翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

WorkSpaces Personal WorkSpaces で暗号化

WorkSpaces は と統合されています。 AWS Key Management Service (AWS KMS）。 これにより、 WorkSpaces を使用して のストレージボリュームを暗号化できます。 AWS KMS キー。を起動すると WorkSpace、ルートボリューム (Microsoft Windows の場合は C ドライブ、Linux の場合は /) とユーザーボリューム (Windows の場合は D ドライブ、Linux の場合は /home) を暗号化できます。これにより、保管時のデータ、ボリュームへのディスク I/O、ボリュームから作成されたスナップショットを暗号化することができます。

前提条件

が必要です AWS KMS 暗号化プロセスを開始する前にキーを入力します。このKMSキーは、 AWS Amazon の マネージドKMSキー WorkSpaces （aws/workspaces ) または対称カスタマーマネージドKMSキー 。

を使用するには、次の要件を満たしている必要があります。 AWS KMS を暗号化するためのキー WorkSpaces：

制限

を使用した WorkSpaces 暗号化の概要 AWS KMS

暗号化されたボリューム WorkSpaces で を作成すると、 は Amazon Elastic Block Store (Amazon EBS) WorkSpaces を使用してそれらのボリュームを作成および管理します。Amazon EBS は、業界標準の AES-256 アルゴリズムを使用して、データキーでボリュームを暗号化します。Amazon EBSと Amazon はどちらもKMSキーを使用して暗号化されたボリュームを操作し WorkSpaces ます。EBS ボリューム暗号化の詳細については、「Amazon EBS ユーザーガイド」の「Amazon EC2暗号化」を参照してください。

暗号化されたボリューム WorkSpaces で を起動すると、 end-to-end プロセスは次のように動作します。

WorkSpaces 暗号化コンテキスト

WorkSpaces は、暗号化オペレーション (Encrypt、、 など) にKMSキーを直接使用しません。つまりGenerateDataKey、 Decrypt WorkSpaces は にリクエストを送信しません。 AWS KMS 暗号化コンテキスト を含む 。ただし、Amazon が WorkSpaces （ステップ 3 の を使用した WorkSpaces 暗号化の概要 AWS KMS) の暗号化されたボリュームに対して暗号化されたデータキーをEBSリクエストし、そのデータキーのプレーンテキストコピー (ステップ 5) をリクエストすると、リクエストに暗号化コンテキストが含まれます。

暗号化コンテキストは、追加の認証済みデータ (AAD) を提供します。 AWS KMS は、データの整合性を確保するために を使用します。暗号化コンテキストも に書き込まれます。 AWS CloudTrail ログファイル。特定のKMSキーが使用された理由を理解するのに役立ちます。Amazon は、暗号化コンテキストに以下EBSを使用します。

次の例は、Amazon がEBS使用する暗号化コンテキストのJSON表現を示しています。

{
  "aws:workspaces:sid-directoryid": "[S-1-5-21-277731876-1789304096-451871588-1107]@[d-1234abcd01]",
  "aws:ebs:id": "vol-1234abcd"
}

ユーザーに代わってKMSキーを使用する WorkSpaces アクセス許可を付与する

で WorkSpace データを保護できます。 AWS (aws/workspaces) の WorkSpaces マネージドKMSキーまたはカスタマーマネージドKMSキー。カスタマーマネージドKMSキーを使用する場合は、アカウントの WorkSpaces 管理者に代わってKMSキーを使用する WorkSpaces アクセス許可を付与する必要があります。- AWS の WorkSpaces マネージドKMSキーには、デフォルトで必要なアクセス許可があります。

で使用するためにカスタマーマネージドKMSキーを準備するには WorkSpaces、次の手順を使用します。

WorkSpaces 管理者には、 を使用するためのアクセス許可も必要です WorkSpaces。これらのアクセス許可の詳細については、の Identity and Access Management WorkSpaces にアクセスしてください。

パート 1: WorkSpaces 管理者をキーユーザーとして に追加する

WorkSpaces 管理者に必要なアクセス許可を付与するには、 AWS Management Console または AWS KMS API.

KMS キーのキーユーザーとして WorkSpaces 管理者を追加するには (コンソール）

KMS キーのキーユーザーとして WorkSpaces 管理者を追加するには (API）

パート 2: IAMポリシーを使用して WorkSpaces 管理者に追加のアクセス許可を付与する

暗号化に使用するカスタマーマネージドKMSキーを選択する場合は、暗号化された を起動するアカウントのIAMユーザーに代わって Amazon がKMSキー WorkSpaces を使用できるようにするIAMポリシーを確立する必要があります WorkSpaces。そのユーザーには、Amazon を使用するためのアクセス許可も必要です WorkSpaces。IAM ユーザーポリシーの作成と編集の詳細については、「 ユーザーガイド」のIAM「ポリシーの管理」およびIAM「」を参照してくださいの Identity and Access Management WorkSpaces。

WorkSpaces 暗号化には、 KMS キーへの制限付きアクセスが必要です。以下は、使用できるサンプルキーのポリシーです。このポリシーは、 を管理できるプリンシパルを分離します。 AWS KMS 使用できるユーザーからのキー。このサンプルキーポリシーを使用する前に、サンプルアカウント ID とIAMユーザー名をアカウントの実際の値に置き換えてください。

最初のステートメントはデフォルトと一致します。 AWS KMS キーポリシー。これにより、IAMポリシーを使用してKMSキーへのアクセスを制御するアクセス許可がアカウントに付与されます。2 番目と 3 番目のステートメントは、 AWS プリンシパルは、それぞれキーを管理および使用できます。4 番目のステートメントは、 を有効にします。 AWS と統合されている のサービス AWS KMS は、指定されたプリンシパルに代わってキーを使用します。このステートメントは、 を有効にします。 AWS 付与を作成および管理するための サービス。ステートメントは、KMSキーに対する許可を によって行われた許可に制限する条件要素を使用します。 AWS アカウント内のユーザーに代わって のサービス。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Create*",
        "kms:Describe*",
        "kms:Enable*",
        "kms:List*",
        "kms:Put*",
        "kms:Update*",
        "kms:Revoke*",
        "kms:Disable*",
        "kms:Get*",
        "kms:Delete*"
       ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": "true"}}
    }
  ]
}

を暗号化するユーザーまたはロールのIAMポリシーには、カスタマーマネージドKMSキーの使用許可と へのアクセス許可が含まれている WorkSpace 必要があります WorkSpaces。IAM ユーザーまたはロールにアクセス WorkSpaces 許可を付与するには、次のサンプルポリシーをIAMユーザーまたはロールにアタッチします。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:*",
                "ds:DescribeDirectories",
                "workspaces:*",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:CreateWorkspaces",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:DescribeWorkspaceDirectories",
                "workspaces:DescribeWorkspaces",
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces"
            ],
            "Resource": "*"
        }
    ]
}

を使用するためには、ユーザーが次のIAMポリシーが必要です。 AWS KMS。 これにより、ユーザーに KMSキーへの読み取り専用アクセスと、許可を作成する機能が提供されます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:Describe*",
                "kms:List*"
            ],
            "Resource": "*"
        }
    ]
}

ポリシーでKMSキーを指定する場合は、次のようなIAMポリシーを使用します。サンプルKMSキーを有効なキーARNに置き換えます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:CreateGrant",
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:ListAliases",
        "kms:ListKeys"
      ],
      "Resource": "*"
    }
  ]
}

の暗号化 WorkSpace

暗号化された を表示する WorkSpaces

WorkSpaces コンソールから暗号化された ボリューム WorkSpaces と ボリュームを確認するには、左側のナビゲーションバーWorkSpacesから を選択します。Volume Encryption 列には、各 WorkSpace で暗号化が有効か無効かが表示されます。暗号化されている特定のボリュームを確認するには、 WorkSpace エントリを展開して Encrypted Volumes フィールドを表示します。