Utilizza i report di controllo con la tua CA privata

Per creare un report di audit (console)

1. Accedi al tuo AWS account e apri la CA privata AWS console da https://console.aws.amazon.com/acm-pca/casa.

2. Nella pagina Autorizzazioni di certificazione private, scegli la tua CA privata dall'elenco.

3. Dal menu Operazioni scegliere Genera report di audit.

4. In Audit report destination, per Creare un nuovo bucket S3? , scegli Sì e digita un nome di bucket univoco oppure scegli No e scegli un bucket esistente dall'elenco.

   Se scegli Sì, CA privata AWS crea e allega la politica predefinita al tuo bucket. La politica predefinita include una chiave di aws:SourceAccount condizione che limita l'accesso a un account specifico AWS . Se desideri limitare ulteriormente l'accesso, puoi aggiungere altre chiavi di condizione alla politica, come nell'esempio precedente.

   Se scegli No, devi allegare una policy al tuo bucket prima di poter generare un rapporto di controllo. Utilizza il modello di policy descritto inPrepara un bucket Amazon S3 per i report di controllo. Per informazioni su come allegare una policy, consulta Aggiungere una bucket policy usando la console Amazon S3.

5. In Formato di output, scegli JSON JavaScript Object Notation o CSVvalori separati da virgole.

6. Scegliere Generate audit report (Genera report di audit).

Per creare un report di audit (AWS CLI)

1. Se non hai già un bucket S3 da usare, creane uno.

2. Allega una policy al tuo bucket. Utilizza il modello di policy descritto inPrepara un bucket Amazon S3 per i report di controllo. Per informazioni su come allegare una policy, consulta Aggiungere una bucket policy usando la console Amazon S3

3. Usa il comando create-certificate-authority-audit-report per creare il report di audit e inserirlo nel bucket S3 preparato.

   $ aws acm-pca create-certificate-authority-audit-report \
   --certificate-authority-arn arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566 \
   --s3-bucket-name amzn-s3-demo-bucket \
   --audit-report-response-format JSON 

Per configurare la crittografia automatica

Completare la procedura seguente per abilitare la crittografia lato server S3.

1. Apri la console Amazon S3 all'indirizzo. https://console.aws.amazon.com/s3/

2. Nella tabella Bucket, scegli il bucket che conterrà le tue risorse. CA privata AWS

3. Nella pagina relativa al bucket scegliere la scheda Proprietà .

4. Scegliere la scheda di crittografia predefinita.

5. Scegli Abilita .

6. Scegli la chiave Amazon S3 (SSE-S3).

7. Seleziona Salva modifiche.

Per configurare la crittografia personalizzata

Completa i seguenti passaggi per abilitare la crittografia utilizzando una chiave personalizzata.

1. Apri la console Amazon S3 all'indirizzo. https://console.aws.amazon.com/s3/

2. Nella tabella Bucket, scegli il bucket che conterrà le tue risorse. CA privata AWS

3. Nella pagina relativa al bucket scegliere la scheda Proprietà .

4. Scegliere la scheda di crittografia predefinita.

5. Scegli Abilita .

6. Scegli il AWS Key Management Service tasto (SSE-KMS).

7. Scegli tra AWS KMS le tue chiavi o Invio AWS KMS key ARN.

8. Seleziona Salva modifiche.

9. (Facoltativo) Se non disponi già di una KMS chiave, creane una utilizzando il seguente comando AWS CLI create-key:

   $ aws kms create-key

   L'output contiene l'ID della chiave e Amazon Resource Name (ARN) della KMS chiave. Di seguito è riportato un esempio di output:

   {
       "KeyMetadata": {
           "KeyId": "01234567-89ab-cdef-0123-456789abcdef",
           "Description": "",
           "Enabled": true,
           "KeyUsage": "ENCRYPT_DECRYPT",
           "KeyState": "Enabled",
           "CreationDate": 1478910250.94,
           "Arn": "arn:aws:kms:us-west-2:123456789012:key/01234567-89ab-cdef-0123-456789abcdef",
           "AWSAccountId": "123456789012"
       }
   }

10. Utilizzando i passaggi seguenti, si concede al CA privata AWS servizio l'autorizzazione principale a utilizzare la KMS chiave. Per impostazione predefinita, tutte le KMS chiavi sono private; solo il proprietario della risorsa può utilizzare una KMS chiave per crittografare e decrittografare i dati. Tuttavia, il proprietario della risorsa può concedere le autorizzazioni per accedere alla KMS chiave ad altri utenti e risorse. Il responsabile del servizio deve trovarsi nella stessa regione in cui è archiviata la KMS chiave.

    1. Innanzitutto, salvate la politica predefinita per la KMS chiave policy.json utilizzando il seguente get-key-policycomando:

       $ aws kms get-key-policy --key-id key-id --policy-name default --output text > ./policy.json

    2. Apri il file policy.json in un editor di testo. Seleziona una delle seguenti dichiarazioni politiche e aggiungila alla politica esistente.

       Se la tua chiave bucket Amazon S3 è abilitata, usa la seguente dichiarazione:

       {
          "Sid":"Allow ACM-PCA use of the key",
          "Effect":"Allow",
          "Principal":{
             "Service":"acm-pca.amazonaws.com"
          },
          "Action":[
             "kms:GenerateDataKey",
             "kms:Decrypt"
          ],
          "Resource":"*",
          "Condition":{
             "StringLike":{
                "kms:EncryptionContext:aws:s3:arn":"arn:aws:s3:::bucket-name"
             }
          }
       }

       Se la tua chiave bucket Amazon S3 è disabilitata, usa la seguente dichiarazione:

       {
          "Sid":"Allow ACM-PCA use of the key",
          "Effect":"Allow",
          "Principal":{
             "Service":"acm-pca.amazonaws.com"
          },
          "Action":[
             "kms:GenerateDataKey",
             "kms:Decrypt"
          ],
          "Resource":"*",
          "Condition":{
             "StringLike":{
                "kms:EncryptionContext:aws:s3:arn":[
                   "arn:aws:s3:::bucket-name/acm-pca-permission-test-key",
                   "arn:aws:s3:::bucket-name/acm-pca-permission-test-key-private",
                   "arn:aws:s3:::bucket-name/audit-report/*",
                   "arn:aws:s3:::bucket-name/crl/*"
                ]
             }
          }
       }

    3. Infine, applica la policy aggiornata utilizzando il seguente comando: put-key-policy

       $ aws kms put-key-policy --key-id key_id --policy-name default --policy file://policy.json