As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Segurança da infraestrutura no AWS Key Management Service
Como serviço gerenciado, o AWS Key Management Service (AWS KMS) é protegido pelos procedimentos de segurança de rede global da AWS que estão descritos no whitepaper Amazon Web Services: visão geral dos processos de segurança
Para acessar o AWS KMS pela rede, é possível chamar as operações de API do AWS KMS descritas na Referência de APIS AWS Key Management Service. O AWS KMS requer o TLS 1.2 e recomenda o TLS 1.3 em todas as regiões. O AWS KMS também é compatível com TLS híbrido pós-quântico para terminais de serviço do AWS KMS em todas as regiões, exceto nas regiões da China. O AWS KMS não é compatível com TLS híbrido pós-quântico para endpoints FIPS em AWS GovCloud (US). Para usar os endpoints padrão do AWS KMS ou endpoins do FIPS do AWS KMS, os clientes devem ser compatíveis com TLS 1.2 ou posterior. Os clientes também devem ter suporte a conjuntos de criptografia com perfect forward secrecy (PFS) como Ephemeral Diffie-Hellman (DHE) ou Ephemeral Elliptic Curve Diffie-Hellman (ECDHE). A maioria dos sistemas modernos, como o Java 7 e versões posteriores, oferece suporte a esses modos.
Além disso, as solicitações devem ser assinadas usando um ID da chave de acesso e uma chave de acesso secreta associada a uma entidade principal do IAM. Ou você pode usar o AWS Security Token Service (AWS STS) para gerar credenciais de segurança temporárias para assinar solicitações.
Você pode chamar essas operações de API de qualquer local da rede, mas o AWS KMS é compatível com condições de política globais que permitem controlar o acesso a uma chave do KMS com base no endereço IP de origem, na VPC e no endpoint da VPC. É possível usar essas chaves de condição em políticas de chaves e em políticas do IAM. No entanto, essas condições podem impedir que a AWS use a chave do KMS em seu nome. Para obter mais detalhes, consulte AWS chaves de condição globais.
Por exemplo, a seguinte instrução de política de chaves permite que os usuários que podem assumir a função KMSTestRole utilizem essa AWS KMS keypara operações de criptografia especificadas, a não ser que o endereço IP de origem seja um dos endereços IP especificados na política.
{ "Version": "2012-10-17", "Statement": { "Effect": "Allow", "Principal": {"AWS": "arn:aws:iam::111122223333:role/KMSTestRole"}, "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms:GenerateDataKey*", "kms:DescribeKey" ], "Resource": "*", "Condition": { "NotIpAddress": { "aws:SourceIp": [ "192.0.2.0/24", "203.0.113.0/24" ] } } } }
Isolamento de hosts físicos
A segurança da infraestrutura física usada pelo AWS KMS está sujeita aos controles descritos na seção Segurança física e ambiental do whitepaper Amazon Web Services: Visão geral dos processos de segurança
AWS KMSO é compatível com módulos de segurança de hardware (HSMs) dedicados projetados com controles específicos para resistir a ataques físicos. Os HSMs são dispositivos físicos que não têm uma camada de virtualização, como um hipervisor, que compartilha o dispositivo físico entre vários locatários lógicos. O material de chave para AWS KMS keys é armazenado somente na memória volátil nos HSMs e apenas enquanto a chave do KMS está em uso. Essa memória é apagada quando o HSM sai do estado operacional, incluindo desligamentos e definições intencionais e não intencionais. Para obter informações detalhadas sobre a operação de HSMs do AWS KMS, consulte Detalhes criptográficos do AWS Key Management Service.
