Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà. # Politica chiave KMS richiesta per l'utilizzo con volumi EBS crittografati in AWS 2 PEZZI AWS PCS utilizza ruoli [ collegati ai servizi per ](service-linked-roles.md) delegare le autorizzazioni ad altri. Servizi AWS Il ruolo collegato ai servizi AWS PCS è predefinito e include le autorizzazioni richieste da AWS PCS per chiamare altri per conto dell'utente. Servizi AWS Le autorizzazioni predefinite includono anche l'accesso alle chiavi gestite dal cliente Chiavi gestite da AWS ma non alle chiavi gestite dal cliente. Questo argomento descrive come impostare la policy chiave richiesta per avviare le istanze quando si specifica una chiave gestita dal cliente per la crittografia di Amazon EBS. **Nota** AWS PCS non richiede autorizzazioni aggiuntive per utilizzare l'impostazione predefinita Chiave gestita da AWS per proteggere i volumi crittografati nel tuo account. **Contents** + [Panoramica di](#overview) + [Configurare le policy chiave](#configuring-key-policies) + [Esempio 1: sezioni delle policy delle chiavi che permettono l'accesso alla chiave gestita dal cliente](#policy-example-cmk-access) + [Esempio 2: sezioni delle policy delle chiavi che permettono l'accesso multiaccount alla chiave gestita dal cliente](#policy-example-cmk-cross-account-access) + [Modifica le politiche chiave in AWS KMS console](#eding-key-policies-console) ## Panoramica di Puoi utilizzare quanto segue AWS KMS keys per la crittografia di Amazon EBS quando AWS PCS avvia le istanze: + [Chiave gestita da AWS](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#aws-managed-cmk)— Una chiave di crittografia nel tuo account che Amazon EBS crea, possiede e gestisce. Questa è la chiave di crittografia di default per un nuovo account. Amazon EBS utilizza la Chiave gestita da AWS crittografia a meno che tu non specifichi una chiave gestita dal cliente. + [Chiave gestita dal cliente](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#customer-cmk): una chiave di crittografia personalizzata che l’utente crea, possiede e gestisce. Per ulteriori informazioni, consulta [ Create a KMS ](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html) nella *AWS Key Management Service Developer Guide. * **Nota** La chiave deve essere simmetrica. Amazon EBS non supporta chiavi asimmetriche gestite dal cliente. Le chiavi gestite dal cliente vengono configurate quando si creano istantanee crittografate o un modello di avvio che specifica i volumi crittografati, oppure quando si sceglie di abilitare la crittografia per impostazione predefinita. ## Configurare le policy chiave Le tue chiavi KMS devono avere una policy chiave che consenta a AWS PCS di avviare istanze con volumi Amazon EBS crittografati con una chiave gestita dal cliente. Utilizza gli esempi in questa pagina per configurare una policy chiave per consentire a AWS PCS di accedere alla chiave gestita dal cliente. È possibile modificare la politica delle chiavi gestite dal cliente al momento della creazione della chiave o in un secondo momento. La politica chiave deve contenere le seguenti dichiarazioni: + Una dichiarazione che consente all'identità IAM specificata nell'`Principal`elemento di utilizzare direttamente la chiave gestita dal cliente. Include le autorizzazioni per eseguire le `DescribeKey` operazioni AWS KMS `Encrypt` `Decrypt` `ReEncrypt*``GenerateDataKey*`,, e sulla chiave. + Una dichiarazione che consente all'identità IAM specificata nell'`Principal`elemento di utilizzare l'`CreateGrant`operazione per generare concessioni a cui delegare un sottoinsieme delle proprie autorizzazioni integrate con o con un Servizi AWS altro principale. AWS KMS Questo permette di utilizzare la chiave per creare le risorse crittografate per te. Non modificate alcuna dichiarazione esistente nella policy quando aggiungete le nuove dichiarazioni politiche alla vostra policy chiave. Per ulteriori informazioni, consulta: + [create-key ](https://docs.aws.amazon.com/cli/latest/reference/kms/create-key.html) nel Command Reference *AWS CLI * + [https://docs.aws.amazon.com/cli/latest/reference/kms/put-key-policy.html](https://docs.aws.amazon.com/cli/latest/reference/kms/put-key-policy.html)put-key-policy nel Command Reference *AWS CLI * + [Trova l'ID della chiave e l'](https://docs.aws.amazon.com/kms/latest/developerguide/find-cmk-id-arn.html)ARN della chiave nella Guida per gli sviluppatori *AWS Key Management Service * + [Service-linked ruoli per AWS 2 PEZZI](service-linked-roles.md) + [Crittografia Amazon EBS ](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-encryption.html) nella Guida per l'utente di * Amazon EBS * + [AWS Key Management Service](https://docs.aws.amazon.com/kms/latest/developerguide/)nella Guida per gli sviluppatori *AWS Key Management Service * ## Esempio 1: sezioni delle policy delle chiavi che permettono l'accesso alla chiave gestita dal cliente Aggiungi le seguenti dichiarazioni politiche alla politica chiave della chiave gestita dal cliente. Sostituisci l'ARN di esempio con l'ARN del tuo ruolo collegato al `AWSServiceRoleForPCS` servizio. Questa politica di esempio fornisce al ruolo collegato al servizio AWS PCS le autorizzazioni per utilizzare la chiave `AWSServiceRoleForPCS` gestita dal cliente. ``` { "Sid": "Allow service-linked role use of the customer managed key", "Effect": "Allow", "Principal": { "AWS": [ "arn:aws:iam::{{account-id}}:role/aws-service-role/pcs.amazonaws.com/AWSServiceRoleForPCS" ] }, "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms:GenerateDataKey*", "kms:DescribeKey" ], "Resource": "*" } ``` ``` { "Sid": "Allow attachment of persistent resources", "Effect": "Allow", "Principal": { "AWS": [ "arn:aws:iam::{{account-id}}:role/aws-service-role/pcs.amazonaws.com/AWSServiceRoleForPCS" ] }, "Action": [ "kms:CreateGrant" ], "Resource": "*", "Condition": { "Bool": { "kms:GrantIsForAWSResource": true } } } ``` ## Esempio 2: sezioni delle policy delle chiavi che permettono l'accesso multiaccount alla chiave gestita dal cliente Se si crea una chiave gestita dal cliente in un account diverso da quello del cluster AWS PCS, è necessario utilizzare una ** concessione ** in combinazione con la policy chiave per consentire l'accesso alla chiave tra account. **Per concedere l'accesso alla chiave** 1. Aggiungi le seguenti dichiarazioni politiche alla politica chiave della chiave gestita dal cliente. Sostituisci l'ARN di esempio con l'ARN dell'altro account. Sostituiscilo {{111122223333}} con l'ID effettivo dell'account in Account AWS cui desideri creare il cluster AWS PCS. Ciò permette di dare a un utente o ruolo IAM dell'account specificato l'autorizzazione a creare una concessione per la chiave utilizzando il comando CLI che segue. Per impostazione predefinita, gli utenti non hanno accesso alla chiave. ``` {. "Sid": "Allow external account {{111122223333}} use of the customer managed key", "Effect": "Allow", "Principal": { "AWS": [ "arn:aws:iam::{{111122223333}}:root" ] }, "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms:GenerateDataKey*", "kms:DescribeKey" ], "Resource": "*" } ``` ``` { "Sid": "Allow attachment of persistent resources in external account {{111122223333}}", "Effect": "Allow", "Principal": { "AWS": [ "arn:aws:iam::{{111122223333}}:root" ] }, "Action": [ "kms:CreateGrant" ], "Resource": "*" } ``` 1. Dall'account in cui desideri creare il cluster AWS PCS, crea una concessione che deleghi le autorizzazioni pertinenti al ruolo collegato al servizio AWS PCS. Il valore di `grantee-principal` è l'ARN del ruolo collegato al servizio. Il valore di `key-id` è l'ARN della chiave. L'esempio seguente, il comando [ CLI ](https://docs.aws.amazon.com/cli/latest/reference/kms/create-grant.html) create-grant fornisce al ruolo collegato al servizio indicato `AWSServiceRoleForPCS` nelle {{111122223333}} autorizzazioni dell'account per utilizzare la chiave gestita dal cliente nell'account. {{444455556666}} ``` aws kms create-grant \ --region {{us-west-2}} \ --key-id {{arn:aws:kms:us-west-2:444455556666:key/1a2b3c4d-5e6f-1a2b-3c4d-5e6f1a2b3c4d}} \ --grantee-principal arn:aws:iam::{{111122223333}}:role/aws-service-role/pcs.amazonaws.com/AWSServiceRoleForPCS \ --operations "Encrypt" "Decrypt" "ReEncryptFrom" "ReEncryptTo" "GenerateDataKey" "GenerateDataKeyWithoutPlaintext" "DescribeKey" "CreateGrant" ``` **Nota** L'utente che effettua la richiesta deve disporre delle autorizzazioni per utilizzare l'azione. `kms:CreateGrant` Il seguente esempio di policy IAM consente a un'identità IAM (utente o ruolo) in un account di {{111122223333}} creare una concessione per la chiave di accesso {{444455556666}} gestita dal cliente. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowCreationOfGrantForTheKMSKeyinExternalAccount{{444455556666}}", "Effect": "Allow", "Action": "kms:CreateGrant", "Resource": "{{arn:aws:kms:us-west-2:444455556666:key/1a2b3c4d-5e6f-1a2b-3c4d-5e6f1a2b3c4d}}" } ] } ``` ------ Per ulteriori informazioni sulla creazione di una concessione per una chiave KMS in un diverso Account AWS, consulta [Concessioni in AWS KMS](https://docs.aws.amazon.com/kms/latest/developerguide/grants.html) nella *Guida per gli sviluppatori AWS Key Management Service *. **Importante** Il nome del ruolo collegato al servizio specificato come principale assegnatario deve essere il nome di un ruolo esistente. Dopo aver creato la concessione, per garantire che la concessione consenta a AWS PCS di utilizzare la chiave KMS specificata, non eliminate e ricreate il ruolo collegato al servizio. ## Modifica le politiche chiave in AWS KMS console Gli esempi nelle seguenti sezioni mostrano solo come aggiungere le istruzioni alla policy di una chiave, che è solo uno dei modi per modificare questo tipo di policy. Il modo più semplice per modificare una policy chiave è utilizzare la visualizzazione predefinita della AWS KMS console per le policy chiave e rendere un'identità IAM (utente o ruolo) uno degli utenti * chiave * per la policy chiave appropriata. Per ulteriori informazioni, consulta [ Utilizzo della visualizzazione Console di gestione AWS predefinita ](https://docs.aws.amazon.com/kms/latest/developerguide/key-policy-modifying.html#key-policy-modifying-how-to-console-default-view) nella Guida per gli *AWS Key Management Service sviluppatori*. **avvertimento** Le dichiarazioni dei criteri di visualizzazione predefinite della console includono le autorizzazioni per eseguire AWS KMS `Revoke` operazioni sulla chiave gestita dal cliente. Se revochi una concessione che consentiva Account AWS l'accesso a una chiave gestita dal cliente nel tuo account, gli utenti in questione Account AWS perdono l'accesso ai dati crittografati e alla chiave.