Gestione delle chiavi in AWS IoT FleetWise

AWS Gestione delle chiavi FleetWise nel cloud IoT

Per impostazione predefinita, l' AWS IoT FleetWise utilizza Chiavi gestite da AWS per proteggere i dati in Cloud AWS. Puoi aggiornare le impostazioni per utilizzare una chiave gestita dal cliente per crittografare i dati nell' AWS IoT FleetWise. Puoi creare, gestire e visualizzare la tua chiave di crittografia tramite AWS Key Management Service (AWS KMS).

AWS L'IoT FleetWise supporta la crittografia lato server con chiavi gestite dal cliente archiviate AWS KMS per crittografare i dati per le seguenti risorse.

Per ulteriori informazioni, vedi Che cos'è AWS Key Management Service? nella Guida per AWS Key Management Service gli sviluppatori.

Abilita la crittografia utilizzando le chiavi KMS (console)

Per utilizzare le chiavi gestite dal cliente con l' AWS IoT FleetWise, è necessario aggiornare FleetWise le impostazioni AWS IoT.

Abilita la crittografia utilizzando le chiavi KMS (AWS CLI)

Puoi utilizzare l'operazione PutEncryptionConfiguration API per abilitare la crittografia per il tuo FleetWise account AWS IoT. L'esempio seguente utilizza AWS CLI.

Per abilitare la crittografia, esegui il comando seguente.

aws iotfleetwise put-encryption-configuration \
      --encryption-type KMS_BASED_ENCRYPTION \
      --kms-key-id kms_key_id

{
 "kmsKeyId": "customer_kms_key_id",
 "encryptionStatus": "PENDING",
 "encryptionType": "KMS_BASED_ENCRYPTION"
}

Policy della chiave KMS

Dopo aver creato una chiave KMS, devi almeno aggiungere la seguente dichiarazione alla tua policy chiave KMS affinché funzioni con IoT. AWS FleetWise Il principio del FleetWise servizio AWS IoT contenuto iotfleetwise.amazonaws.com nella dichiarazione sulla politica chiave del KMS consente FleetWise all' AWS IoT di accedere alla chiave KMS.

{
  "Sid": "Allow FleetWise to encrypt and decrypt data when customer managed KMS key based encryption is enabled",
  "Effect": "Allow",
  "Principal": {
    "Service": "iotfleetwise.amazonaws.com"
  },
  "Action": [
    "kms:GenerateDataKey*",
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:DescribeKey",
    "kms:CreateGrant",
    "kms:RetireGrant",
    "kms:RevokeGrant"
  ],
  "Resource": "*"
}

Come best practice di sicurezza, aggiungi aws:SourceArn e aws:SourceAccount condiziona le chiavi alla policy delle chiavi del KMS. La chiave di condizione globale IAM aws:SourceArn aiuta a garantire che AWS IoT FleetWise utilizzi la chiave KMS solo per le risorse Amazon Resource Names (ARN) specifiche del servizio.

Se imposti il valore diaws:SourceArn, deve sempre esserlo. arn:aws:iotfleetwise:us-east-1:account_id:* Ciò consente alla chiave KMS di accedere a tutte le FleetWise risorse AWS IoT a tale Account AWS scopo. AWS L'IoT FleetWise supporta una chiave KMS per account per tutte le risorse in esso contenute. Regione AWS L'utilizzo di qualsiasi altro valore o il SourceArn mancato utilizzo del carattere jolly (*) per il campo delle risorse ARN impedisce all' AWS IoT di accedere alla FleetWise chiave KMS.

Il valore di aws:SourceAccount è l'ID del tuo account, che viene utilizzato per limitare ulteriormente la chiave KMS in modo che possa essere utilizzata solo per il tuo account specifico. Se aggiungi aws:SourceAccount e aws:SourceArn condiziona le chiavi alla chiave KMS, assicurati che la chiave non sia utilizzata da nessun altro servizio o account. Questo aiuta a evitare guasti.

La seguente politica include l'entità del servizio (un identificatore di un servizio) aws:SourceAccount e una aws:SourceArn configurazione per l'uso in base all'ID dell'account Regione AWS e all'ID dell'account.

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {
    "Service": "iotfleetwise.amazonaws.com"
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*",
    "kms:DescribeKey"
  ],
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "aws:SourceAccount": "AWS-account-ID"
    },
    "ArnLike": {
      "aws:SourceArn": "arn:aws:iotfleetwise:region:AWS-account-ID:*"
    }
  }
}

Per ulteriori informazioni sulla modifica di una politica chiave KMS da utilizzare con AWS IoT FleetWise, consulta Modifica di una politica chiave nella Guida per gli AWS Key Management Service sviluppatori.

Autorizzazioni per AWS KMS crittografia

Se hai abilitato AWS KMS la crittografia, devi specificare le autorizzazioni nella policy del ruolo in modo da poter chiamare le API AWS IoT FleetWise . La seguente policy consente l'accesso a tutte le FleetWise azioni AWS IoT, oltre a autorizzazioni AWS KMS specifiche.

La seguente dichiarazione politica è necessaria affinché il ruolo dell'utente richiami le API di crittografia. Questa dichiarazione politica consente PutEncryptionConfiguration GetEncryptionConfiguration azioni da parte AWS dell'IoT. FleetWise

Recupero dopo AWS KMS cancellazione della chiave

Se elimini una AWS KMS chiave dopo aver abilitato la crittografia con AWS IoT FleetWise, devi reimpostare il tuo account eliminando tutti i dati prima di utilizzare nuovamente l' AWS IoT FleetWise . Puoi utilizzare le operazioni relative all'elenco e all'eliminazione delle API per ripulire le risorse del tuo account.

È necessario pulire le risorse nel seguente ordine.