As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Provedor mais recente

O Provedor mais recente é um provedor de materiais de criptografia (CMP) que foi projetado para trabalhar com um armazenamento de provedores. Ele obtém os CMPs do armazenamento de provedor, bem como os materiais de criptografia que são retornados dos CMPs. Normalmente, ele usa cada CMP para atender a várias solicitações de materiais de criptografia. Mas você pode usar os recursos do armazenamento de provedores para gerenciar a frequência com a qual os materiais são reutilizados, determinar a frequência de rotação do CMP e até mesmo alterar o tipo de CMP usado sem alterar o provedor mais recente.

O provedor mais recente é uma boa opção para aplicativos que precisam minimizar as chamadas para o armazenamento de provedores, sua origem de criptografia e aplicativos que podem reutilizar alguns materiais de criptografia sem violar os requisitos de segurança. Por exemplo, ele permite que você proteja os materiais criptográficos sob um AWS KMS key no AWS Key Management Service (AWS KMS) sem chamar o AWS KMS toda vez que criptografar ou descriptografar um item.

O armazenamento de provedores escolhido determina o tipo de CMPs que o provedor mais recente usa e com que frequência obtém um novo CMP. Você pode usar qualquer armazenamento compatível de provedores com o provedor mais recente, incluindo os armazenamentos de provedores personalizados que você criar.

O DynamoDB Encryption Client inclui um MetaStore que cria e retorna Provedores empacotados de materiais (CMPs empacotados). O MetaStore salva várias versões dos CMPs empacotados que gera em uma tabela interna do DynamoDB e protege-os com criptografia do lado do cliente por uma instância interna do DynamoDB Encryption Client.

É possível configurar o MetaStore para usar qualquer tipo de CMP interno para proteger os materiais na tabela, incluindo um Direct KMS Provider que gera materiais de criptografia protegidos pela AWS KMS key, um CMP empacotado que usa chaves de empacotamento e de assinatura fornecidas por você ou um CMP personalizado compatível projetado por você.

Para ver um código de exemplo, consulte:

Como usar

Para criar um provedor mais recente, você precisa criar e configurar um armazenamento de provedores e, em seguida, criar um provedor mais recente que usa o armazenamento de provedores.

Os exemplos a seguir mostram como criar um Provedor mais recente que usa um MetaStore e protege as versões em sua tabela interna do DynamoDB com materiais de criptografia de um Direct KMS Provider. Estes exemplos usam o símbolo CachingMostRecentProvider.

Cada provedor mais recente tem um nome que identifica seus CMPs na tabela MetaStore, uma configuração de tempo de vida (TTL) e uma configuração de tamanho de cache que determina quantas entradas o cache pode conter. Esses exemplos definem o tamanho do cache para 1000 entradas e um TTL de 60 segundos.

Java

// Set the name for MetaStore's internal table
final String keyTableName = 'metaStoreTable'

// Set the Region and AWS KMS key
final String region = 'us-west-2'
final String keyArn = 'arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab'

// Set the TTL and cache size
final long ttlInMillis = 60000;
final long cacheSize = 1000;

// Name that identifies the MetaStore's CMPs in the provider store
final String materialName = 'testMRP'

// Create an internal DynamoDB client for the MetaStore
final AmazonDynamoDB ddb = AmazonDynamoDBClientBuilder.standard().withRegion(region).build();

// Create an internal Direct KMS Provider for the MetaStore
final AWSKMS kms = AWSKMSClientBuilder.standard().withRegion(region).build();
final DirectKmsMaterialProvider kmsProv = new DirectKmsMaterialProvider(kms, keyArn);

// Create an item encryptor for the MetaStore,
// including the Direct KMS Provider
final DynamoDBEncryptor keyEncryptor = DynamoDBEncryptor.getInstance(kmsProv);

// Create the MetaStore
final MetaStore metaStore = new MetaStore(ddb, keyTableName, keyEncryptor);

//Create the Most Recent Provider
final CachingMostRecentProvider cmp = new CachingMostRecentProvider(metaStore, materialName, ttlInMillis, cacheSize);

Python

# Designate an AWS KMS key
kms_key_id = 'arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab'

# Set the name for MetaStore's internal table
meta_table_name = 'metaStoreTable'

# Name that identifies the MetaStore's CMPs in the provider store
material_name = 'testMRP'

# Create an internal DynamoDB table resource for the MetaStore
meta_table = boto3.resource('dynamodb').Table(meta_table_name)

# Create an internal Direct KMS Provider for the MetaStore
kms_cmp = AwsKmsCryptographicMaterialsProvider(key_id=kms_key_id)
    
# Create the MetaStore with the Direct KMS Provider
meta_store = MetaStore(
    table=meta_table,
    materials_provider=kms_cmp
)

# Create a Most Recent Provider using the MetaStore
#    Sets the TTL (in seconds) and cache size (# entries)
most_recent_cmp = MostRecentProvider(
    provider_store=meta_store,
    material_name=material_name,
    version_ttl=60.0,
    cache_size=1000
)

Como funciona

O provedor mais recente obtém CMPs de um armazenamento de provedores. Em seguida, ele usa o CMP para gerar os materiais de criptografia que retorna ao criptografador de item.

Sobre o provedor mais recente

O Provedor mais recente obtém um provedor de materiais de criptografia (CMP) de um armazenamento de provedores. Em seguida, ele usa o CMP para gerar os materiais de criptografia que retorna. Cada provedor mais recente está associado a um armazenamento de provedores, mas um armazenamento de provedores pode fornecer CMPs a vários provedores por meio de diversos hosts.

O provedor mais recente pode trabalhar com qualquer CMP compatível de qualquer armazenamento de provedores. Ele solicita materiais de criptografia ou de descriptografia do CMP e retorna a saída ao criptografador do item. Não executa nenhuma operação de criptografia.

Para solicitar um CMP do armazenamento de provedores, o provedor mais recente fornece o nome de material e a versão de um CMP existente que deseja usar. Para materiais de criptografia, o provedor mais recente sempre solicita a versão mais recente. Para materiais de descriptografia, ele solicita a versão do CMP que foi usada para criar os materiais de criptografia, conforme exibido no diagrama a seguir.

O provedor mais recente salva versões dos CMPs que o armazenamento de provedores retorna em um cache local menos usado recentemente (LRU) na memória. O cache permite que o provedor mais recente obtenha os CMPs necessários sem chamar o armazenamento de provedores para cada item. Você pode limpar o cache sob demanda.

O provedor mais recente usa um valor de tempo de vida útil configurável que você pode ajustar com base nas características do seu aplicativo.

Sobre o MetaStore

Você pode usar um provedor mais recente com qualquer armazenamento de provedores, incluindo um armazenamento de provedores personalizado compatível. O DynamoDB Encryption Client inclui um MetaStore, uma implementação segura que você pode configurar e personalizar.

Um MetaStore é um armazenamento de provedores que cria e retorna CMPs empacotados que são configurados com a chave de empacotamento, a chave de desempacotamento e a chave de assinatura exigidas pelos CMPs empacotados. Um MetaStore é uma opção confiável para um provedor mais recente, porque os CMPs empacotados sempre geram chaves de criptografia de item exclusivas para cada item. Somente a chave de empacotamento que protege a chave de criptografia do item e as chaves de assinatura é reutilizada.

O diagrama a seguir mostra os componentes do MetaStore e como ele interage com o provedor mais recente.

O MetaStore gera os CMPs empacotados e os armazena (em formato criptografado) em uma tabela interna do DynamoDB. A chave de partição é o nome do material do provedor mais recente; a chave de classificação, seu número de versão. Os materiais na tabela são protegidos por um DynamoDB Encryption Client interno, incluindo um criptografador de item e um provedor de materiais de criptografia (CMP) interno.

Você pode usar qualquer tipo de CMP interno no MetaStore, incluindo um Provedor direto do KMS, um CMP encapsulado com materiais de criptografia que você fornece ou um CMP compatível personalizado. Se o CMP interno em sua MetaStore for um Direct KMS Provider, suas chaves reutilizáveis de empacotamento e assinatura serão protegidas por uma AWS KMS key no AWS Key Management Service (AWS KMS). O MetaStore chama o AWS KMS toda vez que ele adiciona uma nova versão do CMP à sua tabela interna ou obtém uma versão do CMP a partir de sua tabela interna.

Definir um valor de vida útil

É possível definir um valor de vida útil (TTL) para cada provedor mais recente que criar. Em geral, use o valor TTL mais baixo que seja prático para a sua aplicação.

O uso do valor TTL é alterado no símbolo CachingMostRecentProvider do provedor mais recente.

O TTL não determina com que frequência uma nova versão do CMP é criada. Crie novas versões do CMP alternando os materiais criptográficos.

Um valor ideal de TTL varia de acordo com o aplicativo e suas metas de latência e disponibilidade. Um TTL mais baixo melhora seu perfil de segurança ao reduzir o tempo em que os materiais criptográficos são armazenados na memória. Além disso, um TTL mais baixo atualiza as informações críticas com mais frequência. Por exemplo, se seu CMP interno for um Direct KMS Provider, ele verificará com mais frequência se o chamador ainda está autorizado a usar um AWS KMS key.

No entanto, se o TTL for muito breve, as chamadas frequentes para o armazenamento do provedor podem aumentar seus custos e fazer com que o armazenamento do provedor reduza as solicitações do seu aplicativo e de outros aplicativos que compartilham sua conta de serviço. Também é possível se beneficiar da coordenação do TTL com a taxa na qual você alterna os materiais criptográficos.

Durante o teste, varie o tamanho do TTL e do cache em diferentes cargas de trabalho até encontrar uma configuração que funcione para seu aplicativo e seus padrões de segurança e desempenho.

Alternar os materiais de criptografia

Quando um provedor mais recente precisa de materiais de criptografia, ele sempre usa a versão mais recente de seu CMP que conhece. A frequência com que ele verifica uma versão mais recente é determinada pelo valor de vida útil (TTL) que você define ao configurar o provedor mais recente.

Quando o TTL expira, o provedor mais recente verifica o armazenamento do provedor em busca de uma nova versão do CMP. Se houver um disponível, o provedor mais recente o obterá e substituirá o CMP em seu cache. Ele usa esse CMP e seus materiais criptográficos até descobrir que o armazenamento do provedor tem uma versão mais recente.

Para solicitar que o armazenamento de provedores crie uma nova versão de um CMP para um provedor mais recente, chame a operação Criar Novo Provedor do armazenamento de provedores com o nome do material do provedor mais recente. O armazenamento de provedores cria um novo CMP e salva uma cópia criptografada em seu armazenamento interno com um número da versão mais recente. (Ele também retorna um CMP, mas você pode descartá-lo.) Como resultado, na próxima vez que o provedor mais recente consultar o armazenamento de provedores para obter o número da versão mais recente dos CMPs, ele obterá o número da nova versão mais recente e o utilizará em solicitações subsequentes para o armazenamento para ver se uma nova versão do CMP foi criada..

Você pode programar as chamadas da operação Criar Novo Provedor com base no tempo, no número de itens ou de atributos processados ou em qualquer outra métrica que seja aceitável para seu aplicativo.

Obter materiais de criptografia

O provedor mais recente usa o seguinte processo, mostrado neste diagrama, para obter os materiais de criptografia retornados ao criptografador de item. A saída depende do tipo de CMP que o armazenamento de provedores retorna. O provedor mais recente pode usar qualquer armazenamento de provedores compatível, incluindo o MetaStore que está incluído no DynamoDB Encryption Client.

Obter materiais de descriptografia

Quando o criptografador do item solicita ao provedor mais recente os materiais de descriptografia, esse provedor usa o seguinte processo para obtê-los e retorná-los.

Atualizações do provedor mais recente

O símbolo do provedor mais recente é alterado de MostRecentProvider para CachingMostRecentProvider.

O CachingMostRecentProvider implementa as seguintes mudanças:

Para atualizar para o CachingMostRecentProvider, você precisa alterar o nome do símbolo em seu código. Em todos os outros aspectos, o CachingMostRecentProvider é totalmente compatível com versões anteriores do MostRecentProvider. Você não precisa criptografar novamente nenhum item da tabela.

No entanto, o CachingMostRecentProvider gera mais chamadas para a infraestrutura principal subjacente. Ele chama o armazenamento do provedor pelo menos uma vez em cada intervalo de tempo de vida (TTL). Aplicativos com vários CMPs ativos (devido à rotação frequente) ou aplicativos com grandes frotas provavelmente serão sensíveis a essa mudança.

Antes de lançar seu código atualizado, teste-o minuciosamente para garantir que as chamadas mais frequentes não prejudiquem seu aplicativo nem causem controle de utilização por serviços dos quais seu provedor depende, como AWS Key Management Service (AWS KMS) ou Amazon DynamoDB. Para mitigar quaisquer problemas de desempenho, ajuste o tamanho do cache e o tempo de vida útil do CachingMostRecentProvider com base nas características de desempenho observadas. Para obter orientações, consulte Definir um valor de vida útil.