Crittografia AWS Lambda dati di esecuzione durevoli

Grazie a funzioni AWS Lambda durevoli, è possibile creare applicazioni resilienti in più fasi che durano fino a un anno, utilizzando i checkpoint per ripristinare ogni esecuzione dagli errori riproducendo il lavoro completato.

Lambda crittografa sempre i dati di esecuzione durevoli a riposo. Puoi inoltre configurare la tua chiave gestita AWS KMS dal cliente sulla funzione per il controllo della rotazione, la visibilità degli audit o la conformità. Con una chiave gestita dal cliente, solo i committenti autorizzati possono leggere i dati di esecuzione.

Come funziona la crittografia

Un'esecuzione durevole Lambda utilizza la stessa chiave KMS con cui è iniziata per tutta la sua durata. La modifica o la rimozione della chiave sulla funzione ha effetto solo sulle esecuzioni che iniziano dopo la modifica. Scopri Quando la chiave gestita dal cliente non è disponibile come si comporta un'esecuzione duratura quando la sua chiave non è disponibile.

Le chiavi gestite dal cliente sono soggette a costi standard AWS KMS . Per i dettagli sui prezzi, vedere Prezzi di AWS Key Management Service.

Cosa è crittografato

Quando si configura una chiave gestita dal cliente su una funzione durevole, Lambda utilizza tale chiave per crittografare i seguenti dati di esecuzione duratura a riposo:

Configura la crittografia delle chiavi gestita dal cliente

L'impostazione della crittografia delle chiavi gestita dal cliente per una funzione duratura è un processo in tre fasi. Completa i seguenti passaggi in ordine.

Creazione di una chiave gestita dal cliente

Le funzioni durevoli supportano le chiavi KMS di crittografia simmetrica nella stessa AWS regione della funzione. Cross-Region le chiavi non sono supportate. Per creare una chiave simmetrica gestita dal cliente, segui i passaggi per la creazione di chiavi KMS di crittografia simmetrica nella Guida per gli sviluppatori. AWS Key Management Service

Permissions

AWS KMS Le autorizzazioni vengono concesse tramite la politica chiave della chiave KMS.

La configurazione di una chiave gestita dal cliente richiede AWS KMS le autorizzazioni sul principale che crea o aggiorna la funzione. L'invocazione di una funzione durevole non richiede AWS KMS autorizzazioni sul chiamante; Lambda esegue la crittografia con il suo service principal.

Policy della chiave

Le policy della chiave controllano l'accesso alla chiave gestita dal cliente. Ogni chiave gestita dal cliente deve avere esattamente una policy chiave. In una politica chiave, Resource: "*" si riferisce solo alla chiave KMS a cui è associata la politica, non a tutte le chiavi KMS dell'account.

La politica chiave di una funzione durevole concede a ciascun committente solo le AWS KMS azioni di cui ha bisogno, suddivise per servizio e funzione (ARN). Le sezioni seguenti descrivono le dichiarazioni, le condizioni e un esempio completo.

Dichiarazioni politiche obbligatorie

La politica garantisce le seguenti funzionalità:

Come procedura consigliata, utilizzate principi separati per il ruolo di esecuzione, l'autore della funzione e l'operatore di esecuzione durevole in modo che ogni identità abbia solo le funzionalità necessarie.

Condizioni politiche consigliate

La politica utilizza le seguenti condizioni per limitare l'accesso:

L'esempio seguente combina le dichiarazioni e le condizioni precedenti.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Enable IAM User Permissions",
            "Effect": "Allow",
            "Principal": { "AWS": "arn:aws:iam::111122223333:root" },
            "Action": "kms:*",
            "Resource": "*"
        },
        {
            "Sid": "Allow Lambda to use this key for durable functions",
            "Effect": "Allow",
            "Principal": { "Service": "lambda.amazonaws.com" },
            "Action": [ "kms:GenerateDataKey", "kms:Decrypt" ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "111122223333",
                    "aws:SourceArn": "arn:aws:lambda:us-east-1:111122223333:function:myDurableFunction",
                    "kms:EncryptionContext:aws:lambda:FunctionArn": "arn:aws:lambda:us-east-1:111122223333:function:myDurableFunction"
                }
            }
        },
        {
            "Sid": "Allow the function execution role to decrypt durable execution data",
            "Effect": "Allow",
            "Principal": { "AWS": "arn:aws:iam::111122223333:role/myDurableFunctionRole" },
            "Action": "kms:Decrypt",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "lambda.us-east-1.amazonaws.com",
                    "kms:EncryptionContext:aws:lambda:FunctionArn": "arn:aws:lambda:us-east-1:111122223333:function:myDurableFunction"
                }
            }
        },
        {
            "Sid": "Allow the function author to describe this key",
            "Effect": "Allow",
            "Principal": { "AWS": "arn:aws:iam::111122223333:role/FunctionAuthor" },
            "Action": "kms:DescribeKey",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "lambda.us-east-1.amazonaws.com"
                }
            }
        },
        {
            "Sid": "Allow the function author to validate this key for a specific function",
            "Effect": "Allow",
            "Principal": { "AWS": "arn:aws:iam::111122223333:role/FunctionAuthor" },
            "Action": [ "kms:GenerateDataKey", "kms:Decrypt" ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "lambda.us-east-1.amazonaws.com",
                    "kms:EncryptionContext:aws:lambda:FunctionArn": "arn:aws:lambda:us-east-1:111122223333:function:myDurableFunction"
                }
            }
        },
        {
            "Sid": "Allow durable execution operators",
            "Effect": "Allow",
            "Principal": { "AWS": "arn:aws:iam::111122223333:role/DurableExecutionOperator" },
            "Action": "kms:Decrypt",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "lambda.us-east-1.amazonaws.com",
                    "kms:EncryptionContext:aws:lambda:FunctionArn": "arn:aws:lambda:us-east-1:111122223333:function:myDurableFunction"
                }
            }
        }
    ]
}

Per ulteriori informazioni sulle politiche AWS KMS chiave, consulta How to change a key policy nella AWS Key Management Service Developer Guide.

Configura una chiave gestita dal cliente su una funzione duratura

È possibile configurare la chiave gestita dal cliente per dati di esecuzione duraturi tramite il KMSKeyArn campo dell'DurableConfigoggetto. Impostala quando crei la funzione con CreateFunction; aggiornala su una funzione durevole esistente con UpdateFunctionConfiguration.

Lettura di dati di esecuzione durevoli

Due API di lettura restituiscono dati di esecuzione duraturi:

IncludeExecutionDataEntrambe le API accettano un parametro di richiesta. In tal caso IncludeExecutionDatatrue, Lambda utilizza le credenziali del chiamante per richiamare la chiave gestita dal kms:Decrypt cliente. Lambda restituisce quindi i dati di esecuzione decrittografati nella risposta. L'identità del chiamante deve figurare kms:Decrypt sulla chiave gestita dal cliente.

Quando lo IncludeExecutionData èfalse, Lambda non chiama AWS KMS né decrittografa i dati di esecuzione e la risposta è impostata su. ExecutionDataIncluded false La risposta include ancoraDurableConfig, il che fa eco all'ARN chiave gestita dal cliente utilizzata dall'esecuzione. IncludeExecutionDatal'impostazione predefinita èfalse, quindi i chiamanti che necessitano solo di metadati non necessitano di autorizzazioni. AWS KMS

GetDurableExecutionEsempio: risposta con IncludeExecutionData=false

{
    "DurableExecutionArn": "arn:aws:lambda:us-east-1:111122223333:function:myDurableFunction:execution:exec-abc123",
    "DurableExecutionName": "exec-abc123",
    "FunctionArn": "arn:aws:lambda:us-east-1:111122223333:function:myDurableFunction",
    "StartTimestamp": 1733256000,
    "Status": "RUNNING",
    "ExecutionDataIncluded": false,
    "DurableConfig": {
        "ExecutionTimeout": 3600,
        "KMSKeyArn": "arn:aws:kms:us-east-1:111122223333:key/key-id",
        "RetentionPeriodInDays": 30
    }
}

Invocazioni concatenate

Quando una funzione durevole utilizza un richiamo concatenato per chiamare un'altra funzione durevole, Lambda considera l'esecuzione secondaria come un'esecuzione durevole indipendente: ha il proprio ID di esecuzione, il proprio flusso di checkpoint e la propria chiave gestita dal cliente. La configurazione della chiave gestita dal cliente del genitore non ha alcun effetto sui dati del figlio e la configurazione della chiave gestita dal cliente del bambino non ha alcun effetto sui dati del genitore.

Permissions

Il responsabile del servizio Lambda deve avere kms:GenerateDataKey e kms:Decrypt sulla chiave gestita dal cliente della funzione figlio. Se le funzioni padre e figlio utilizzano chiavi gestite dal cliente diverse, concedi al responsabile del servizio l'accesso su ciascuna chiave separatamente. Il ruolo di esecuzione della funzione principale non richiede autorizzazioni sulla chiave gestita dal cliente del figlio.

Identificare quale chiave ha crittografato quale esecuzione

Entrambi GetDurableExecution e ListDurableExecutionsByFunction restituiscono l'ARN della chiave gestita dal cliente che ha crittografato ogni esecuzione. Utilizza queste API per confermare quale chiave era attiva all'avvio di un'esecuzione principale o secondaria.

Caching della chiave dei dati

Per ridurre il volume delle AWS KMS chiamate e migliorare la disponibilità durante le interruzioni del servizio, Lambda memorizza nella cache una chiave di dati generata dalla chiave gestita dal cliente per un massimo di 15 minuti. Mentre la cache è calda, Lambda riutilizza la stessa chiave di dati tra le operazioni all'interno di un'esecuzione e tra le esecuzioni avviate durante la finestra della cache.

Costo

Per-execution AWS KMS il costo rimane basso perché Lambda chiama GenerateDataKey al massimo una volta per finestra di cache, non una volta per checkpoint. A tassi di richiesta elevati, il costo per esecuzione diminuisce ulteriormente perché più esecuzioni condividono ogni chiave di dati memorizzata nella cache. Ti vengono fatturate le AWS KMS chiamate effettivamente effettuate da Lambda, non per ogni checkpoint o lettura.

Stabilità statica

Le chiavi dati rimangono memorizzate nella cache per un massimo di 15 minuti. Le modifiche alla chiave hanno effetto al successivo aggiornamento della cache. Durante le interruzioni prolungate del servizio, Lambda continua a funzionare dalla cache, mantenendo in esecuzione le esecuzioni in corso.

CloudTrail

La memorizzazione nella cache delle chiavi di dati consente di visualizzare meno GenerateDataKey eventi CloudTrail rispetto alle esecuzioni o ai checkpoint. Vedi ad esempio Monitoraggio delle chiavi KMS per funzioni durature eventi.

Quando la chiave gestita dal cliente non è disponibile

Se la chiave gestita dal cliente con cui è iniziata un'esecuzione è disabilitata, è programmata per l'eliminazione o il suo accesso è stato revocato tramite la politica delle chiavi, l'esecuzione non può procedere ulteriormente. Al checkpoint successivo, Lambda fallisce l'esecuzione con un errore non ripetibile. AWS KMS Il ripristino dell'accesso alla chiave non riprende automaticamente l'esecuzione. È necessario iniziare una nuova esecuzione.

Le API che leggono o scrivono payload falliscono anche quando la chiave non è disponibile. Possono restituire una delle seguenti eccezioni:

Il ripristino dell'accesso alla chiave KMS consente a queste API di lettura di avere nuovamente successo per le esecuzioni già fallite. Le esecuzioni non riuscite rimangono fallite; è necessario iniziare una nuova esecuzione.

Per controllare i metadati di esecuzione mentre la chiave KMS non è disponibile, chiama con. GetDurableExecution IncludeExecutionData=false Ciò restituisce lo stato dell'esecuzione, i timestamp e DurableConfig (inclusa la chiave KMS ARN) senza chiamare. AWS KMS

Poiché Lambda memorizza nella cache le chiavi di dati, la disabilitazione di una chiave non ha effetto immediato. Per informazioni dettagliate, vedi Caching della chiave dei dati.

Monitoraggio delle chiavi KMS per funzioni durature

Quando utilizzi una chiave gestita dal cliente con una funzione duratura, puoi utilizzarla AWS CloudTrail per tenere traccia delle AWS KMS chiamate effettuate da Lambda per tuo conto. Per indicazioni generali sulla ricerca AWS KMS degli eventi, consulta Searching AWS KMS API activity.

Per confermare che Lambda stia utilizzando la tua chiave come previsto, cerca questi campi in ogni evento:

Gli esempi seguenti sono CloudTrail gli eventi di una UpdateFunctionConfiguration chiamata CreateFunction or che configura una chiave gestita dal cliente su una funzione durevole. Lambda emette tre AWS KMS chiamate per convalidare la chiave: una vera e una a DescribeKey secco e. GenerateDataKey Decrypt

Argomenti correlati alla crittografia