Opções de configuração para recuperar amostras de dados confidenciais com o Macie

Como opção é possível configurar e usar o Amazon Macie para recuperar e revelar amostras de dados confidenciais que o Macie relata em descobertas individuais. Se você recuperar e revelar amostras de dados confidenciais para uma descoberta, o Macie vai usar os dados no resultado da descoberta de dados confidenciais correspondente para localizar ocorrências de dados confidenciais no objeto afetado do Amazon Simple Storage Service (Amazon S3). Em seguida, o Macie extrai amostras dessas ocorrências do objeto afetado. O Macie criptografa os dados extraídos com uma chave AWS Key Management Service (AWS KMS) que você especifica, armazena temporariamente os dados criptografados em um cache e retorna os dados em seus resultados para a descoberta. Logo após a extração e a criptografia, o Macie exclui permanentemente os dados do cache, a menos que uma retenção adicional seja temporariamente necessária para resolver um problema operacional.

O Macie não usa o perfil vinculado a serviço do Macie em sua conta para localizar, recuperar, criptografar ou revelar amostras de dados confidenciais para objetos afetados do S3. Em vez disso, o Macie usa configurações e recursos que você configura para sua conta. Ao definir as configurações no Macie, você especifica como acessar os objetos afetados do S3. Você também especifica qual usar AWS KMS key para criptografar as amostras. Você pode definir as configurações em todas as regiões em Regiões da AWS que o Macie está disponível atualmente, exceto nas regiões Ásia-Pacífico (Osaka) e Israel (Tel Aviv).

Você tem duas opções para acessar objetos afetados do S3 e recuperar amostras de dados confidenciais deles. Você pode configurar o Macie para usar AWS Identity and Access Management (IAM) credenciais de usuário ou assumir uma IAM função:

Você pode usar qualquer uma das configurações com qualquer tipo de conta do Macie, ou seja, a conta delegada de administrador do Macie para uma organização, uma conta de membro do Macie em uma organização ou uma conta autônoma do Macie.

Os tópicos a seguir explicam as opções, os requisitos e os fatores que podem ajudar você a determinar como definir as configurações e os recursos para sua conta. Isso inclui as políticas de confiança e permissões a serem anexadas a uma IAM função. Para obter recomendações adicionais e exemplos de políticas que você pode usar para recuperar e revelar amostras de dados confidenciais, consulte a seguinte postagem no blog de AWS segurança: Como usar o Amazon Macie para visualizar dados confidenciais em buckets do S3.

Como determinar qual método de acesso usar

Ao determinar qual configuração é melhor para seu AWS ambiente, uma consideração importante é se seu ambiente inclui várias contas do Amazon Macie que são gerenciadas centralmente como uma organização. Se você for o administrador delegado do Macie de uma organização, configurar o Macie para assumir uma IAM função pode simplificar a recuperação de amostras de dados confidenciais de objetos do S3 afetados para contas em sua organização. Com essa abordagem, você cria uma IAM função na sua conta de administrador. Você também cria uma IAM função em cada conta de membro aplicável. O perfil na sua conta de administrador delega acesso ao Macie. O perfil em uma conta de membro delega o acesso entre contas ao perfil em sua conta de administrador. Se implementado, você poderá usar o encadeamento de perfis para acessar objetos do S3 afetados para as contas de membros.

Considere também quem tem acesso direto às descobertas individuais por padrão. A fim de recuperar e revelar amostras de dados confidenciais para uma descoberta, primeiro o usuário deve ter acesso à descoberta:

Se você planeja acessar objetos do S3 afetados usando uma IAM função, considere também o seguinte:

Os tópicos subsequentes desta seção fornecem detalhes e considerações adicionais para cada tipo de configuração. Para IAM funções, isso inclui as políticas de confiança e permissões a serem anexadas a uma função. Se você não tiver certeza de qual tipo de configuração é melhor para seu ambiente, peça ajuda ao AWS administrador.

Usando credenciais de IAM usuário para acessar objetos do S3 afetados

Se você configurar o Amazon Macie para recuperar amostras de dados confidenciais usando credenciais de IAM usuário, cada usuário da sua conta Macie usará sua IAM identidade para localizar, recuperar, criptografar e revelar amostras para descobertas individuais. Isso significa que um usuário pode recuperar e revelar amostras de dados confidenciais para uma descoberta se sua IAM identidade tiver permissão para acessar os recursos e dados necessários e realizar as ações necessárias. Todas as ações necessárias estão registradas em AWS CloudTrail.

Para recuperar e revelar amostras de dados confidenciais de uma descoberta específica, o usuário precisa ter permissão para acessar os seguintes dados e recursos: a descoberta; o resultado correspondente da descoberta de dados confidenciais, o bucket afetado do S3 e o objeto afetado do S3. Eles também devem ter permissão para usar o AWS KMS key que foi usado para criptografar o objeto afetado, se aplicável, e o AWS KMS key que você configura o Macie para usar para criptografar amostras de dados confidenciais. Se alguma IAM política, política de recursos ou outras configurações de permissão negar o acesso necessário, o usuário não poderá recuperar e revelar amostras da descoberta.

Para definir esse tipo de configuração, conclua as seguintes tarefas gerais:

Para obter informações sobre como realizar essas tarefas, consulte Configurando o Macie para recuperar amostras de dados confidenciais.

Assumindo uma IAM função para acessar objetos do S3 afetados

Para configurar o Amazon Macie para recuperar amostras de dados confidenciais assumindo uma IAM função, comece criando uma IAM função que delegue acesso ao Amazon Macie. Garanta que as políticas de confiança e permissões do perfil atendam a todos os requisitos para que o Macie assuma o perfil. Quando um usuário da sua conta do Macie optar por recuperar e revelar amostras de dados confidenciais para uma descoberta, o Macie assumirá a função de recuperar as amostras do objeto afetado do S3. O Macie só assume o perfil quando um usuário opta por recuperar e revelar amostras para uma descoberta. Para assumir a função, Macie usa a AssumeRoleoperação do AWS Security Token Service (AWS STS)API. Todas as ações necessárias estão logadas. AWS CloudTrail

Para recuperar e revelar amostras de dados confidenciais para uma descoberta específica, o usuário deve ter permissão para acessar a descoberta, o resultado correspondente da descoberta de dados confidenciais e o AWS KMS key que você configura o Macie para usar para criptografar amostras de dados confidenciais. A IAM função deve permitir que o Macie acesse o bucket do S3 afetado e o objeto do S3 afetado. A função também deve ter permissão para usar o AWS KMS key que foi usado para criptografar o objeto afetado, se aplicável. Se alguma IAM política, política de recursos ou outras configurações de permissão negar o acesso necessário, o usuário não poderá recuperar e revelar amostras da descoberta.

Para definir esse tipo de configuração, conclua as seguintes tarefas gerais. Se você tiver uma conta de membro em uma organização, trabalhe com o administrador do Macie para determinar se e como definir as configurações e os recursos da sua conta.

Para obter informações sobre como realizar essas tarefas, consulte Configurando o Macie para recuperar amostras de dados confidenciais.

Configurando uma IAM função para acessar objetos do S3 afetados

Para acessar os objetos afetados do S3 usando uma IAM função, comece criando e configurando uma função que delega acesso ao Amazon Macie. Garanta que as políticas de confiança e permissões do perfil atendam a todos os requisitos para que o Macie assuma o perfil. A maneira de fazer isso dependerá do seu tipo de conta Macie.

As seções a seguir fornecem detalhes sobre as políticas de confiança e permissões a serem anexadas à IAM função de cada tipo de conta do Macie. Escolha a seção para o tipo de conta que você tem.

Para obter informações detalhadas sobre como usar IAM para criar a função, consulte Criação de uma função usando políticas de confiança personalizadas no Guia AWS Identity and Access Management do usuário.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "RetrieveS3Objects",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "AssumeMacieRevealRoleForCrossAccountAccess",
            "Effect": "Allow",
            "Action": [
                "sts:AssumeRole"
            ],
            "Resource": "arn:aws:iam::*:role/IAMRoleName"
        }
    ]
}

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowMacieReveal",
            "Effect": "Allow",
            "Principal": {
                "Service": "reveal-samples.macie.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "accountID"
                }
            }
        }
    ]
}

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "RetrieveS3Objects",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowMacieAdminRevealRoleForCrossAccountAccess",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::administratorAccountID:role/IAMRoleName"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": "externalID",
                    "aws:PrincipalOrgID": "${aws:ResourceOrgID}"
                }
            }
        }
    ]
}

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "RetrieveS3Objects",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowMacieReveal",
            "Effect": "Allow",
            "Principal": {
                "Service": "reveal-samples.macie.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "accountID"
                }
            }
        }
    ]
}

Como descriptografar objetos afetados do S3

O Amazon S3 oferece suporte a várias opções de criptografia para objetos do S3. Para a maioria dessas opções, nenhum recurso ou permissão adicional é necessário para que um IAM usuário ou uma função decodifique e recupere amostras de dados confidenciais de um objeto afetado. Esse é o caso para um objeto criptografado usando criptografia no lado do servidor com uma chave gerenciada pelo Amazon S3 ou uma AWS KMS key gerenciada pela AWS .

No entanto, se um objeto do S3 for criptografado com um cliente gerenciado AWS KMS key, serão necessárias permissões adicionais para descriptografar e recuperar amostras de dados confidenciais do objeto. Mais especificamente, a política de chaves da KMS chave deve permitir que o IAM usuário ou a função executem a kms:Decrypt ação. Caso contrário, ocorrerá um erro e o Amazon Macie não recuperará nenhuma amostra do objeto. Para saber como fornecer esse acesso a um IAM usuário, consulte os KMSprincipais acessos e permissões no Guia do AWS Key Management Service desenvolvedor.

A forma de fornecer esse acesso para uma IAM função depende se a conta proprietária da AWS KMS key também possui a função:

Este tópico descreve como realizar essas tarefas para uma IAM função que você criou para recuperar amostras de dados confidenciais de objetos do S3. Ele também fornece exemplos para os dois cenários. Para obter informações sobre como permitir o acesso ao cliente gerenciado AWS KMS keys em outros cenários, consulte os KMSprincipais acessos e permissões no Guia do AWS Key Management Service desenvolvedor.

Permitir acesso da mesma conta a uma chave gerenciada pelo cliente

Se a mesma conta possuir a função AWS KMS key e a IAM função, um usuário da conta precisará adicionar uma declaração à política da chave. A declaração adicional deve permitir que a IAM função decifre dados usando a chave. Para obter informações detalhadas sobre como atualizar uma política principal, consulte Alterar uma política de chave no Guia do desenvolvedor AWS Key Management Service .

Na declaração:

Veja a seguir um exemplo da declaração a ser adicionada à política de uma KMS chave.

{
    "Sid": "Allow the Macie reveal role to use the key",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/IAMRoleName"
    },
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": "*"
}

No exemplo anterior:

O local em que você adiciona essa declaração a uma política de chave depende da estrutura e dos elementos que a política contém atualmente. Ao adicionar a instrução, certifique-se de que a sintaxe seja válida. As principais políticas usam o JSON formato. Isso significa que você também precisa adicionar uma vírgula antes ou depois da declaração, dependendo de onde você adiciona a declaração à política.

Permitir acesso entre contas a uma chave gerenciada pelo cliente

Se uma conta possuir o AWS KMS key (proprietário da chave) e uma conta diferente possuir a IAM função (proprietário da função), o proprietário da chave deverá fornecer ao proprietário da função acesso cruzado à chave. Uma maneira de fazer isso é usando uma concessão Uma concessão é um instrumento de política que permite que AWS os diretores usem KMS chaves em operações criptográficas se as condições especificadas pela concessão forem atendidas. Para saber mais sobre concessões, consulte Subsídios AWS KMS no AWS Key Management Service Guia do desenvolvedor.

Com essa abordagem, primeiro o proprietário da chave garante que a política da chave permita que o proprietário do perfil crie uma concessão para a chave. Em seguida, o proprietário do perfil criará uma concessão para a chave. A concessão delega as permissões relevantes para a IAM função em sua conta. Ele permite que o perfil decifre objetos do S3 que são criptografados com a chave.

Etapa 1: atualizar a política de chave

Na política de chaves, o proprietário da chave deve garantir que a política inclua uma declaração que permita ao proprietário da função criar uma concessão para a IAM função em sua conta (do proprietário da função). Nessa declaração, o Principal elemento deve especificar a conta ARN do proprietário da função. O array Action deve especificar a ação kms:CreateGrant. Um bloco Condition pode filtrar o acesso à ação especificada. Veja a seguir um exemplo dessa declaração na política de uma KMS chave.

{
    "Sid": "Allow a role in an account to create a grant",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::111122223333:root"
    },
    "Action": [
        "kms:CreateGrant"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:GranteePrincipal": "arn:aws:iam::111122223333:role/IAMRoleName"
        },
        "ForAllValues:StringEquals": {
            "kms:GrantOperations": "Decrypt"
        }
    }
}

No exemplo anterior:

O local no qual o proprietário adicionará essa declaração a uma política de chave dependerá da estrutura e dos elementos atualmente contidos na política. Quando o proprietário da chave adiciona a declaração, ele deve garantir que a sintaxe seja válida. As principais políticas usam o JSON formato. Isso significa que você também precisa adicionar uma vírgula antes ou depois da declaração, dependendo de onde você adiciona a declaração à política. Para obter informações detalhadas sobre como atualizar uma política principal, consulte Alterar uma política de chave no Guia do desenvolvedor AWS Key Management Service .

Etapa 2: criar uma concessão

Depois que o proprietário da chave atualizar a política de chave conforme necessário, o proprietário do perfil criará uma concessão para a chave. A concessão delega as permissões relevantes à IAM função em sua conta (do proprietário da função). Antes que o proprietário do perfil crie a concessão, ele deverá verificar se tem permissão para realizar a ação kms:CreateGrant. Essa ação permite que ele adicione uma concessão a uma AWS KMS key existente gerenciada pelo cliente.

Para criar a concessão, o proprietário da função pode usar a CreateGrantoperação do AWS Key Management Service API. Quando o proprietário do perfil criar a concessão, ele deverá especificar os seguintes valores para os parâmetros necessários:

Se o proprietário da função estiver usando o AWS Command Line Interface (AWS CLI), ele poderá executar o comando create-grant para criar a concessão. O exemplo a seguir mostra como. O exemplo está formatado para Microsoft Windows e usa o caractere de continuação de linha circunflexo (^) para melhorar a legibilidade.

C:\> aws kms create-grant ^
--key-id arn:aws:kms:us-east-1:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab ^
--grantee-principal arn:aws:iam::111122223333:role/IAMRoleName ^
--operations "Decrypt"

Em que:

Se o comando for executado com sucesso, você receberá um resultado semelhante ao seguinte.

{
    "GrantToken": "<grant token>",
    "GrantId": "1a2b3c4d2f5e69f440bae30eaec9570bb1fb7358824f9ddfa1aa5a0dab1a59b2"
}

Onde GrantToken é uma string única, não secreta, de comprimento variável e codificada em base64 que representa a concessão que foi criada e GrantId é o identificador exclusivo da concessão.