Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Crittografia inattiva: come utilizzare le chiavi gestite dal cliente per crittografare le tabelle in Amazon Keyspaces

È possibile utilizzare la console o le istruzioni CQL per specificare leAWS KMS key per le nuove tabelle e aggiornare le chiavi di crittografia delle tabelle esistenti in Amazon Keyspaces. L'argomento seguente illustra come implementare le chiavi gestite dal cliente per tabelle nuove ed esistenti.

Prerequisiti: creare una chiave gestita dal cliente utilizzandoAWS KMS e concedere le autorizzazioni ad Amazon Keyspaces

Prima di poter proteggere una tabella Amazon Keyspaces con una chiave gestita dal cliente, devi prima creare la chiave inAWS Key Management Service (AWS KMS) e quindi autorizzare Amazon Keyspaces a utilizzare quella chiave.

Fase 1: creazione di una chiave gestita dal cliente utilizzandoAWS KMS

Per creare una chiave gestita dal cliente da utilizzare per proteggere una tabella Amazon Keyspaces, puoi seguire i passaggi in Creazione di chiavi KMS con crittografia simmetrica utilizzando la console o l'AWSAPI.

Fase 2: Autorizza l'uso della chiave gestita dal cliente

Prima di poter scegliere una chiave gestita dal cliente per proteggere una tabella Amazon Keyspaces, è necessario che le policy su tale chiave gestita dal cliente forniscano ad Amazon Keyspaces l'autorizzazione per usarla per tuo conto. Hai il pieno controllo sulle policy e sulle concessioni sulla chiave gestita dal cliente. È possibile fornire queste autorizzazioni in una policy chiave, in una policy IAM o mediante una concessione.

Amazon Keyspaces non ha bisogno di ulteriori autorizzazioni per utilizzare la predefinita Chiave di proprietà di AWSper proteggere le tabelle Amazon Keyspaces nel tuoAWS account.

I seguenti argomenti mostrano come configurare le autorizzazioni richieste utilizzando politiche e sovvenzioni IAM che consentono alle tabelle Amazon Keyspaces di utilizzare una chiave gestita dal cliente.

Policy delle chiavi gestite dal cliente

Quando selezioni una chiave gestita dal cliente per proteggere una tabella Amazon Keyspaces, Amazon Keyspaces ottiene l'autorizzazione per utilizzare la chiave gestita dal cliente per conto del principale che effettua la selezione. Tale principale, un utente o un ruolo, deve disporre delle autorizzazioni per la chiave gestita dal cliente richiesta da Amazon Keyspaces.

Le autorizzazioni minime richieste da Amazon Keyspaces per una chiave gestita dal cliente sono:

Esempi di policy delle chiavi

Ad esempio, la policy di chiave di esempio riportata di seguito fornisce solo le autorizzazioni necessarie. La policy ha i seguenti effetti:

Prima di utilizzare una policy di chiave di esempio, sostituisci le entità principali di esempio con le entità effettive nel tuo Account AWS.

{
  "Id": "key-policy-cassandra",
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid" : "Allow access through Amazon Keyspaces for all principals in the account that are authorized to use Amazon Keyspaces",
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::111122223333:user/db-lead"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey",
        "kms:CreateGrant"
      ],
      "Resource": "*",      
      "Condition": { 
         "StringLike": {
           "kms:ViaService" : "cassandra.*.amazonaws.com"
         }
      }
    },
    {
      "Sid":  "Allow administrators to view the customer managed key and revoke grants",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/db-team"
       },
      "Action": [
        "kms:Describe*",
        "kms:Get*",
        "kms:List*",
        "kms:RevokeGrant"
      ],
      "Resource": "*"
    }
  ]
}

Utilizzo di concessioni per autorizzare Amazon Keyspaces

Oltre alle policy delle chiavi, Amazon Keyspaces usa le concessioni per impostare le autorizzazioni per una chiave gestita dal cliente. Per visualizzare le concessioni per una chiave gestita dal cliente nel tuo account, utilizza l'ListGrantsoperazione. Amazon Keyspaces non ha bisogno di concessioni o di autorizzazioni aggiuntive per utilizzare la Chiave di proprietà di AWSper proteggere la tabella.

Amazon Keyspaces usa le autorizzazioni per la concessione quando esegue la manutenzione dei sistemi in background e le attività di protezione dei dati continuative nel tempo. Utilizza inoltre concessioni per generare le chiavi delle tabelle.

Ogni concessione è specifica di una tabella. Se l'account include più tabelle crittografate con la stessa chiave gestita dal cliente, è prevista una concessione di ciascun tipo per ogni tabella. La concessione è vincolata dal contesto di crittografia Amazon Keyspaces, che include il nome della tabella e l'Account AWSID. La concessione include il permesso di ritirare la sovvenzione se non è più necessaria.

Per creare le concessioni, Amazon Keyspaces deve disporre dell'autorizzazione per chiamare perCreateGrant conto dell'utente che ha creato la tabella crittografata.

La policy delle chiavi può anche consentire all'account di revocare la concessione sulla chiave gestita dal cliente. Tuttavia, se revochi la concessione sulla tabella crittografata attiva, Amazon Keyspaces non sarà in grado di proteggere e mantenere la tabella.

Fase 3: specificare una chiave gestita dal cliente per una nuova tabella

Completare la procedura riportata di seguito per specificare la chiave gestita dal cliente su una nuova tabella utilizzando la console Amazon Keyspaces o la chiave CQL.

Creazione di una tabella criptata utilizzando una chiave gestita dal cliente (console)

Crea una nuova tabella utilizzando una chiave gestita dal cliente per la crittografia dei dati inattivi (CQL)

Per creare una nuova tabella che utilizza una chiave gestita dal cliente per la crittografia dei dati inattivi, puoi utilizzare l'CREATE TABLEistruzione come riportato nell'esempio che segue: Assicurati di sostituire la chiave ARN con un ARN per una chiave valida con autorizzazioni concesse ad Amazon Keyspaces.

CREATE TABLE my_keyspace.my_table(id bigint, name text, place text STATIC, PRIMARY KEY(id, name)) WITH CUSTOM_PROPERTIES = {
        'encryption_specification':{
                'encryption_type': 'CUSTOMER_MANAGED_KMS_KEY', 
                'kms_key_identifier':'arn:aws:kms:eu-west-1:5555555555555:key/11111111-1111-111-1111-111111111111'
            }
    };

Se ricevi unaInvalid Request Exception, devi confermare che la chiave gestita dal cliente sia valida e che Amazon Keyspaces disponga delle autorizzazioni richieste. Per confermare che la chiave è stata configurata correttamente, consulta Risoluzione dei problemi di accesso con le chiavi nella Guida per gliAWS Key Management Service sviluppatori.

Fase 4: Aggiornare la chiave di crittografia di una tabella esistente

Puoi utilizzare la console Amazon Keyspaces o la CQL per modificare le chiavi di crittografia di una tabella esistente tra una chiave KMS gestita dal clienteChiave di proprietà di AWS e una chiave KMS gestita dal cliente in qualsiasi momento.

Aggiorna una tabella esistente con la nuova chiave gestita dal cliente (console)

Aggiornamento della chiave di crittografia utilizzata per una tabella esistente

Per modificare la chiave di crittografia di una tabella esistente, si utilizza l'ALTER TABLEistruzione per specificare una chiave gestita dal cliente per la crittografia inattiva. Assicurati di sostituire la chiave ARN con un ARN per una chiave valida con autorizzazioni concesse ad Amazon Keyspaces.

ALTER TABLE my_keyspace.my_table WITH CUSTOM_PROPERTIES = {     
              'encryption_specification':{ 
                      'encryption_type': 'CUSTOMER_MANAGED_KMS_KEY', 
                      'kms_key_identifier':'arn:aws:kms:eu-west-1:5555555555555:key/11111111-1111-111-1111-111111111111'     
                  } 
         };

Se ricevi unaInvalid Request Exception, devi confermare che la chiave gestita dal cliente sia valida e che Amazon Keyspaces disponga delle autorizzazioni richieste. Per confermare che la chiave è stata configurata correttamente, consulta Risoluzione dei problemi di accesso con le chiavi nella Guida per gliAWS Key Management Service sviluppatori.

Per ripristinare la chiave di crittografia all'opzione di crittografia predefinita conChiavi di proprietà di AWS, è possibile utilizzare l'ALTER TABLEistruzione come illustrato nell'esempio seguente.

ALTER TABLE my_keyspace.my_table WITH CUSTOM_PROPERTIES = {
                'encryption_specification':{
                      'encryption_type' : 'AWS_OWNED_KMS_KEY' 
                    } 
         };

Passaggio 5: utilizza il contesto di crittografia Amazon Keyspaces nei log

Un contesto di crittografia è un set di coppie chiave-valore che contiene dati arbitrari non segreti. Quando includi un contesto di crittografia in una richiesta di crittografia dei dati, AWS KMS lega il contesto di crittografia ai dati crittografati, in modo che lo stesso contesto di crittografia sia necessario per decrittografare i dati.

Amazon Keyspaces usa lo stesso contesto di crittografia in tutte le operazioni diAWS KMS crittografia di. Se utilizzi una chiave gestita dal cliente per proteggere la tabella Amazon Keyspaces, puoi utilizzare il contesto di crittografia per identificare l'utilizzo della chiave gestita dal cliente nei record e nei log di audit. Viene inoltre visualizzato nei log in testo chiaro, ad esempio nei log per AWS CloudTraile Amazon CloudWatch Logs.

Nelle sue richieste aAWS KMS, Amazon Keyspaces utilizza un contesto di crittografia con tre coppie chiave-valore.

"encryptionContextSubset": {
    "aws:cassandra:keyspaceName": "my_keyspace",
    "aws:cassandra:tableName": "mytable"
    "aws:cassandra:subscriberId": "111122223333"
}

Fase 6: configura il monitoraggio conAWS CloudTrail

Se utilizzi una chiave gestita dal cliente per proteggere le tabelle Amazon Keyspaces, puoi utilizzareAWS CloudTrail i log per monitorare le richieste inviate da Amazon Keyspaces per tuoAWS KMS conto.

LeGenerateDataKeyDescribeKeyDecrypt, eCreateGrant le richieste sono discusse in questa sezione. Inoltre, Amazon Keyspaces utilizza un'RetireGrantoperazione per rimuovere una concessione quando si elimina una tabella.