34.56",
    "userAgent": "ExampleDesktop/1.0 (V1; OS)",
    "requestParameters": {
        "keyId": "arn:aws:kms:region:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "responseElements": null,
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:region:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES256-GCM-SHA384",
        "clientProvidedHostHeader": "kms.region.amazonaws.com"
    }
}

CreateGrant


{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-10-05T23:10:27Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2022-10-05T23:10:27Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "CreateGrant",
    "awsRegion": "region",
    "sourceIPAddress": "172.12.34.56",
    "userAgent": "ExampleDesktop/1.0 (V1; OS)",
    "requestParameters": {
        "operations": [
            "Decrypt",
            "GenerateDataKey"
        ],
        "granteePrincipal": "AWS Internal",
        "keyId": "arn:aws:kms:region:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "responseElements": {
        "grantId": "0ab0ac0d0b000f00ea00cc0a0e00fc00bce000c000f0000000c0bc0a0000aaafSAMPLE"
    },
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:region:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES256-GCM-SHA384",
        "clientProvidedHostHeader": "kms.region.amazonaws.com"
    }
}

RetireGrant


{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2022-10-06T04:56:14Z",
                "mfaAuthenticated": "false"
            }
        }
    },
    "eventTime": "2022-10-06T04:56:14Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "RetireGrant",
    "awsRegion": "region",
    "sourceIPAddress": "172.12.34.56",
    "userAgent": "ExampleDesktop/1.0 (V1; OS)",
    "requestParameters": null,
    "responseElements": null,
    "additionalEventData": {
        "grantId": "0ab0ac0d0b000f00ea00cc0a0e00fc00bce000c000f0000000c0bc0a0000aaafSAMPLE"
    },
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:region:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "ECDHE-RSA-AES256-GCM-SHA384",
        "clientProvidedHostHeader": "kms.region.amazonaws.com"
    }
}

Avvertimento JavaScript è disabilitato o non è disponibile nel tuo browser.

Per usare la documentazione AWS, JavaScript deve essere abilitato. Consulta le pagine della guida del browser per le istruzioni.

Convenzioni dei documenti

Sicurezza

Identity and Access Management