Usar relatórios de auditoria com sua CA privada

Como criar um relatório de auditoria (console)

1. Faça login na sua AWS conta e abra o CA privada da AWS console em https://console.aws.amazon.com/acm-pca/home.

2. Na página Autoridades de certificação privadas, escolha sua CA privada na lista.

3. No menu Ações, selecione Gerar relatório de auditoria.

4. Em Destino do relatório de auditoria, para Criar um novo bucket do S3?, escolha Sim e digite um nome de bucket exclusivo ou escolha Não e escolha um bucket existente na lista.

   Se você escolher Sim, CA privada da AWS cria e anexa a política padrão ao seu bucket. Caso selecione No (Não), você deverá anexar uma política ao bucket antes de gerar um relatório de auditoria. Use o padrão de política descrito em Preparar um bucket do Amazon S3 para relatórios de auditoria. Para obter informações sobre como anexar uma política, consulte Adicionar uma política de bucket usando o console do Amazon S3

5. Em Formato de saída, escolha JSON para notação de JavaScript objeto ou CSV para valores separados por vírgula.

6. Selecione Generate audit report (Gerar relatório de auditoria).

Como criar um relatório de auditoria (AWS CLI)

1. Se você ainda não tiver um bucket do S3 para usar, crie um.

2. Anexe uma política ao bucket. Use o padrão de política descrito em Preparar um bucket do Amazon S3 para relatórios de auditoria. Para obter informações sobre como anexar uma política, consulte Adicionar uma política de bucket usando o console do Amazon S3

3. Use o comando create-certificate-authority-audit-report para criar o relatório de auditoria e colocá-lo no bucket S3 preparado.

   $ aws acm-pca create-certificate-authority-audit-report \
   --certificate-authority-arn arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566 \
   --s3-bucket-name bucket_name \
   --audit-report-response-format JSON 

Como configurar uma criptografia automática

Siga as etapas para habilitar a criptografia do servidor do S3.

1. Abra o console do Amazon S3 em https://console.aws.amazon.com/s3/.

2. Na tabela Buckets, escolha o bucket que conterá seus CA privada da AWS ativos.

3. Na página do bucket, escolha a guia Propriedades.

4. Escolha o cartão Criptografia padrão.

5. Escolha Habilitar.

6. Escolh Chave do Amazon S3 (SSE-S3).

7. Escolha Salvar alterações.

Como configurar a criptografia personalizada

Siga as etapas para habilitar a criptografia usando uma chave personalizada.

1. Abra o console do Amazon S3 em https://console.aws.amazon.com/s3/.

2. Na tabela Buckets, escolha o bucket que conterá seus CA privada da AWS ativos.

3. Na página do bucket, escolha a guia Propriedades.

4. Escolha o cartão Criptografia padrão.

5. Escolha Habilitar.

6. Escolha a AWS Key Management Service chave (SSE-KMS).

7. Escolha Escolher entre suas AWS KMS chaves ou Inserir AWS KMS key ARN.

8. Escolha Salvar alterações.

9. (Opcional) Se ainda não tiver uma chave KMS, crie uma usando o seguinte comando da AWS CLI create-key:

   $ aws kms create-key

   A saída contém o ID de chave e o nome do recurso da Amazon (ARN) da chave do KMS. Veja a seguir um exemplo de saída:

   {
       "KeyMetadata": {
           "KeyId": "01234567-89ab-cdef-0123-456789abcdef",
           "Description": "",
           "Enabled": true,
           "KeyUsage": "ENCRYPT_DECRYPT",
           "KeyState": "Enabled",
           "CreationDate": 1478910250.94,
           "Arn": "arn:aws:kms:us-west-2:123456789012:key/01234567-89ab-cdef-0123-456789abcdef",
           "AWSAccountId": "123456789012"
       }
   }

10. Usando as etapas a seguir, você concede permissão ao responsável pelo CA privada da AWS serviço para usar a chave KMS. Por padrão, todas as chaves do KMS são privadas; somente o proprietário do recurso pode usá-las para criptografar e descriptografar dados. No entanto, o proprietário do recurso pode conceder permissões para acessar a chave do KMS a outros usuários e recursos. A entidade principal desse serviço deve estar na mesma região em que a chave do KMS está armazenada.

    1. Primeiro, salve a política padrão para sua chave KMS policy.json usando o seguinte get-key-policycomando:

       $ aws kms get-key-policy --key-id key-id --policy-name default --output text > ./policy.json

    2. Abra o arquivo policy.json em um editor de textos. Selecione uma das declarações de políticas a seguir e adicione-a à política existente.

       Se a sua chave de bucket do Amazon S3 estiver habilitada, use a seguinte declaração:

       {
          "Sid":"Allow ACM-PCA use of the key",
          "Effect":"Allow",
          "Principal":{
             "Service":"acm-pca.amazonaws.com"
          },
          "Action":[
             "kms:GenerateDataKey",
             "kms:Decrypt"
          ],
          "Resource":"*",
          "Condition":{
             "StringLike":{
                "kms:EncryptionContext:aws:s3:arn":"arn:aws:s3:::bucket-name"
             }
          }
       }

       Se a sua chave de bucket do Amazon S3 estiver desabilitada, use a seguinte declaração:

       {
          "Sid":"Allow ACM-PCA use of the key",
          "Effect":"Allow",
          "Principal":{
             "Service":"acm-pca.amazonaws.com"
          },
          "Action":[
             "kms:GenerateDataKey",
             "kms:Decrypt"
          ],
          "Resource":"*",
          "Condition":{
             "StringLike":{
                "kms:EncryptionContext:aws:s3:arn":[
                   "arn:aws:s3:::bucket-name/acm-pca-permission-test-key",
                   "arn:aws:s3:::bucket-name/acm-pca-permission-test-key-private",
                   "arn:aws:s3:::bucket-name/audit-report/*",
                   "arn:aws:s3:::bucket-name/crl/*"
                ]
             }
          }
       }

    3. Por fim, aplique a política atualizada usando o seguinte put-key-policycomando:

       $ aws kms put-key-policy --key-id key_id --policy-name default --policy file://policy.json