Considerações para AWS Endpoints VPC de criptografia de pagamento Criação de um endpoint VPC para AWS Payment Cryptography Conectar-se a um endpoint da VPC Controlar o acesso a um endpoint da VPC Usar um endpoint da VPC em uma declaração de política Registrar o endpoint da VPC em log

Conectando-se a AWS Criptografia de pagamento por meio de um endpoint VPC

Você pode se conectar diretamente à criptografia AWS de pagamento por meio de um endpoint de interface privada em sua nuvem privada virtual (VPC). Quando você usa uma interface de VPC endpoint, a comunicação entre sua VPC e a criptografia de AWS pagamento é conduzida inteiramente dentro da rede. AWS

AWS A criptografia de pagamento é compatível com endpoints do Amazon Virtual Private Cloud (Amazon VPC) desenvolvidos por. AWS PrivateLink Cada endpoint da VPC é representado por uma ou mais interfaces de rede elástica (ENIs) com endereços IP privados em sua sub-redes da VPC.

A interface VPC endpoint conecta sua VPC diretamente à criptografia de AWS pagamento sem um gateway de internet, dispositivo NAT, conexão VPN ou conexão. AWS Direct Connect As instâncias em sua VPC não precisam de endereços IP públicos para se comunicar com a criptografia AWS de pagamento.

Regiões

AWS A criptografia de pagamento é compatível com endpoints de VPC e políticas de endpoints de VPC em todas Regiões da AWS as áreas em que AWS a criptografia de pagamento é compatível.

Tópicos

Considerações para AWS Endpoints VPC de criptografia de pagamento
Criação de um endpoint VPC para AWS Payment Cryptography
Conectando-se a um AWS Endpoint VPC de criptografia de pagamento
Controlar o acesso a um endpoint da VPC
Usar um endpoint da VPC em uma declaração de política
Registrar o endpoint da VPC em log

Considerações para AWS Endpoints VPC de criptografia de pagamento

nota

Embora os endpoints de VPC permitam que você se conecte ao serviço em apenas uma zona de disponibilidade (AZ), recomendamos conectar-se a três zonas de disponibilidade para fins de alta disponibilidade e redundância.

Antes de configurar um endpoint VPC de interface para criptografia de AWS pagamento, revise o tópico Propriedades e limitações do endpoint de interface no Guia. AWS PrivateLink

AWS O suporte à criptografia de pagamento para um endpoint VPC inclui o seguinte.

Você pode usar seu endpoint de VPC para chamar todas as operações do plano de controle AWS de criptografia de pagamento e operações do plano de dados de criptografia AWS de pagamento a partir de uma VPC.
Você pode criar um endpoint VPC de interface que se conecta a um endpoint da região AWS de criptografia de pagamento.
AWS A criptografia de pagamento consiste em um plano de controle e um plano de dados. Você pode optar por configurar um ou ambos os subserviços AWS PrivateLink , mas cada um é configurado separadamente.
Você pode usar AWS CloudTrail registros para auditar o uso das chaves de criptografia de AWS pagamento por meio do endpoint VPC. Para obter detalhes, consulte Registrar o endpoint da VPC em log.

Criação de um endpoint VPC para AWS Payment Cryptography

Você pode criar um endpoint de VPC para criptografia de AWS pagamento usando o console do Amazon VPC ou a API do Amazon VPC. Para obter mais informações, consulte Criar um endpoint de interface no Guia do usuário do AWS PrivateLink .

Para criar um endpoint VPC para criptografia de AWS pagamento, use os seguintes nomes de serviço:


com.amazonaws.region.payment-cryptography.controlplane


com.amazonaws.region.payment-cryptography.dataplane

Por exemplo, na Região Oeste dos EUA (Oregon) (us-west-2), os nomes dos serviços seriam:


com.amazonaws.us-west-2.payment-cryptography.controlplane


com.amazonaws.us-west-2.payment-cryptography.dataplane

Para facilitar o uso do endpoint da VPC, é possível habilitar um nome de DNS privado para seu endpoint da VPC. Se você selecionar a opção Ativar nome de DNS, o nome de host DNS AWS de criptografia de pagamento padrão será resolvido para seu endpoint VPC. Por exemplo, https://controlplane.payment-cryptography.us-west-2.amazonaws.com resolveria para um endpoint da VPC conectado ao nome de serviço com.amazonaws.us-west-2.payment-cryptography.controlplane.

Essa opção facilita usar o endpoint da VPC. Os AWS SDKs AWS CLI usam o nome de host DNS de criptografia de AWS pagamento padrão por padrão, portanto, você não precisa especificar a URL do endpoint da VPC em aplicativos e comandos.

Para mais informações, consulte Acessar um serviço por meio de um endpoint de interface no Guia do AWS PrivateLink .

Conectando-se a um AWS Endpoint VPC de criptografia de pagamento

Você pode se conectar à criptografia AWS de pagamento por meio do endpoint VPC usando um AWS SDK, o ou. AWS CLI Ferramentas da AWS para PowerShell Para especificar o endpoint da VPC, use seu nome de DNS.

Por exemplo, este comando list-keys usa o parâmetro endpoint-url para especificar o endpoint da VPC. Para usar um comando como este, substitua o exemplo de ID de endpoint da VPC na sua conta.


$ aws payment-cryptography list-keys --endpoint-url https://vpce-1234abcdf5678c90a-09p7654s-us-east-1a.ec2.us-east-1.vpce.amazonaws.com

Se os nomes de host privados tiverem sido ativados ao criar o endpoint da VPC, você não precisa especificar o URL do endpoint da VPC nos comandos de CLI ou na configuração da aplicação. O nome de host DNS de criptografia de AWS pagamento padrão é resolvido para seu endpoint VPC. Os SDKs AWS CLI e usam esse nome de host por padrão, então você pode começar a usar o VPC endpoint para se conectar a um endpoint regional de criptografia de AWS pagamento sem alterar nada em seus scripts e aplicativos.

Para usar nomes de host privados, os atributosenableDnsHostnames e enableDnsSupport da sua VPC devem ser definidos como true. Para definir esses atributos, use a ModifyVpcAttribute operação. Para mais detalhes, consulte Exibir e atualizar atributos DNS para sua VPC no Guia do usuário do Amazon VPC.

Controlar o acesso a um endpoint da VPC

Para controlar o acesso ao seu endpoint de VPC para criptografia de AWS pagamento, anexe uma política de endpoint de VPC ao seu endpoint de VPC. A política de endpoint determina se os diretores podem usar o endpoint VPC para chamar operações de criptografia de AWS pagamento com recursos específicos de criptografia de pagamento. AWS

É possível criar uma política de endpoint da VPC ao criar seu endpoint e alterar a política de endpoint da VPC a qualquer momento. Use o console de gerenciamento da VPC ou as ModifyVpcEndpoint operações CreateVpcEndpoint ou. Você também pode criar e alterar uma política de endpoint de VPC usando um AWS CloudFormation modelo. Para obter ajuda sobre o uso do console de gerenciamento da VPC, consulte Criar um endpoint de interface e Modificar um endpoint de interface no Guia do AWS PrivateLink .

Para ajuda sobre como escrever e formatar um documento de política JSON, consulte aReferência a políticas JSON do IAM, no Manual do usuário do IAM.

Tópicos

Sobre políticas de endpoint da VPC
Política de endpoint da VPC padrão
Criar uma política de endpoint da VPC
Visualizar uma política de endpoint da VPC

Sobre políticas de endpoint da VPC

Para que uma solicitação de criptografia de AWS pagamento que usa um endpoint VPC seja bem-sucedida, o principal exige permissões de duas fontes:

Uma política baseada em identidade deve dar ao principal permissão para chamar a operação no recurso (chaves de criptografia de AWS pagamento ou alias).
Uma política de endpoint da VPC deve dar permissão à entidade principal para usar o endpoint para fazer a solicitação.

Por exemplo, uma política de chaves pode dar permissão principal para chamar Decrypt em determinadas chaves de criptografia AWS de pagamento. No entanto, a política de endpoint da VPC pode não permitir que o diretor Decrypt invoque essas chaves de criptografia AWS de pagamento usando o endpoint.

Ou uma política de endpoint de VPC pode permitir que um diretor use o endpoint para chamar determinadas chaves de StopKeyUsage criptografia de AWS pagamento. Mas se o diretor não tiver essas permissões de uma política do IAM, a solicitação falhará.

Política de endpoint da VPC padrão

Cada endpoint da VPC tem uma política de endpoint da VPC, mas não é necessário especificar a política. Se você não especificar uma política, a política de endpoint padrão permitirá todas as operações por todas as entidades principais em todos os recursos sobre o endpoint.

No entanto, para recursos AWS de criptografia de pagamento, o diretor também deve ter permissão para chamar a operação a partir de uma política do IAM. Portanto, na prática, a política padrão diz que se uma entidade principal tem permissão para chamar uma operação em um recurso, ela também pode chamá-la usando o endpoint.


{
  "Statement": [
    {
      "Action": "*", 
      "Effect": "Allow", 
      "Principal": "*", 
      "Resource": "*"
    }
  ]
}

Para permitir que entidades principais usem o endpoint da VPC apenas para um subconjunto de suas operações permitidas, crie ou atualize a política de endpoint da VPC.

Criar uma política de endpoint da VPC

Uma política de endpoint da VPC determina se uma entidade principal tem permissão para usar o endpoint da VPC para executar operações em um recurso. Para recursos AWS de criptografia de pagamento, o diretor também deve ter permissão para realizar as operações a partir de uma política do IAM.

Cada declaração de política de endpoint da VPC requer os seguintes elementos:

A entidade principal que pode executar ações
As ações que podem ser executadas
Os recursos nos quais as ações podem ser executadas

A declaração de política não especifica o endpoint da VPC. Em vez disso, ele se aplica a qualquer endpoint da VPC ao qual a política está associada. Para obter mais informações, consulte Controlar o acesso a serviços com endpoint da VPCs no Guia do usuário da Amazon VPC.

Veja a seguir um exemplo de uma política de endpoint de VPC para criptografia de AWS pagamentos. Quando anexada a um VPC endpoint, essa política permite usar o VPC endpoint ExampleUser para chamar as operações especificadas nas chaves de criptografia de pagamento AWS especificadas. Antes de usar uma política como essa, substitua o exemplo de identificador principal e chave por valores válidos da sua conta.


{
   "Statement":[
      {
         "Sid": "AllowDecryptAndView",
         "Principal": {"AWS": "arn:aws:iam::111122223333:user/ExampleUser"},
         "Effect":"Allow",
         "Action": [ 
             "payment-cryptography:Decrypt",
             "payment-cryptography:GetKey",  
             "payment-cryptography:ListAliases", 
             "payment-cryptography:ListKeys",
             "payment-cryptography:GetAlias"
          ],
         "Resource": "arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h"
      }
   ]
}

AWS CloudTrail registra todas as operações que usam o endpoint VPC. No entanto, seus CloudTrail registros não incluem operações solicitadas por diretores em outras contas ou operações para chaves de criptografia AWS de pagamento em outras contas.

Dessa forma, talvez você queira criar uma política de endpoint de VPC que impeça que diretores em contas externas usem o endpoint VPC para chamar qualquer operação de criptografia de AWS pagamento em qualquer chave na conta local.

O exemplo a seguir usa a chave de condição PrincipalAccount global aws: para negar acesso a todos os principais para todas as operações em todas as chaves de criptografia de AWS pagamento, a menos que o principal esteja na conta local. Antes de usar uma política como esta, substitua o ID de conta demonstrativo por um válido.


{
  "Statement": [
    {
      "Sid": "AccessForASpecificAccount",
      "Principal": {"AWS": "*"},
      "Action": "payment-cryptography:*",
      "Effect": "Deny",
      "Resource": "arn:aws:payment-cryptography:*:111122223333:key/*",
      "Condition": {
        "StringNotEquals": {
          "aws:PrincipalAccount": "111122223333"
        }
      }
    }
  ]
}

Visualizar uma política de endpoint da VPC

Para ver a política de endpoint da VPC para um endpoint, use o console de gerenciamento da VPC ou a operação. DescribeVpcEndpoints

O AWS CLI comando a seguir obtém a política para o endpoint com o ID de endpoint VPC especificado.

Antes de executar esse comando, substitua o ID de endpoint demonstrativo por um válido da sua conta.


$ aws ec2 describe-vpc-endpoints \
--query 'VpcEndpoints[?VpcEndpointId==`vpce-1234abcdf5678c90a`].[PolicyDocument]'
--output text

Usar um endpoint da VPC em uma declaração de política

Você pode controlar o acesso aos recursos e operações de criptografia de AWS pagamento quando a solicitação vem da VPC ou usa um endpoint da VPC. Para fazer isso, use uma política de IAM

Use a chave de condição aws:sourceVpce para conceder ou restringir o acesso com base no endpoint da VPC.
Use a chave de condição aws:sourceVpc para conceder ou restringir o acesso a uma VPC que hospedar o endpoint privado.

nota

A chave de aws:sourceIP condição não é efetiva quando a solicitação vem de um endpoint do Amazon VPC. Para restringir solicitações a um endpoint da VPC, use as chaves de condições aws:sourceVpce ou aws:sourceVpc. Para obter mais informações, consulte Gerenciamento de identidade e acesso para VPC endpoints e serviços de VPC endpoint no Guia do AWS PrivateLink .

Você pode usar essas chaves de condição globais para controlar o acesso às chaves de criptografia de AWS pagamento, aliases e operações como essas CreateKey que não dependem de nenhum recurso específico.

Por exemplo, o exemplo de política de chaves a seguir permite que um usuário realize operações criptográficas específicas com chaves de criptografia de AWS pagamento somente quando a solicitação usa o endpoint VPC especificado, bloqueando o acesso da Internet e das AWS PrivateLink conexões (se configurado). Quando um usuário faz uma solicitação à criptografia de AWS pagamento, o ID do endpoint da VPC na solicitação é comparado ao valor da chave de aws:sourceVpce condição na política. Se não coincidirem, a solicitação será negada.

Para usar uma política como essa, substitua o Conta da AWS ID do espaço reservado e os IDs do endpoint da VPC por valores válidos para sua conta.

Você também pode usar a chave de aws:sourceVpc condição para restringir o acesso às suas chaves de criptografia AWS de pagamento com base na VPC na qual o endpoint da VPC reside.

O exemplo de política de chaves a seguir permite comandos que gerenciam as chaves de criptografia de AWS pagamento somente quando elas vêm devpc-12345678. Além disso, ele permite comandos que usam as chaves AWS de criptografia de pagamento para operações criptográficas somente quando elas vêm. vpc-2b2b2b2b Você pode usar uma política como essa se uma aplicação é executada em uma VPC, mas você usa uma segunda VPC isolada para funções de gerenciamento.

Para usar uma política como essa, substitua o Conta da AWS ID do espaço reservado e os IDs do endpoint da VPC por valores válidos para sua conta.

Registrar o endpoint da VPC em log

AWS CloudTrail registra todas as operações que usam o endpoint VPC. Quando uma solicitação para AWS Payment Cryptography usa um endpoint VPC, o ID do endpoint VPC aparece na entrada de AWS CloudTrail registro que registra a solicitação. Você pode usar o ID do endpoint para auditar o uso do seu endpoint VPC de criptografia de AWS pagamento.

Para proteger sua VPC, as solicitações negadas por uma política de endpoint da VPC, mas que de outra forma seriam permitidas, não são registradas. AWS CloudTrail

Por exemplo, este exemplo de entrada de log registra uma solicitação de GenerateMac que usou o VPC endpoint. O campo vpcEndpointId aparece no final da entrada de log.


{
      "eventVersion": "1.08",
      "userIdentity": {
          "principalId": "TESTXECZ5U9M4LGF2N6Y5:i-98761b8890c09a34a",
          "arn": "arn:aws:sts::111122223333:assumed-role/samplerole/i-98761b8890c09a34a",
          "accountId": "111122223333",
          "accessKeyId": "TESTXECZ5U2ZULLHHMJG",
          "sessionContext": {
              "sessionIssuer": {
                  "type": "Role",
                  "principalId": "TESTXECZ5U9M4LGF2N6Y5",
                  "arn": "arn:aws:iam::111122223333:role/samplerole",
                  "accountId": "111122223333",
                  "userName": "samplerole"
              },
              "webIdFederationData": {},
              "attributes": {
                  "creationDate": "2024-05-27T19:34:10Z",
                  "mfaAuthenticated": "false"
              },
              "ec2RoleDelivery": "2.0"
          }
      },
      "eventTime": "2024-05-27T19:49:54Z",
      "eventSource": "payment-cryptography.amazonaws.com",
      "eventName": "CreateKey",
      "awsRegion": "us-east-1",
      "sourceIPAddress": "172.31.85.253",
      "userAgent": "aws-cli/2.14.5 Python/3.9.16 Linux/6.1.79-99.167.amzn2023.x86_64 source/x86_64.amzn.2023 prompt/off command/payment-cryptography.create-key",
      "requestParameters": {
          "keyAttributes": {
              "keyUsage": "TR31_M1_ISO_9797_1_MAC_KEY",
              "keyClass": "SYMMETRIC_KEY",
              "keyAlgorithm": "TDES_2KEY",
              "keyModesOfUse": {
                  "encrypt": false,
                  "decrypt": false,
                  "wrap": false,
                  "unwrap": false,
                  "generate": true,
                  "sign": false,
                  "verify": true,
                  "deriveKey": false,
                  "noRestrictions": false
              }
          },
          "exportable": true
      },
      "responseElements": {
          "key": {
              "keyArn": "arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h",
              "keyAttributes": {
                  "keyUsage": "TR31_M1_ISO_9797_1_MAC_KEY",
                  "keyClass": "SYMMETRIC_KEY",
                  "keyAlgorithm": "TDES_2KEY",
                  "keyModesOfUse": {
                      "encrypt": false,
                      "decrypt": false,
                      "wrap": false,
                      "unwrap": false,
                      "generate": true,
                      "sign": false,
                      "verify": true,
                      "deriveKey": false,
                      "noRestrictions": false
                  }
              },
              "keyCheckValue": "A486ED",
              "keyCheckValueAlgorithm": "ANSI_X9_24",
              "enabled": true,
              "exportable": true,
              "keyState": "CREATE_COMPLETE",
              "keyOrigin": "AWS_PAYMENT_CRYPTOGRAPHY",
              "createTimestamp": "May 27, 2024, 7:49:54 PM",
              "usageStartTimestamp": "May 27, 2024, 7:49:54 PM"
          }
      },
      "requestID": "f3020b3c-4e86-47f5-808f-14c7a4a99161",
      "eventID": "b87c3d30-f3ab-4131-87e8-bc54cfef9d29",
      "readOnly": false,
      "eventType": "AwsApiCall",
      "managementEvent": true,
      "recipientAccountId": "111122223333",
      "vpcEndpointId": "vpce-1234abcdf5678c90a",
      "eventCategory": "Management",
      "tlsDetails": {
          "tlsVersion": "TLSv1.3",
          "cipherSuite": "TLS_AES_128_GCM_SHA256",
          "clientProvidedHostHeader": "vpce-1234abcdf5678c90a-oo28vrvr.controlplane.payment-cryptography.us-east-1.vpce.amazonaws.com"
      }
  }

Atenção O Javascript está desativado ou não está disponível no seu navegador.

Para usar a documentação da AWS, o Javascript deve estar ativado. Consulte as páginas de Ajuda do navegador para obter instruções.

Convenções do documento

Segurança da infraestrutura

TLS pós-quântico híbrido