Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Connessione a AWS Crittografia dei pagamenti tramite un endpoint VPC

Puoi connetterti direttamente alla crittografia dei AWS pagamenti tramite un endpoint di interfaccia privato nel tuo cloud privato virtuale (VPC). Quando utilizzi un endpoint VPC di interfaccia, la comunicazione tra il tuo VPC e AWS Payment Cryptography viene condotta interamente all'interno della rete. AWS

AWS Payment Cryptography supporta gli endpoint Amazon Virtual Private Cloud (Amazon VPC) basati su. AWS PrivateLink Ogni endpoint VPC è rappresentato da una o più interfacce di rete elastiche (ENI) con indirizzi IP privati nelle sottoreti del VPC.

L'endpoint VPC dell'interfaccia collega il tuo VPC direttamente a AWS Payment Cryptography senza un gateway Internet, un dispositivo NAT, una connessione VPN o una connessione. AWS Direct Connect Le istanze del tuo VPC non necessitano di indirizzi IP pubblici per comunicare con Payment Cryptography. AWS

Regioni

AWS Payment Cryptography supporta gli endpoint VPC e le policy sugli endpoint VPC in tutti i casi in cui è supportata la crittografia di pagamento. Regioni AWS AWS

Considerazioni per AWS Endpoint VPC per la crittografia dei pagamenti

Prima di configurare un endpoint VPC di interfaccia per la crittografia dei AWS pagamenti, consulta l'argomento Proprietà e limitazioni degli endpoint di interfaccia nella Guida. AWS PrivateLink

AWS Il supporto per la crittografia dei pagamenti per un endpoint VPC include quanto segue.

Creazione di un endpoint VPC per AWS Crittografia dei pagamenti

Puoi creare un endpoint VPC per la crittografia dei AWS pagamenti utilizzando la console Amazon VPC o l'API Amazon VPC. Per ulteriori informazioni, consulta la sezione Creazione di un endpoint di interfaccia nella Guida per l'utente di AWS PrivateLink .

Per semplificare l'utilizzo dell'endpoint VPC, puoi abilitare un nome DNS privato per l'endpoint VPC. Se si seleziona l'opzione Abilita nome DNS, il nome host DNS standard di AWS Payment Cryptography si risolve nell'endpoint VPC. Ad esempio, https://controlplane.payment-cryptography.us-west-2.amazonaws.com si risolverebbe in un endpoint VPC connesso al nome del servizio com.amazonaws.us-west-2.payment-cryptography.controlplane.

Questa opzione rende più semplice utilizzare l'endpoint VPC. Gli AWS SDK AWS CLI utilizzano il nome host DNS standard di AWS Payment Cryptography per impostazione predefinita, quindi non è necessario specificare l'URL dell'endpoint VPC nelle applicazioni e nei comandi.

Per ulteriori informazioni, consulta la sezione Accesso a un servizio tramite un endpoint di interfaccia nella Guida di AWS PrivateLink .

Connessione a un AWS Endpoint VPC per la crittografia dei pagamenti

Puoi connetterti alla crittografia dei AWS pagamenti tramite l'endpoint VPC utilizzando un SDK, o. AWS AWS CLI AWS Strumenti per PowerShell Per specificare l'endpoint VPC, utilizzare il nome DNS.

Ad esempio, il comando list-keys utilizza il parametro endpoint-url per specificare l'endpoint VPC. Per utilizzare un comando come questo, sostituisci l'ID dell'endpoint VPC con uno presente nel tuo account.

$ aws payment-cryptography list-keys --endpoint-url https://vpce-1234abcdf5678c90a-09p7654s-us-east-1a.ec2.us-east-1.vpce.amazonaws.com

Se hai attivato nomi host privati al momento della creazione dell'endpoint VPC, non è necessario specificare l'URL dell'endpoint VPC nella configurazione dell'applicazione o nei comandi della CLI. Il nome host DNS standard AWS di Payment Cryptography si risolve nell'endpoint VPC. Gli SDK AWS CLI e gli SDK utilizzano questo nome host per impostazione predefinita, quindi puoi iniziare a utilizzare l'endpoint VPC per connetterti a un endpoint regionale di AWS Payment Cryptography senza modificare nulla negli script e nelle applicazioni.

Per utilizzare nomi host privati, gli attributi enableDnsHostnames e enableDnsSupport del VPC devono essere impostati su true. Per impostare questi attributi, utilizzate l'operazione. ModifyVpcAttribute Per informazioni dettagliate, consulta la sezione Visualizzazione e aggiornamento degli attributi DNS per il VPC nella Guida per l'utente di Amazon VPC.

Controllo dell'accesso all'endpoint VPC

Per controllare l'accesso al tuo endpoint VPC per la crittografia dei AWS pagamenti, allega una policy sugli endpoint VPC all'endpoint VPC. La policy sugli endpoint determina se i committenti possono utilizzare l'endpoint VPC per chiamare le operazioni di Payment Cryptography con risorse specifiche di Payment Cryptography. AWS AWS

Puoi creare una policy di endpoint VPC quando crei l'endpoint e puoi modificare la policy di endpoint VPC in qualsiasi momento. Utilizza la console di gestione VPC o le operazioni or. CreateVpcEndpoint ModifyVpcEndpoint Puoi anche creare e modificare una policy per gli endpoint VPC utilizzando un modello. AWS CloudFormation Per informazioni sull'utilizzo della console di gestione VPC, consulta la sezione Creazione di un endpoint di interfaccia e Modifica di un endpoint di interfaccia nella Guida di AWS PrivateLink .

Per informazioni sulla scrittura e sulla formattazione di un documento di policy JSON, consulta la Documentazione di riferimento sulla policy IAM JSON nella Guida per l'utente di IAM.

Informazioni sulle policy di endpoint VPC

Affinché una richiesta AWS di crittografia dei pagamenti che utilizza un endpoint VPC abbia esito positivo, il committente richiede le autorizzazioni di due fonti:

Ad esempio, una policy chiave potrebbe concedere al principale l'autorizzazione a chiamare Decrypt su una particolare chiave di crittografia di pagamento. AWS Tuttavia, la politica degli endpoint VPC potrebbe non consentire al principale di utilizzare le chiavi di crittografia Decrypt dei AWS pagamenti utilizzando l'endpoint.

Oppure una policy sugli endpoint VPC potrebbe consentire a un principale di utilizzare l'endpoint per richiamare determinate chiavi di crittografia dei pagamenti. StopKeyUsage AWS Ma se il principale non dispone delle autorizzazioni previste da una policy IAM, la richiesta ha esito negativo.

Policy di endpoint VPC predefinita

Ogni endpoint VPC dispone di una policy di endpoint VPC, ma non è necessario specificare la policy. Se non specifichi una policy, la policy di endpoint predefinita consente tutte le operazioni effettuate da tutte i principali su tutte le risorse dell'endpoint.

Tuttavia, per le risorse AWS di Payment Cryptography, il principale deve inoltre disporre dell'autorizzazione a richiamare l'operazione da una policy IAM. Pertanto, in pratica, la policy predefinita indica che se un principale dispone dell'autorizzazione per chiamare un'operazione su una risorsa, può anche chiamarla utilizzando l'endpoint.

{
  "Statement": [
    {
      "Action": "*", 
      "Effect": "Allow", 
      "Principal": "*", 
      "Resource": "*"
    }
  ]
}

Per permettere ai principali di utilizzare l'endpoint VPC solo per un sottoinsieme di operazioni consentite, crea o modifica la policy di endpoint VPC.

Creazione di una policy degli endpoint VPC

Una policy di endpoint VPC determina se un principale dispone dell'autorizzazione per utilizzare l'endpoint VPC per eseguire operazioni su una risorsa. Per le risorse AWS di Payment Cryptography, il principale deve inoltre disporre dell'autorizzazione per eseguire le operazioni in base a una policy IAM.

Ogni istruzione della policy di endpoint VPC richiede i seguenti elementi:

L'istruzione della policy non specifica l'endpoint VPC. Si applica invece a qualsiasi endpoint VPC a cui è collegata la policy. Per ulteriori informazioni, consulta Controllo degli accessi ai servizi con endpoint VPC nella Guida per l’utente di Amazon VPC.

Di seguito è riportato un esempio di policy sugli endpoint VPC per AWS la crittografia dei pagamenti. Se collegata a un endpoint VPC, questa politica consente di utilizzare l'endpoint VPC ExampleUser per chiamare le operazioni specificate sulle chiavi di crittografia di pagamento specificate. AWS Prima di utilizzare una policy come questa, sostituisci l'identificatore principale e chiave di esempio con valori validi del tuo account.

{
   "Statement":[
      {
         "Sid": "AllowDecryptAndView",
         "Principal": {"AWS": "arn:aws:iam::111122223333:user/ExampleUser"},
         "Effect":"Allow",
         "Action": [ 
             "payment-cryptography:Decrypt",
             "payment-cryptography:GetKey",  
             "payment-cryptography:ListAliases", 
             "payment-cryptography:ListKeys",
             "payment-cryptography:GetAlias"
          ],
         "Resource": "arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h"
      }
   ]
}

AWS CloudTrail registra tutte le operazioni che utilizzano l'endpoint VPC. Tuttavia, i tuoi CloudTrail registri non includono le operazioni richieste dai titolari in altri account o le operazioni relative alle chiavi di crittografia dei AWS pagamenti in altri account.

Pertanto, potresti voler creare una policy sugli endpoint VPC che impedisca ai titolari degli account esterni di utilizzare l'endpoint VPC per chiamare qualsiasi operazione di crittografia dei AWS pagamenti su qualsiasi chiave dell'account locale.

L'esempio seguente utilizza la chiave di condizione aws: PrincipalAccount global per negare l'accesso a tutti i principali per tutte le operazioni su tutte le chiavi di crittografia dei AWS pagamenti, a meno che il principale non si trovi nell'account locale. Prima di utilizzare una policy come questa, sostituisci l'ID account dell'esempio con uno valido.

{
  "Statement": [
    {
      "Sid": "AccessForASpecificAccount",
      "Principal": {"AWS": "*"},
      "Action": "payment-cryptography:*",
      "Effect": "Deny",
      "Resource": "arn:aws:payment-cryptography:*:111122223333:key/*",
      "Condition": {
        "StringNotEquals": {
          "aws:PrincipalAccount": "111122223333"
        }
      }
    }
  ]
}

Visualizzazione di una policy di endpoint VPC

Per visualizzare la politica degli endpoint VPC per un endpoint, usa la console di gestione VPC o l'operazione. DescribeVpcEndpoints

Il AWS CLI comando seguente ottiene la policy per l'endpoint con l'ID dell'endpoint VPC specificato.

Prima di eseguire questo comando, sostituisci l'ID endpoint dell'esempio con un ID valido del tuo account.

$ aws ec2 describe-vpc-endpoints \
--query 'VpcEndpoints[?VpcEndpointId==`vpce-1234abcdf5678c90a`].[PolicyDocument]'
--output text

Utilizzo di un endpoint VPC in un'istruzione di policy

È possibile controllare l'accesso alle risorse e alle operazioni AWS di Payment Cryptography quando la richiesta proviene da VPC o utilizza un endpoint VPC. A tale scopo, utilizzane una policy IAM AWS Esempi di politiche basate sull'identità della crittografia dei pagamenti

Puoi utilizzare queste chiavi di condizione globali per controllare l'accesso alle chiavi AWS di crittografia di pagamento, agli alias e a operazioni del genere CreateKey che non dipendono da alcuna risorsa particolare.

Ad esempio, la seguente politica chiave di esempio consente a un utente di eseguire particolari operazioni crittografiche con una chiave di crittografia di AWS pagamento solo quando la richiesta utilizza l'endpoint VPC specificato, bloccando l'accesso sia da Internet che dalle connessioni (se configurate AWS PrivateLink ). Quando un utente effettua una richiesta a AWS Payment Cryptography, l'ID dell'endpoint VPC nella richiesta viene confrontato con il valore della chiave di condizione nella aws:sourceVpce policy. Se non corrisponde, la richiesta viene rifiutata.

Per utilizzare una policy come questa, sostituisci l'ID segnaposto e gli Account AWS ID degli endpoint VPC con valori validi per il tuo account.

JSON

{
    "Id": "example-key-1",
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "EnableIAMPolicies",
            "Effect": "Allow",
            "Principal": {
                "AWS": [ 
                    "arn:aws:iam::111122223333:root"
                ]
            },
            "Action": [
                "payment-cryptography:*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "RestrictUsageToMyVPCEndpoint",
            "Effect": "Deny",
            "Principal": "*",
            "Action": [
                "payment-cryptography:EncryptData",
                "payment-cryptography:DecryptData"
            ],
            "Resource": "arn:aws:payment-cryptography:us-east-1:111122223333:key/*",
            "Condition": {
                "StringNotEquals": {
                    "aws:sourceVpce": "vpce-1234abcdf5678c90a"
                }
            }
        }

    ]
}

Puoi anche utilizzare la chiave aws:sourceVpc condizionale per limitare l'accesso alle tue chiavi di crittografia dei AWS pagamenti in base al VPC in cui risiede l'endpoint VPC.

La seguente politica chiave di esempio consente i comandi che gestiscono le chiavi di crittografia dei AWS pagamenti solo quando provengono da. vpc-12345678 Inoltre, consente i comandi che utilizzano le chiavi AWS di crittografia dei pagamenti per operazioni crittografiche solo quando provengono da. vpc-2b2b2b2b Puoi usare una policy come questa se un'applicazione è in esecuzione in un VPC, ma devi utilizzare un secondo VPC separato per le funzioni di gestione.

Per utilizzare una policy come questa, sostituisci l'ID segnaposto e gli Account AWS ID degli endpoint VPC con valori validi per il tuo account.

JSON

{
    "Id": "example-key-2",
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAdminActionsFromVPC12345678",
            "Effect": "Allow",
            "Principal": {
                "AWS": "111122223333"
            },
            "Action": [
               "payment-cryptography:Create*",
               "payment-cryptography:Encrypt*",
               "payment-cryptography:ImportKey*",
               "payment-cryptography:GetParametersForImport*",
               "payment-cryptography:TagResource",
               "payment-cryptography:UntagResource"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:sourceVpc": "vpc-12345678"
                }
            }
        },
        {
            "Sid": "AllowKeyUsageFromVPC2b2b2b2b",
            "Effect": "Allow",
            "Principal": {
                "AWS": "111122223333"
            },
            "Action": [
                "payment-cryptography:Encrypt*",
                "payment-cryptography:Decrypt*"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:sourceVpc": "vpc-2b2b2b2b"
                }
            }
        },
        {
            "Sid": "AllowListReadActionsFromEverywhere",
            "Effect": "Allow",
            "Principal": {
                "AWS": "111122223333"
            },
            "Action": [
                "payment-cryptography:List*",
                "payment-cryptography:Get*"
            ],
            "Resource": "*"
        }
    ]
}

Registrazione dell'endpoint VPC

AWS CloudTrail registra tutte le operazioni che utilizzano l'endpoint VPC. Quando una richiesta a AWS Payment Cryptography utilizza un endpoint VPC, l'ID dell'endpoint VPC viene visualizzato nella voce di registro che registra la AWS CloudTrail richiesta. Puoi utilizzare l'ID dell'endpoint per verificare l'uso del tuo endpoint Payment Cryptography VPC. AWS

Per proteggere il tuo VPC, le richieste che vengono rifiutate da una policy sugli endpoint VPC, ma che altrimenti sarebbero state consentite, non vengono registrate. AWS CloudTrail

Ad esempio, questa voce di log di esempio registra una richiesta GenerateMac che utilizza l'endpoint VPC. Il campo vpcEndpointId viene visualizzato alla fine della voce di log.

{
      "eventVersion": "1.08",
      "userIdentity": {
          "principalId": "TESTXECZ5U9M4LGF2N6Y5:i-98761b8890c09a34a",
          "arn": "arn:aws:sts::111122223333:assumed-role/samplerole/i-98761b8890c09a34a",
          "accountId": "111122223333",
          "accessKeyId": "TESTXECZ5U2ZULLHHMJG",
          "sessionContext": {
              "sessionIssuer": {
                  "type": "Role",
                  "principalId": "TESTXECZ5U9M4LGF2N6Y5",
                  "arn": "arn:aws:iam::111122223333:role/samplerole",
                  "accountId": "111122223333",
                  "userName": "samplerole"
              },
              "webIdFederationData": {},
              "attributes": {
                  "creationDate": "2024-05-27T19:34:10Z",
                  "mfaAuthenticated": "false"
              },
              "ec2RoleDelivery": "2.0"
          }
      },
      "eventTime": "2024-05-27T19:49:54Z",
      "eventSource": "payment-cryptography.amazonaws.com",
      "eventName": "CreateKey",
      "awsRegion": "us-east-1",
      "sourceIPAddress": "172.31.85.253",
      "userAgent": "aws-cli/2.14.5 Python/3.9.16 Linux/6.1.79-99.167.amzn2023.x86_64 source/x86_64.amzn.2023 prompt/off command/payment-cryptography.create-key",
      "requestParameters": {
          "keyAttributes": {
              "keyUsage": "TR31_M1_ISO_9797_1_MAC_KEY",
              "keyClass": "SYMMETRIC_KEY",
              "keyAlgorithm": "TDES_2KEY",
              "keyModesOfUse": {
                  "encrypt": false,
                  "decrypt": false,
                  "wrap": false,
                  "unwrap": false,
                  "generate": true,
                  "sign": false,
                  "verify": true,
                  "deriveKey": false,
                  "noRestrictions": false
              }
          },
          "exportable": true
      },
      "responseElements": {
          "key": {
              "keyArn": "arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h",
              "keyAttributes": {
                  "keyUsage": "TR31_M1_ISO_9797_1_MAC_KEY",
                  "keyClass": "SYMMETRIC_KEY",
                  "keyAlgorithm": "TDES_2KEY",
                  "keyModesOfUse": {
                      "encrypt": false,
                      "decrypt": false,
                      "wrap": false,
                      "unwrap": false,
                      "generate": true,
                      "sign": false,
                      "verify": true,
                      "deriveKey": false,
                      "noRestrictions": false
                  }
              },
              "keyCheckValue": "A486ED",
              "keyCheckValueAlgorithm": "ANSI_X9_24",
              "enabled": true,
              "exportable": true,
              "keyState": "CREATE_COMPLETE",
              "keyOrigin": "AWS_PAYMENT_CRYPTOGRAPHY",
              "createTimestamp": "May 27, 2024, 7:49:54 PM",
              "usageStartTimestamp": "May 27, 2024, 7:49:54 PM"
          }
      },
      "requestID": "f3020b3c-4e86-47f5-808f-14c7a4a99161",
      "eventID": "b87c3d30-f3ab-4131-87e8-bc54cfef9d29",
      "readOnly": false,
      "eventType": "AwsApiCall",
      "managementEvent": true,
      "recipientAccountId": "111122223333",
      "vpcEndpointId": "vpce-1234abcdf5678c90a",
      "eventCategory": "Management",
      "tlsDetails": {
          "tlsVersion": "TLSv1.3",
          "cipherSuite": "TLS_AES_128_GCM_SHA256",
          "clientProvidedHostHeader": "vpce-1234abcdf5678c90a-oo28vrvr.controlplane.payment-cryptography.us-east-1.vpce.amazonaws.com"
      }
  }