Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Crittografia a riposo: come utilizzare le chiavi gestite dal cliente per crittografare le tabelle in Amazon Keyspaces

Puoi utilizzare la console o CQL le istruzioni AWS KMS key per specificare le nuove tabelle e aggiornare le chiavi di crittografia delle tabelle esistenti in Amazon Keyspaces. Il seguente argomento descrive come implementare le chiavi gestite dal cliente per tabelle nuove ed esistenti.

Prerequisiti: creare una chiave gestita dal cliente utilizzando AWS KMS e concedere le autorizzazioni ad Amazon Keyspaces

Prima di poter proteggere una tabella Amazon Keyspaces con una chiave gestita dal cliente, devi prima creare la chiave in AWS Key Management Service (AWS KMS) e quindi autorizzare Amazon Keyspaces a utilizzare quella chiave.

Passaggio 1: crea una chiave gestita dal cliente utilizzando AWS KMS

Per creare una chiave gestita dal cliente da utilizzare per proteggere una tabella Amazon Keyspaces, puoi seguire i passaggi in Creazione di KMS chiavi di crittografia simmetriche utilizzando la console o il. AWS API

Passaggio 2: autorizza l'uso della chiave gestita dal cliente

Prima di poter scegliere una chiave gestita dal cliente per proteggere una tabella Amazon Keyspaces, le politiche su tale chiave gestita dal cliente devono autorizzare Amazon Keyspaces a utilizzarla per tuo conto. Hai il pieno controllo sulle politiche e sulle concessioni relative alla chiave gestita dal cliente. È possibile fornire queste autorizzazioni in una policy di chiave, in una policy IAM o mediante una concessione.

Amazon Keyspaces non necessita di autorizzazioni aggiuntive per utilizzare l'impostazione predefinita Chiave di proprietà di AWSper proteggere le tabelle Amazon Keyspaces nel tuo account. AWS

I seguenti argomenti mostrano come configurare le autorizzazioni richieste utilizzando IAM politiche e concessioni che consentono alle tabelle Amazon Keyspaces di utilizzare una chiave gestita dal cliente.

Politica chiave per le chiavi gestite dai clienti

Quando selezioni una chiave gestita dal cliente per proteggere una tabella Amazon Keyspaces, Amazon Keyspaces ottiene l'autorizzazione a utilizzare la chiave gestita dal cliente per conto del principale che effettua la selezione. Tale principale, un utente o un ruolo, deve disporre delle autorizzazioni sulla chiave gestita dal cliente richieste da Amazon Keyspaces.

Amazon Keyspaces richiede almeno le seguenti autorizzazioni su una chiave gestita dal cliente:

Esempi di policy delle chiavi

Ad esempio, la policy di chiave di esempio riportata di seguito fornisce solo le autorizzazioni necessarie. La policy ha i seguenti effetti:

Prima di utilizzare una politica chiave di esempio, sostituisci i principali di esempio con i principali effettivi del tuo. Account AWS

{
  "Id": "key-policy-cassandra",
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid" : "Allow access through Amazon Keyspaces for all principals in the account that are authorized to use Amazon Keyspaces",
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::111122223333:user/db-lead"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey",
        "kms:CreateGrant"
      ],
      "Resource": "*",      
      "Condition": { 
         "StringLike": {
           "kms:ViaService" : "cassandra.*.amazonaws.com"
         }
      }
    },
    {
      "Sid":  "Allow administrators to view the customer managed key and revoke grants",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/db-team"
       },
      "Action": [
        "kms:Describe*",
        "kms:Get*",
        "kms:List*",
        "kms:RevokeGrant"
      ],
      "Resource": "*"
    }
  ]
}

Utilizzo delle sovvenzioni per autorizzare Amazon Keyspaces

Oltre alle politiche chiave, Amazon Keyspaces utilizza le concessioni per impostare le autorizzazioni su una chiave gestita dal cliente. Per visualizzare le concessioni della chiave gestita dal cliente nell'account, utilizza l'operazione ListGrants. Amazon Keyspaces non necessita di concessioni o autorizzazioni aggiuntive per utilizzarlo per Chiave di proprietà di AWSproteggere la tabella.

Amazon Keyspaces utilizza le autorizzazioni di concessione quando esegue attività di manutenzione del sistema in background e di protezione continua dei dati. Utilizza inoltre concessioni per generare le chiavi delle tabelle.

Ogni concessione è specifica di una tabella. Se l'account include più tabelle crittografate con la stessa chiave gestita dal cliente, è prevista una concessione di ogni tipo per ogni tabella. La concessione è vincolata dal contesto di crittografia Amazon Keyspaces, che include il nome della tabella e l'ID. Account AWS La concessione include l'autorizzazione a ritirarla se non è più necessaria.

Per creare le concessioni, Amazon Keyspaces deve disporre dell'autorizzazione a effettuare CreateGrant chiamate per conto dell'utente che ha creato la tabella crittografata.

La policy delle chiavi può anche consentire all'account di revocare la concessione sulla chiave gestita dal cliente. Tuttavia, se revochi la concessione su una tabella crittografata attiva, Amazon Keyspaces non sarà in grado di proteggere e mantenere la tabella.

Fase 3: Specificare una chiave gestita dal cliente per una nuova tabella

Segui questi passaggi per specificare la chiave gestita dal cliente su una nuova tabella utilizzando la console Amazon Keyspaces o. CQL

Crea una tabella crittografata utilizzando una chiave gestita dal cliente (console)

Crea una nuova tabella utilizzando una chiave gestita dal cliente per la crittografia a riposo () CQL

Per creare una nuova tabella che utilizza una chiave gestita dal cliente per la crittografia a riposo, è possibile utilizzare l'CREATE TABLEistruzione come illustrato nell'esempio seguente. Assicurati di sostituire la chiave ARN con una ARN chiave valida con autorizzazioni concesse ad Amazon Keyspaces.

CREATE TABLE my_keyspace.my_table(id bigint, name text, place text STATIC, PRIMARY KEY(id, name)) WITH CUSTOM_PROPERTIES = {
        'encryption_specification':{
                'encryption_type': 'CUSTOMER_MANAGED_KMS_KEY', 
                'kms_key_identifier':'arn:aws:kms:eu-west-1:5555555555555:key/11111111-1111-111-1111-111111111111'
            }
    };

Se ne ricevi unaInvalid Request Exception, devi confermare che la chiave gestita dal cliente è valida e che Amazon Keyspaces dispone delle autorizzazioni richieste. Per confermare che la chiave è stata configurata correttamente, consulta Risoluzione dei problemi di accesso tramite chiave nella Guida per gli AWS Key Management Service sviluppatori.

Passaggio 4: Aggiornare la chiave di crittografia di una tabella esistente

Puoi anche utilizzare la console Amazon Keyspaces o CQL modificare le chiavi di crittografia di una tabella esistente tra una Chiave di proprietà di AWS KMS chiave gestita dal cliente in qualsiasi momento.

Aggiorna una tabella esistente con la nuova chiave gestita dal cliente (console)

Aggiorna la chiave di crittografia utilizzata per una tabella esistente

Per modificare la chiave di crittografia di una tabella esistente, si utilizza l'ALTER TABLEistruzione per specificare una chiave gestita dal cliente per la crittografia a riposo. Assicurati di sostituire la chiave ARN con una ARN chiave valida con autorizzazioni concesse ad Amazon Keyspaces.

ALTER TABLE my_keyspace.my_table WITH CUSTOM_PROPERTIES = {     
              'encryption_specification':{ 
                      'encryption_type': 'CUSTOMER_MANAGED_KMS_KEY', 
                      'kms_key_identifier':'arn:aws:kms:eu-west-1:5555555555555:key/11111111-1111-111-1111-111111111111'     
                  } 
         };

Se ne ricevi unaInvalid Request Exception, devi confermare che la chiave gestita dal cliente è valida e che Amazon Keyspaces dispone delle autorizzazioni richieste. Per confermare che la chiave è stata configurata correttamente, consulta Risoluzione dei problemi di accesso tramite chiave nella Guida per gli AWS Key Management Service sviluppatori.

Per riportare la chiave di crittografia all'opzione predefinita di crittografia a riposo con Chiavi di proprietà di AWS, è possibile utilizzare l'ALTER TABLEistruzione come illustrato nell'esempio seguente.

ALTER TABLE my_keyspace.my_table WITH CUSTOM_PROPERTIES = {
                'encryption_specification':{
                      'encryption_type' : 'AWS_OWNED_KMS_KEY' 
                    } 
         };

Fase 5: utilizza il contesto di crittografia Amazon Keyspaces nei log

Un contesto di crittografia è un set di coppie chiave-valore che contiene dati arbitrari non segreti. Quando includi un contesto di crittografia in una richiesta di crittografia dei dati, associa AWS KMS crittograficamente il contesto di crittografia ai dati crittografati. lo stesso contesto di crittografia sia necessario per decrittografare i dati.

Amazon Keyspaces utilizza lo stesso contesto di crittografia in tutte le operazioni AWS KMS crittografiche. Se utilizzi una chiave gestita dal cliente per proteggere la tua tabella Amazon Keyspaces, puoi utilizzare il contesto di crittografia per identificare l'uso della chiave gestita dal cliente nei record e nei log di controllo. Viene inoltre visualizzato in testo non crittografato nei log, ad esempio in logs for e AWS CloudTrailAmazon Logs. CloudWatch

Nelle sue richieste a AWS KMS, Amazon Keyspaces utilizza un contesto di crittografia con tre coppie chiave-valore.

"encryptionContextSubset": {
    "aws:cassandra:keyspaceName": "my_keyspace",
    "aws:cassandra:tableName": "mytable"
    "aws:cassandra:subscriberId": "111122223333"
}

Fase 6: Configurare il monitoraggio con AWS CloudTrail

Se utilizzi una chiave gestita dal cliente per proteggere le tue tabelle Amazon Keyspaces, puoi utilizzare AWS CloudTrail i log per tenere traccia delle richieste a cui Amazon Keyspaces invia per tuo conto. AWS KMS

Le CreateGrant richiesteGenerateDataKey, DescribeKeyDecrypt, e vengono discusse in questa sezione. Inoltre, Amazon Keyspaces utilizza un'RetireGrantoperazione per rimuovere una concessione quando elimini una tabella.