Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Protezione dei dati e AWS modello di responsabilità condivisa in Image Builder
Il modello di responsabilità AWS https://aws.amazon.com/compliance/shared-responsibility-model/
Ai fini della protezione dei dati, ti consigliamo di proteggere Account AWS le credenziali e configurare i singoli utenti con Centro identità AWS IAM o AWS Identity and Access Management (IAM). In tal modo, a ogni utente verranno assegnate solo le autorizzazioni necessarie per svolgere i suoi compiti. Suggeriamo, inoltre, di proteggere i dati nei seguenti modi:
-
Utilizza l’autenticazione a più fattori (MFA) con ogni account.
-
SSL/TLS Usalo per comunicare con AWS le risorse. È richiesto TLS 1.2 ed è consigliato TLS 1.3.
-
Configura l'API e la registrazione delle attività degli utenti con AWS CloudTrail. Per informazioni sull'uso dei CloudTrail percorsi per acquisire AWS le attività, consulta Lavorare con i CloudTrail percorsi nella Guida per l'AWS CloudTrail utente.
-
Utilizza soluzioni di AWS crittografia, insieme a tutti i controlli di sicurezza predefiniti all'interno Servizi AWS.
-
Utilizza i servizi di sicurezza gestiti avanzati, come Amazon Macie, che aiutano a individuare e proteggere i dati sensibili archiviati in Amazon S3.
-
Se hai bisogno di moduli crittografici convalidati FIPS 140-3 per l'accesso AWS tramite un'interfaccia a riga di comando o un'API, utilizza un endpoint FIPS. Per ulteriori informazioni sugli endpoint FIPS disponibili, consulta il Federal Information Processing Standard (FIPS) 140-3
.
Ti consigliamo di non inserire mai informazioni riservate o sensibili, ad esempio gli indirizzi e-mail dei clienti, nei tag o nei campi di testo in formato libero, ad esempio nel campo Nome. Ciò include quando lavori con Image Builder o altro Servizi AWS utilizzando la console, l'API o gli SDK. AWS CLI AWS I dati inseriti nei tag o nei campi di testo in formato libero utilizzati per i nomi possono essere utilizzati per i la fatturazione o i log di diagnostica. Quando si fornisce un URL a un server esterno, suggeriamo vivamente di non includere informazioni sulle credenziali nell’URL per convalidare la richiesta al server.
Crittografia e gestione delle chiavi in Image Builder
Per impostazione predefinita, Image Builder crittografa i dati in transito e inattivi con una chiave KMS di proprietà del servizio, ad eccezione di quanto segue:
-
Componenti personalizzati: Image Builder crittografa i componenti personalizzati con la chiave KMS predefinita o una chiave KMS di proprietà del servizio.
-
Flussi di lavoro con immagini: Image Builder può crittografare i flussi di lavoro delle immagini con una chiave gestita dal cliente se si specifica la chiave durante la creazione del flusso di lavoro. Image Builder gestisce la crittografia e la decrittografia con la tua chiave per eseguire i flussi di lavoro che hai configurato per le tue immagini.
Puoi gestire le tue chiavi tramite. AWS KMS Tuttavia, non sei autorizzato a gestire la chiave KMS di Image Builder di proprietà di Image Builder. Per ulteriori informazioni sulla gestione delle chiavi KMS con AWS Key Management Service, consulta Getting Started nella AWS Key Management Service Developer Guide.
Contesto di crittografia
Per fornire un ulteriore controllo dell'integrità e dell'autenticità dei dati crittografati, hai la possibilità di includere un contesto di crittografia quando crittografi i dati. Quando una risorsa è crittografata con un contesto di crittografia, associa AWS KMS crittograficamente il contesto al testo cifrato. La risorsa può essere decrittografata solo se il richiedente fornisce una corrispondenza esatta, con distinzione tra maiuscole e minuscole, per il contesto.
Gli esempi di policy in questa sezione utilizzano un contesto di crittografia simile all'Amazon Resource Name (ARN) di una risorsa del flusso di lavoro di Image Builder.
Crittografa i flussi di lavoro delle immagini con una chiave gestita dal cliente
Per aggiungere un livello di protezione, puoi crittografare le risorse del flusso di lavoro di Image Builder con la tua chiave gestita dal cliente. Se utilizzi la chiave gestita dal cliente per crittografare i flussi di lavoro di Image Builder che crei, devi concedere l'accesso nella policy chiave affinché Image Builder possa utilizzare la tua chiave quando crittografa e decrittografa le risorse del flusso di lavoro. Puoi revocare l'accesso in qualsiasi momento. Tuttavia, Image Builder non avrà accesso ai flussi di lavoro già crittografati se si revoca l'accesso alla chiave.
La procedura per concedere a Image Builder l'accesso all'utilizzo della chiave gestita dal cliente prevede due passaggi, come segue:
Passaggio 1: aggiungere le autorizzazioni politiche chiave per i flussi di lavoro di Image Builder
Per consentire a Image Builder di crittografare e decrittografare le risorse del flusso di lavoro quando crea o utilizza tali flussi di lavoro, è necessario specificare le autorizzazioni nella politica chiave KMS.
Questa politica chiave di esempio consente l'accesso alle pipeline di Image Builder per crittografare le risorse del flusso di lavoro durante il processo di creazione e decrittografare le risorse del flusso di lavoro per utilizzarle. La policy garantisce anche l'accesso agli amministratori chiave. Il contesto di crittografia e le specifiche delle risorse utilizzano un carattere jolly per coprire tutte le regioni in cui sono disponibili risorse per il flusso di lavoro.
Come prerequisito per l'utilizzo dei flussi di lavoro con immagini, hai creato un ruolo di esecuzione del flusso di lavoro IAM che concede l'autorizzazione a Image Builder di eseguire le azioni del flusso di lavoro. Il principio della prima dichiarazione mostrata nell'esempio di policy chiave qui riportato deve specificare il ruolo di esecuzione del flusso di lavoro IAM.
Per ulteriori informazioni sulle chiavi gestite dal cliente, consulta Gestire l'accesso alle chiavi gestite dal cliente nella AWS Key Management Service Developer Guide.
Passaggio 2: concedi l'accesso con chiave al ruolo di esecuzione del flusso di lavoro
Il ruolo IAM che Image Builder assume per eseguire i flussi di lavoro richiede l'autorizzazione per utilizzare la chiave gestita dal cliente. Senza l'accesso alla chiave, Image Builder non sarà in grado di crittografare o decrittografare le risorse del flusso di lavoro con essa.
Modifica la policy per il tuo ruolo di esecuzione del flusso di lavoro per aggiungere la seguente dichiarazione politica.
AWS CloudTrail eventi per i flussi di lavoro relativi alle immagini
Gli esempi seguenti mostrano le AWS CloudTrail voci tipiche per la crittografia e la decrittografia dei flussi di lavoro di immagini archiviate con una chiave gestita dal cliente.
Esempio: GenerateDataKey
Questo esempio mostra come potrebbe apparire un CloudTrail evento quando Image Builder richiama l'azione API dall'azione AWS KMS GenerateDataKey API Image Builder. CreateWorkflow Image Builder deve crittografare un nuovo flusso di lavoro prima di creare la risorsa del flusso di lavoro.
{ "eventVersion": "1.08", "userIdentity": { "type": "AssumedRole", "principalId": "PRINCIPALID1234567890:workflow-role-name", "arn": "arn:aws:sts::111122223333:assumed-role/Admin/workflow-role-name", "accountId": "111122223333", "accessKeyId": "AKIAIOSFODNN7EXAMPLE", "sessionContext": { "sessionIssuer": { "type": "Role", "principalId": "PRINCIPALID1234567890", "arn": "arn:aws:iam::111122223333:role/Admin", "accountId": "111122223333", "userName": "Admin" }, "webIdFederationData": {}, "attributes": { "creationDate": "2023-11-21T20:29:31Z", "mfaAuthenticated": "false" } }, "invokedBy": "imagebuilder.amazonaws.com" }, "eventTime": "2023-11-21T20:31:03Z", "eventSource": "kms.amazonaws.com", "eventName": "GenerateDataKey", "awsRegion": "us-west-2", "sourceIPAddress": "imagebuilder.amazonaws.com", "userAgent": "imagebuilder.amazonaws.com", "requestParameters": { "encryptionContext": { "aws:imagebuilder:arn": "arn:aws:imagebuilder:us-west-2:111122223333:workflow/build/sample-encrypted-workflow/1.0.0/*", "aws-crypto-public-key": "key value" }, "keyId": "arn:aws:kms:us-west-2:111122223333:alias/ExampleKMSKey", "numberOfBytes": 32 }, "responseElements": null, "requestID": "a1b2c3d4-5678-90ab-cdef-EXAMPLEaaaaa", "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111", "readOnly": true, "resources": [ { "accountId": "111122223333", "type": "AWS::KMS::Key", "ARN": "arn:aws:kms:us-west-2:111122223333:key/a1b2c3d4-5678-90ab-cdef-EXAMPLEzzzzz" } ], "eventType": "AwsApiCall", "managementEvent": true, "recipientAccountId": "111122223333", "eventCategory": "Management" }
Esempio: decrittografare
Questo esempio mostra come potrebbe apparire un CloudTrail evento quando Image Builder richiama l'azione API dall'azione AWS KMS Decrypt API Image BuilderGetWorkflow. Le pipeline di Image Builder devono decrittografare una risorsa del flusso di lavoro prima di poterla utilizzare.
{ "eventVersion": "1.08", "userIdentity": { "type": "AssumedRole", "principalId": "PRINCIPALID1234567890:workflow-role-name", "arn": "arn:aws:sts::111122223333:assumed-role/Admin/workflow-role-name", "accountId": "111122223333", "accessKeyId": "AKIAIOSFODNN7EXAMPLE", "sessionContext": { "sessionIssuer": { "type": "Role", "principalId": "PRINCIPALID1234567890", "arn": "arn:aws:iam::111122223333:role/Admin", "accountId": "111122223333", "userName": "Admin" }, "webIdFederationData": {}, "attributes": { "creationDate": "2023-11-21T20:29:31Z", "mfaAuthenticated": "false" } }, "invokedBy": "imagebuilder.amazonaws.com" }, "eventTime": "2023-11-21T20:34:25Z", "eventSource": "kms.amazonaws.com", "eventName": "Decrypt", "awsRegion": "us-west-2", "sourceIPAddress": "imagebuilder.amazonaws.com", "userAgent": "imagebuilder.amazonaws.com", "requestParameters": { "keyId": "arn:aws:kms:us-west-2:111122223333:key/a1b2c3d4-5678-90ab-cdef-EXAMPLEzzzzz", "encryptionAlgorithm": "SYMMETRIC_DEFAULT", "encryptionContext": { "aws:imagebuilder:arn": "arn:aws:imagebuilder:us-west-2:111122223333:workflow/build/sample-encrypted-workflow/1.0.0/*", "aws-crypto-public-key": "ABC123def4567890abc12345678/90dE/F123abcDEF+4567890abc123D+ef1==" } }, "responseElements": null, "requestID": "a1b2c3d4-5678-90ab-cdef-EXAMPLEbbbbb", "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE22222", "readOnly": true, "resources": [ { "accountId": "111122223333", "type": "AWS::KMS::Key", "ARN": "arn:aws:kms:us-west-2:111122223333:key/a1b2c3d4-5678-90ab-cdef-EXAMPLEzzzzz" } ], "eventType": "AwsApiCall", "managementEvent": true, "recipientAccountId": "111122223333", "eventCategory": "Management" }
Memorizzazione dei dati in Image Builder
Image Builder non memorizza nessuno dei tuoi log nel servizio. Tutti i log vengono salvati nell'istanza Amazon EC2 utilizzata per creare l'immagine o nei log di automazione di Systems Manager.
Inter-network Privacy del traffico in Image Builder
Le connessioni sono protette tra Image Builder e le sedi locali, tra AZ all'interno di una AWS regione e tra le AWS regioni tramite HTTPS. Non ci sono connessioni dirette tra gli account.
