Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Crittografia e decrittografia segrete in AWS Secrets Manager

Secrets Manager utilizza la crittografia a busta con AWS KMS chiavi e chiavi dati per proteggere ogni valore segreto. Ogni volta che il valore segreto di un segreto cambia, Secrets Manager richiede una nuova chiave dati AWS KMS per proteggerlo. La chiave dati viene crittografata con una KMS chiave e archiviata nei metadati del segreto. Per decrittografare il segreto, Secrets Manager decrittografa innanzitutto la chiave dati crittografata utilizzando la chiave in. KMS AWS KMS

Secrets Manager non utilizza la KMS chiave per crittografare direttamente il valore segreto. Utilizza invece la KMS chiave per generare e crittografare una chiave dati simmetrica Advanced Encryption Standard (AES) a 256 bit e utilizza la chiave dati per crittografare il valore segreto. Secrets Manager utilizza la chiave dati in testo semplice per crittografare il valore segreto all'esterno di AWS KMS, quindi lo rimuove dalla memoria. Archivia la copia crittografata della chiave di dati nei metadati del segreto.

Scelta di una chiave AWS KMS

Quando crei un segreto, puoi scegliere qualsiasi chiave di crittografia simmetrica gestita dal cliente nella regione Account AWS and oppure puoi utilizzare Chiave gestita da AWS for Secrets Manager ()aws/secretsmanager. Se scegli il Chiave gestita da AWS aws/secretsmanager e non esiste ancora, Secrets Manager lo crea e lo associa al segreto. Puoi utilizzare la stessa KMS chiave o KMS chiavi diverse per ogni segreto del tuo account. Potresti voler utilizzare KMS chiavi diverse per impostare autorizzazioni personalizzate sulle chiavi per un gruppo di segreti o se desideri controllare operazioni particolari per tali chiavi. Secrets Manager supporta solo chiavi di crittografia KMS simmetriche. Se si utilizza una KMS chiave in un archivio di chiavi esterno, le operazioni di crittografia sulla KMS chiave potrebbero richiedere più tempo e essere meno affidabili e durature, poiché la richiesta deve viaggiare all'esterno. AWS

Per informazioni sulla modifica della chiave di crittografia di un segreto, consulta Modificare la chiave di crittografia per un AWS Secrets Manager Secret.

Quando si modifica la chiave di crittografia, Secrets Manager cripta nuovamente AWSCURRENT e AWSPENDING le AWSPREVIOUS versioni con la nuova chiave. Per evitare di nasconderti il segreto, Secrets Manager mantiene tutte le versioni esistenti crittografate con la chiave precedente. Ciò significa che è possibile decrittografare AWSCURRENT AWSPREVIOUS le versioni con la chiave precedente o la nuova chiave. AWSPENDING Se non si dispone dell'kms:Decryptautorizzazione per la chiave precedente, quando si modifica la chiave di crittografia, Secrets Manager non può decrittografare le versioni segrete per crittografarle nuovamente. In questo caso, le versioni esistenti non vengono ricrittografate.

Per fare in modo che AWSCURRENT possa essere decifrata solo con la nuova chiave di crittografia, crea una nuova versione del segreto con la nuova chiave. Quindi, per poter decifrare la versione AWSCURRENT segreta, devi avere l'autorizzazione per la nuova chiave.

È possibile negare l'autorizzazione Chiave gestita da AWS aws/secretsmanager e richiedere che i segreti vengano crittografati con una chiave gestita dal cliente. Per ulteriori informazioni, consulta Esempio: nega una AWS KMS chiave specifica per crittografare i segreti.

Per trovare la KMS chiave associata a un segreto, visualizza il segreto nella console o chiama ListSecretso DescribeSecret. Quando il segreto è associato a Chiave gestita da AWS for Secrets Manager (aws/secretsmanager), queste operazioni non restituiscono un identificatore di KMS chiave.

Che viene crittografato?

Secrets Manager crittografa il valore segreto, ma non crittografa quanto segue:

Processi di crittografia e decrittografia

Per crittografare il valore del segreto in un segreto, Secrets Manager utilizza il seguente processo.

Per decrittografare un valore del segreto crittografato:

Autorizzazioni per la chiave KMS

Quando Secrets Manager utilizza una KMS chiave nelle operazioni crittografiche, agisce per conto dell'utente che accede o aggiorna il valore segreto. È possibile concedere le autorizzazioni in una IAM politica o in una politica chiave. Le seguenti operazioni di Secrets Manager richiedono AWS KMS autorizzazioni.

Per consentire l'utilizzo della KMS chiave solo per le richieste che hanno origine in Secrets Manager, nella politica delle autorizzazioni, puoi utilizzare la chiave kms: ViaService condition con il secretsmanager.<Region>.amazonaws.com valore.

È inoltre possibile utilizzare le chiavi o i valori nel contesto di crittografia come condizione per l'utilizzo della KMS chiave per operazioni crittografiche. Ad esempio, è possibile utilizzare un operatore di condizione di stringa in un documento di policy IAM o chiave oppure utilizzare un vincolo di concessione in una concessione. KMSla propagazione delle concessioni chiave può richiedere fino a cinque minuti. Per ulteriori informazioni, vedere CreateGrant.

In che modo Secrets Manager utilizza la tua KMS chiave

Secrets Manager richiama le seguenti AWS KMS operazioni con la KMS chiave.

Policy chiave della Chiave gestita da AWS (aws/secretsmanager)

La politica chiave per Chiave gestita da AWS for Secrets Manager (aws/secretsmanager) consente agli utenti di utilizzare la KMS chiave per operazioni specifiche solo quando Secrets Manager effettua la richiesta per conto dell'utente. La politica chiave non consente a nessun utente di utilizzare direttamente la KMS chiave.

Questa policy delle chiavi, come le policy di tutte le Chiavi gestite da AWS, viene stabilita dal servizio. Non è possibile modificarla, ma è possibile visualizzarla in qualsiasi momento. Per informazioni dettagliate, consulta Visualizzazione di una policy di chiave.

Le istruzioni di policy nella policy delle chiavi hanno l'effetto seguente:

Di seguito è riportata una politica chiave per un Chiave gestita da AWS esempio di Secrets Manager.

{
  "Id": "auto-secretsmanager-2",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow access through AWS Secrets Manager for all principals in the account that are authorized to use AWS Secrets Manager",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "*"
        ]
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:CreateGrant",
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:CallerAccount": "111122223333",
          "kms:ViaService": "secretsmanager.us-west-2.amazonaws.com"
        }
      }
    },
    {
      "Sid": "Allow access through AWS Secrets Manager for all principals in the account that are authorized to use AWS Secrets Manager",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "*"
        ]
      },
      "Action": "kms:GenerateDataKey*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:CallerAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "secretsmanager.us-west-2.amazonaws.com"
        }
      }
    },
    {
      "Sid": "Allow direct access to key metadata to the account",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:iam::111122223333:root"
        ]
      },
      "Action": [
        "kms:Describe*",
        "kms:Get*",
        "kms:List*",
        "kms:RevokeGrant"
      ],
      "Resource": "*"
    }
  ]
}

Contesto di crittografia di Secrets Manager

Un contesto di crittografia è un set di coppie chiave-valore che contiene dati arbitrari non segreti. Quando si include un contesto di crittografia in una richiesta di crittografia dei dati, associa AWS KMS crittograficamente il contesto di crittografia ai dati crittografati. lo stesso contesto di crittografia sia necessario per decrittografare i dati.

Nelle sue richieste GenerateDataKeye Decrypt a AWS KMS, Secrets Manager utilizza un contesto di crittografia con due coppie nome-valore che identificano il segreto e la relativa versione, come illustrato nell'esempio seguente. I nomi non variano, ma i valori del contesto di crittografia combinati saranno diversi per ogni valore del segreto.

"encryptionContext": {
    "SecretARN": "arn:aws:secretsmanager:us-east-2:111122223333:secret:test-secret-a1b2c3",
    "SecretVersionId": "EXAMPLE1-90ab-cdef-fedc-ba987SECRET1"
}

Puoi utilizzare il contesto di crittografia per identificare queste operazioni crittografiche nei record e nei log di controllo, come AWS CloudTrailAmazon CloudWatch Logs, e come condizione per l'autorizzazione nelle politiche e nelle concessioni.

Il contesto di crittografia di Secrets Manager è costituito da due coppie nome-valore.

Quando si stabilisce o si modifica la KMS chiave per un segreto, Secrets Manager invia GenerateDataKeye decripta le richieste AWS KMS per verificare che il chiamante sia autorizzato a utilizzare la KMS chiave per queste operazioni. Scarta le risposte, non le utilizza sul valore del segreto.

In queste richieste di convalida, il valore di SecretARN è l'effettivo ARN del segreto, ma il SecretVersionId valore èRequestToValidateKeyAccess, come illustrato nell'esempio seguente di contesto di crittografia. Questo valore speciale consente di identificare le richieste di convalida nei log e negli audit trail.

"encryptionContext": {
    "SecretARN": "arn:aws:secretsmanager:us-east-2:111122223333:secret:test-secret-a1b2c3",
    "SecretVersionId": "RequestToValidateKeyAccess"
}

Monitora l'interazione di Secrets Manager con AWS KMS

Puoi utilizzare AWS CloudTrail Amazon CloudWatch Logs per tenere traccia delle richieste a cui Secrets Manager invia per tuo AWS KMS conto. Per ulteriori informazioni sul monitoraggio dell'uso dei segreti , consulta Monitora AWS Secrets Manager i segreti.