Gerenciamento de chaves em AWS IoT FleetWise

AWS Gerenciamento de chaves de FleetWise nuvem de IoT

Por padrão, AWS a IoT FleetWise usa Chaves gerenciadas pela AWS para proteger seus dados no Nuvem AWS. Você pode atualizar suas configurações para usar uma chave gerenciada pelo cliente para criptografar dados na AWS IoT. FleetWise Você pode criar, gerenciar e visualizar sua chave de criptografia por meio de AWS Key Management Service (AWS KMS).

AWS A IoT FleetWise oferece suporte à criptografia do lado do servidor com chaves gerenciadas pelo cliente armazenadas AWS KMS para criptografar dados para os seguintes recursos.

Para obter mais informações, consulte O que é AWS Key Management Service? no Guia do AWS Key Management Service desenvolvedor.

Habilitar criptografia usando chaves KMS (console)

Para usar chaves gerenciadas pelo cliente com a AWS IoT FleetWise, você deve atualizar suas configurações de AWS IoT FleetWise .

Habilite a criptografia usando chaves KMS (AWS CLI)

Você pode usar a operação da PutEncryptionConfiguration API para ativar a criptografia para sua FleetWise conta de AWS IoT. O exemplo a seguir usa AWS CLI.

Para ativar a criptografia, execute o seguinte comando.

aws iotfleetwise put-encryption-configuration \
      --encryption-type KMS_BASED_ENCRYPTION \
      --kms-key-id kms_key_id

{
 "kmsKeyId": "customer_kms_key_id",
 "encryptionStatus": "PENDING",
 "encryptionType": "KMS_BASED_ENCRYPTION"
}

Política de chaves do KMS

Depois de criar uma chave KMS, você deve, no mínimo, adicionar a seguinte declaração à sua política de chaves KMS para que ela funcione com AWS a IoT. FleetWise O principal do FleetWise serviço de AWS IoT iotfleetwise.amazonaws.com na declaração de política de chaves do KMS permite que a AWS IoT acesse FleetWise a chave KMS.

{
  "Sid": "Allow FleetWise to encrypt and decrypt data when customer managed KMS key based encryption is enabled",
  "Effect": "Allow",
  "Principal": {
    "Service": "iotfleetwise.amazonaws.com"
  },
  "Action": [
    "kms:GenerateDataKey*",
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:DescribeKey",
    "kms:CreateGrant",
    "kms:RetireGrant",
    "kms:RevokeGrant"
  ],
  "Resource": "*"
}

Como prática recomendada de segurança, adicione aws:SourceArn e aws:SourceAccount condicione chaves à política de chaves do KMS. A chave de condição global do IAM aws:SourceArn ajuda a garantir que a AWS IoT FleetWise use a chave KMS somente para recursos específicos do serviço Amazon Resource Names (ARNs).

Se você definir o valor deaws:SourceArn, ele sempre deverá serarn:aws:iotfleetwise:us-east-1:account_id:*. Isso permite que a chave KMS acesse todos os FleetWise recursos de AWS IoT para isso. Conta da AWS AWS A IoT FleetWise oferece suporte a uma chave KMS por conta para todos os recursos. Região da AWS Usar qualquer outro valor para oSourceArn, ou não usar o curinga (*) para o campo de recurso ARN, impede que a AWS IoT acesse a FleetWise chave KMS.

O valor de aws:SourceAccount é o ID da sua conta, que é usado para restringir ainda mais a chave KMS para que ela possa ser usada apenas para sua conta específica. Se você adicionar aws:SourceAccount e aws:SourceArn condicionar chaves à chave KMS, certifique-se de que a chave não seja usada por nenhum outro serviço ou conta. Isso ajuda a evitar falhas.

A política a seguir inclui um responsável pelo serviço (um identificador de um serviço), bem como aws:SourceAccount uma aws:SourceArn configuração para uso com base na Região da AWS ID da sua conta.

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {
    "Service": "iotfleetwise.amazonaws.com"
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*",
    "kms:DescribeKey"
  ],
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "aws:SourceAccount": "AWS-account-ID"
    },
    "ArnLike": {
      "aws:SourceArn": "arn:aws:iotfleetwise:region:AWS-account-ID:*"
    }
  }
}

Para obter mais informações sobre como editar uma política de chaves do KMS para uso com a AWS IoT FleetWise, consulte Alterando uma política de chaves no Guia do AWS Key Management Service desenvolvedor.

Permissões para AWS KMS criptografia

Se você ativou a AWS KMS criptografia, deverá especificar permissões na política de função para poder chamar as FleetWise APIs de AWS IoT. A política a seguir permite acesso a todas as FleetWise ações de AWS IoT, bem como permissões AWS KMS específicas.

A declaração de política a seguir é necessária para que sua função invoque APIs de criptografia. Esta declaração de política permite PutEncryptionConfiguration GetEncryptionConfiguration ações da AWS IoT. FleetWise

Recuperação após AWS KMS exclusão de chave

Se você excluir uma AWS KMS chave depois de ativar a criptografia com a AWS IoT FleetWise, deverá redefinir sua conta excluindo todos os dados antes de usar a AWS IoT FleetWise novamente. Você pode usar a lista e excluir as operações da API para limpar recursos em sua conta.

Você deve limpar os recursos na seguinte ordem.