As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Gerenciamento de chaves

Ao criar uma nova fazenda, você pode escolher uma das seguintes chaves para criptografar os dados da fazenda:

Como Deadline Cloud uses AWS KMS subsídios

Deadline Cloud exige uma concessão para usar sua chave gerenciada pelo cliente. Quando você cria uma fazenda criptografada com uma chave gerenciada pelo cliente, Deadline Cloud cria uma concessão em seu nome enviando uma CreateGrant solicitação AWS KMS para obter acesso à chave KMS que você especificou.

Deadline Cloud usa vários subsídios. Cada concessão é usada por uma parte diferente Deadline Cloud que precisa criptografar ou descriptografar seus dados. Deadline Cloud também usa subsídios para permitir o acesso a outros AWS serviços usados para armazenar dados em seu nome, como Amazon Simple Storage Service, Amazon Elastic Block Store ou OpenSearch.

Os subsídios que Deadline Cloud permitem gerenciar máquinas em uma frota gerenciada por serviços incluem um número de Deadline Cloud conta e uma função em GranteePrincipal vez de um diretor de serviços. Embora não seja típica, a configuração de concessão é necessária para criptografar volumes do Amazon EBS para trabalhadores em frotas gerenciadas por serviços usando a chave KMS gerenciada pelo cliente especificada para a fazenda.

Política de chave gerenciada pelo cliente

As políticas de chaves controlam o acesso à chave gerenciada pelo cliente. Cada chave deve ter exatamente uma política de chaves que contenha declarações que determinam quem pode usar a chave e como usá-la. Ao criar sua chave gerenciada pelo cliente, você pode especificar uma política de chaves. Para obter mais informações, consulte Gerenciar o acesso às chaves gerenciadas pelo cliente no Guia do desenvolvedor do AWS Key Management Service .

Política mínima de IAM para CreateFarm

Para usar sua chave gerenciada pelo cliente para criar fazendas usando o console ou a operação da CreateFarm API, as seguintes operações de AWS KMS API devem ser permitidas:

A declaração de política a seguir concede as permissões necessárias para a CreateFarm operação.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DeadlineCreateGrants",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey",
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234567890abcdef0",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "deadline.us-west-2.amazonaws.com"
                }
            }
        }
    ]
}

Política mínima de IAM para operações somente de leitura

Usar sua chave gerenciada pelo cliente para Deadline Cloud operações somente de leitura, como obter informações sobre fazendas, filas e frotas. As seguintes operações de AWS KMS API devem ser permitidas:

A declaração de política a seguir concede as permissões necessárias para operações somente para leitura.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DeadlineReadOnly",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:us-west-2:111122223333:key/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "deadline.us-west-2.amazonaws.com"
                }
            }
        }
    ]
}

Política mínima de IAM para operações de leitura e gravação

Usar sua chave gerenciada pelo cliente para Deadline Cloud operações de leitura e gravação, como criar e atualizar fazendas, filas e frotas. As seguintes operações de AWS KMS API devem ser permitidas:

A declaração de política a seguir concede as permissões necessárias para a CreateFarm operação.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "DeadlineReadWrite",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:DescribeKey",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:us-west-2:111122223333:key/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "deadline.us-west-2.amazonaws.com"
                }
            }
        }
    ]
}

Monitorar suas chaves de criptografia

Quando você usa uma chave gerenciada pelo AWS KMS cliente com suas Deadline Cloud fazendas, você pode usar AWS CloudTrail o Amazon CloudWatch Logs para rastrear solicitações Deadline Cloud enviadas para AWS KMS o.

Deadline Cloud gera um CreateGrant evento quando configura o acesso à sua chave Decrypt e GenerateDataKey eventos quando usa a chave. Os eventos incluem um encryptionContext que identifica a fazenda. Para obter mais informações sobre os eventos, consulte Registrar chamadas de AWS KMS API com AWS CloudTrail no Guia do AWS Key Management Service desenvolvedor.

CloudTrail evento para subsídios

O CloudTrail evento de exemplo a seguir ocorre quando as concessões são criadas, normalmente quando você chama a CreateFleet operação CreateFarmCreateMonitor,, ou.

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:SampleUser01",
        "arn": "arn:aws::sts::111122223333:assumed-role/Admin/SampleUser01",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE3",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE",
                "arn": "arn:aws::iam::111122223333:role/Admin",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2024-04-23T02:05:26Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "deadline.amazonaws.com"
    },
    "eventTime": "2024-04-23T02:05:35Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "CreateGrant",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "deadline.amazonaws.com",
    "userAgent": "deadline.amazonaws.com",
    "requestParameters": {
        "operations": [
            "CreateGrant",
            "Decrypt",
            "DescribeKey",
            "Encrypt",
            "GenerateDataKey"
        ],
        "constraints": {
            "encryptionContextSubset": {
                "aws:deadline:farmId": "farm-abcdef12345678900987654321fedcba",
                "aws:deadline:accountId": "111122223333"
            }
        },
        "granteePrincipal": "deadline.amazonaws.com",
        "keyId": "arn:aws::kms:us-west-2:111122223333:key/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
        "retiringPrincipal": "deadline.amazonaws.com"
    },
    "responseElements": {
        "grantId": "6bbe819394822a400fe5e3a75d0e9ef16c1733143fff0c1fc00dc7ac282a18a0",
        "keyId": "arn:aws::kms:us-west-2:111122223333:key/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"
    },
    "requestID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE22222",
    "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE33333",
    "readOnly": false,
    "resources": [
        {
            "accountId": "AWS Internal",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws::kms:us-west-2:111122223333:key/a1b2c3d4-5678-90ab-cdef-EXAMPLE44444"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}

Excluindo uma chave KMS gerenciada pelo cliente

A exclusão de uma chave KMS gerenciada pelo cliente em AWS Key Management Service (AWS KMS) é destrutiva e potencialmente perigosa. Exclui irreversivelmente o material da chave e todos os metadados associados à chave. Depois que uma chave do KMS gerenciada pelo cliente é excluída, não é mais possível descriptografar os dados que foram criptografados com ela. Excluir a chave significa que os dados se tornam irrecuperáveis.

Por motivos de segurança, AWS KMS oferece aos clientes um período de espera de até 30 dias antes de excluir a chave KMS. O período de espera padrão é de 30 dias.

Sobre o período de espera

Como é destrutivo e potencialmente perigoso excluir uma chave KMS gerenciada pelo cliente, exigimos que você defina um período de espera de 7 a 30 dias. O período de espera padrão é de 30 dias.

No entanto, o período de espera real pode ser até 24 horas a mais do que o período que você agendou. Para obter a data e a hora reais em que a chave será excluída, use a DescribeKey operação. Você também pode ver a data de exclusão programada de uma chave no AWS KMS console na página de detalhes da chave, na seção Configuração geral. Observe o fuso horário.

Durante o período de espera, o status e o estado da chave gerenciada pelo cliente são Exclusão pendente.

Para obter mais informações sobre como excluir uma chave KMS gerenciada pelo cliente, consulte Excluindo chaves mestras do cliente no Guia do AWS Key Management Service desenvolvedor.