Criptografia de dados em repouso para a Amazon SES

Por padrão, a Amazon SES criptografa todos os dados em repouso. A criptografia, por padrão, ajuda a reduzir a sobrecarga operacional e a complexidade envolvidas na proteção dos dados. A criptografia também permite que você crie arquivos do Mail Manager que atendam aos rigorosos requisitos regulamentares e de conformidade de criptografia.

SESfornece as seguintes opções de criptografia:

Criar uma chave gerenciada pelo cliente

Você pode criar uma chave simétrica gerenciada pelo cliente usando o AWS Management Console, ou o AWS KMS APIs.

Para criar uma chave simétrica gerenciada pelo cliente

Siga as etapas para criar KMS chaves de criptografia simétricas no AWS Key Management Service Guia do desenvolvedor.

Política de chave

As políticas de chaves controlam o acesso à chave gerenciada pelo seu cliente. Cada chave gerenciada pelo cliente deve ter exatamente uma política de chaves, que contém declarações que determinam quem pode usar a chave e como pode usá-la. Ao criar a chave gerenciada pelo cliente, é possível especificar uma política de chaves. Para obter mais informações, consulte Gerenciando o acesso às chaves gerenciadas pelo cliente no AWS Key Management Service Guia do desenvolvedor.

Para usar sua chave gerenciada pelo cliente com o arquivamento do Mail Manager, sua política de chaves deve permitir as seguintes API operações:

O exemplo a seguir mostra uma política de chaves típica:

{
            "Sid": "Allow SES to encrypt/decrypt",
            "Effect": "Allow",
            "Principal": {
                "Service": "ses.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        },

Para obter mais informações, consulte a especificação de permissões em uma política, no AWS Key Management Service Guia do desenvolvedor.

Para obter mais informações sobre solução de problemas, consulte Solução de problemas de acesso por chave, no AWS Key Management Service Guia do desenvolvedor.

Especificação de uma chave gerenciada pelo cliente para arquivamento do Mail Manager

Você pode especificar uma chave gerenciada pelo cliente como alternativa ao uso AWS chaves de propriedade. Ao criar um arquivamento, você pode especificar a chave de dados inserindo uma KMSchave ARN, que o arquivamento do Mail Manager usa para criptografar todos os dados do cliente no arquivamento.

Contexto SES de criptografia da Amazon

Um contexto de criptografia é um conjunto opcional de pares chave-valor que pode conter informações contextuais adicionais sobre os dados.

AWS KMS usa o contexto de criptografia como dados autenticados adicionais para oferecer suporte à criptografia autenticada. Quando você inclui um contexto de criptografia em uma solicitação para criptografar dados, AWS KMS vincula o contexto de criptografia aos dados criptografados. Para descriptografar os dados, você inclui o mesmo contexto de criptografia na solicitação.

Contexto SES de criptografia da Amazon

SESusa o mesmo contexto de criptografia em todos AWS KMS operações criptográficas, em que a chave está aws:ses:arn e o valor é o recurso Amazon Resource Name (ARN).

"encryptionContext": {
    "aws:ses:arn": "arn:aws:ses:us-west-2:111122223333:ExampleResourceName/ExampleResourceID"
}

Uso do contexto de criptografia para monitoramento

Ao usar uma chave simétrica gerenciada pelo cliente para criptografar seu SES recurso, você também pode usar o contexto de criptografia nos registros e registros de auditoria para identificar como a chave gerenciada pelo cliente está sendo usada. O contexto de criptografia também aparece nos registros gerados pelo AWS CloudTrail ou Amazon CloudWatch Logs.

Uso do contexto de criptografia para controlar o acesso à chave gerenciada pelo cliente

Você pode usar o contexto de criptografia nas principais políticas e IAM políticas conditions para controlar o acesso à sua chave simétrica gerenciada pelo cliente. Você também pode usar restrições no contexto de criptografia em uma concessão.

SESusa uma restrição de contexto de criptografia nas concessões para controlar o acesso à chave gerenciada pelo cliente em sua conta ou região. A restrição da concessão exige que as operações permitidas pela concessão usem o contexto de criptografia especificado.

{
    "Sid": "Enable DescribeKey",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/ExampleReadOnlyRole"
     },
     "Action": "kms:DescribeKey",
     "Resource": "*"
},
{
     "Sid": "Enable CreateGrant",
     "Effect": "Allow",
     "Principal": {
         "AWS": "arn:aws:iam::111122223333:role/ExampleReadOnlyRole"
     },
     "Action": "kms:CreateGrant",
     "Resource": "*",
     "Condition": {
         "StringEquals": {
             "kms:EncryptionContext:aws:ses:arn": "arn:aws:ses:us-west-2:111122223333:ExampleResourceName/ExampleResourceID"
          }
     }
}

Políticas de criação de arquivos

O exemplo de políticas a seguir mostra como habilitar a criação de arquivamento. As políticas funcionam em todos os ativos.

IAMpolítica

{
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "ses:CreateArchive",
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey",
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "ses.us-east-1.amazonaws.com",
                    "kms:CallerAccount": "012345678910"
                }
            }
        }

AWS KMS política

{
            "Sid": "Allow SES to encrypt/decrypt",
            "Effect": "Allow",
            "Principal": {
                "Service": "ses.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        },

Monitorando suas chaves de criptografia para a Amazon SES

Quando você usa um AWS KMS chave gerenciada pelo cliente com seus SES recursos da Amazon, você pode usar AWS CloudTrailou Amazon CloudWatch Logs para rastrear solicitações SES enviadas para AWS KMS.

Os exemplos a seguir são AWS CloudTrail eventos paraGenerateDataKey,Decrypt, e DescribeKey para monitorar KMS operações chamadas por SES para acessar dados criptografados por sua chave gerenciada pelo cliente:

Saiba mais

Os recursos a seguir fornecem mais informações sobre a criptografia de dados em repouso.