翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

WorkSpaces Personal WorkSpaces で暗号化

WorkSpaces は AWS Key Management Service () と統合されていますAWS KMS。これにより、 AWS KMS キー WorkSpaces を使用して のストレージボリュームを暗号化できます。を起動すると WorkSpace、ルートボリューム (Microsoft Windows の場合は C ドライブ、Linux の場合は /) とユーザーボリューム (Windows の場合は D ドライブ、Linux の場合は /home) を暗号化できます。これにより、保管時のデータ、ボリュームへのディスク I/O、ボリュームから作成されたスナップショットを暗号化することができます。

前提条件

暗号化プロセスを開始する前に、 AWS KMS キーが必要です。この KMS キーは、Amazon 用の AWS マネージド KMS キー WorkSpaces （aws/workspaces ) または対称カスタマーマネージド KMS キー のいずれかです。

AWS KMS キーを使用して を暗号化するには、次の要件を満たす必要があります WorkSpaces。

制限

を使用した WorkSpaces 暗号化の概要 AWS KMS

暗号化されたボリューム WorkSpaces で を作成すると、 WorkSpaces は Amazon Elastic Block Store (Amazon EBS) を使用してそれらのボリュームを作成および管理します。Amazon EBS は､業界標準の AES-256 アルゴリズムを使用してデータキーでボリュームを暗号化します。Amazon EBS と Amazon はどちらも KMS キーを使用して暗号化されたボリュームを操作し WorkSpaces ます。EBS ボリュームの暗号化の詳細については、「Amazon EC2 ユーザーガイド」の「Amazon EBS 暗号化」を参照してください。 Amazon EC2

暗号化されたボリューム WorkSpaces で を起動すると、 end-to-end プロセスは次のように動作します。

WorkSpaces 暗号化コンテキスト

WorkSpaces は、暗号化オペレーション (、Encrypt、 など) に KMS キーを直接使用しません。つまりGenerateDataKey、 WorkSpaces は暗号化コンテキスト AWS KMS を含む Decryptにリクエストを送信しません。ただし、Amazon EBS が WorkSpaces （ステップ 3 の を使用した WorkSpaces 暗号化の概要 AWS KMS) の暗号化されたボリュームの暗号化されたデータキーをリクエストし、そのデータキーのプレーンテキストコピー (ステップ 5) をリクエストすると、リクエストに暗号化コンテキストが含まれます。

暗号化コンテキストは、データの整合性を確保するために が使用する追加の認証データ (AAD) を提供します。 AWS KMS 暗号化コンテキストは AWS CloudTrail ログファイルにも書き込まれるため、特定の KMS キーが使用された理由を理解するのに役立ちます。Amazon EBS では、暗号化コンテキストとして次のものが使用されます。

次の例は、Amazon EBS が使用する暗号化コンテキストの JSON 表現を示しています。

{
  "aws:workspaces:sid-directoryid": "[S-1-5-21-277731876-1789304096-451871588-1107]@[d-1234abcd01]",
  "aws:ebs:id": "vol-1234abcd"
}

ユーザーに代わって KMS キーを使用する WorkSpaces アクセス許可を付与する

（aws/workspaces ) の AWS マネージド KMS キー WorkSpacesまたはカスタマーマネージド KMS キーで WorkSpace データを保護できます。カスタマーマネージド KMS キーを使用する場合は、アカウントの WorkSpaces 管理者に代わって KMS キーを使用する WorkSpaces アクセス許可を付与する必要があります。の WorkSpaces AWS マネージド KMS キーには、デフォルトで必要なアクセス許可があります。

カスタマーマネージド KMS キーを で使用する準備をするには WorkSpaces、次の手順を使用します。

WorkSpaces 管理者には、 を使用するためのアクセス許可も必要です WorkSpaces。これらのアクセス許可の詳細については、の Identity and Access Management WorkSpaces にアクセスしてください。

パート 1: WorkSpaces 管理者をキーユーザーとして に追加する

WorkSpaces 管理者に必要なアクセス許可を付与するには、 AWS Management Console または AWS KMS API を使用できます。

KMS キーのキーユーザーとして WorkSpaces 管理者を追加するには (コンソール）

KMS キーのキーユーザーとして WorkSpaces 管理者を追加するには (API)

パート 2: IAM ポリシーを使用して WorkSpaces 管理者に追加のアクセス許可を付与する

暗号化に使用するカスタマー管理の KMS キーを選択する場合は、暗号化された を起動するアカウントの IAM ユーザーに代わって Amazon が KMS キー WorkSpaces を使用できるようにする IAM ポリシーを確立する必要があります WorkSpaces。そのユーザーには、Amazon を使用するためのアクセス許可も必要です WorkSpaces。IAM ユーザーポリシーの作成と編集の詳細については、IAM ユーザーガイドの IAM ポリシーを管理するおよび の Identity and Access Management WorkSpaces を参照してください。

WorkSpaces 暗号化には、KMS キーへの制限付きアクセスが必要です。以下は、使用できるサンプルキーのポリシーです。このポリシーにより、 AWS KMS キーを管理できるプリンシパルと、このキーを使用できるプリンシパルが分離されます。このサンプルキーポリシーを使用する前に、サンプルアカウント ID と IAM ユーザー名を、アカウントの実際の値に置き換えてください。

最初のステートメントは、デフォルトの AWS KMS キーポリシーと一致します。これにより、IAM ポリシーを使用して KMS キーへのアクセスを制御するためのアクセス許可がアカウントに付与されます。2 番目のステートメントと 3 番目のステートメントは、キーを管理および使用できる AWS プリンシパルをそれぞれ定義します。4 番目のステートメントでは、 と統合された AWS サービスが、指定されたプリンシパルに代わって キー AWS KMS を使用できるようにします。このステートメントは、 AWS のサービスが許可を作成、管理できるようにします。ステートメントは、KMS キーに対する許可を、アカウントのユーザーに代わって AWS のサービスによって行われた許可に制限する条件要素を使用します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Create*",
        "kms:Describe*",
        "kms:Enable*",
        "kms:List*",
        "kms:Put*",
        "kms:Update*",
        "kms:Revoke*",
        "kms:Disable*",
        "kms:Get*",
        "kms:Delete*"
       ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": "true"}}
    }
  ]
}

を暗号化するユーザーまたはロールの IAM ポリシーには、カスタマー管理の KMS キーの使用許可と、 へのアクセス許可が含まれている WorkSpace 必要があります WorkSpaces。IAM ユーザーまたはロールにアクセス WorkSpaces 許可を付与するには、次のサンプルポリシーを IAM ユーザーまたはロールにアタッチします。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:*",
                "ds:DescribeDirectories",
                "workspaces:*",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:CreateWorkspaces",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:DescribeWorkspaceDirectories",
                "workspaces:DescribeWorkspaces",
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces"
            ],
            "Resource": "*"
        }
    ]
}

ユーザーが を使用するには、次の IAM ポリシーが必要です AWS KMSこれにより、KMS キーへの読み取り専用アクセスと、許可を作成する能力がユーザーに付与されます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:Describe*",
                "kms:List*"
            ],
            "Resource": "*"
        }
    ]
}

ポリシーで KMS キーを指定する場合は、次のような IAM ポリシーを使用します。サンプルKMS キー ARN を有効なものに置き換えます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:CreateGrant",
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:ListAliases",
        "kms:ListKeys"
      ],
      "Resource": "*"
    }
  ]
}

を暗号化する WorkSpace

暗号化された を表示する WorkSpaces

WorkSpaces コンソールから暗号化された ボリューム WorkSpaces と ボリュームを確認するには、左側のナビゲーションバーWorkSpacesから を選択します。Volume Encryption 列には、各 WorkSpace で暗号化が有効か無効かが表示されます。暗号化されている特定のボリュームを確認するには、 WorkSpace エントリを展開して Encrypted Volumes フィールドを表示します。