As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Implementação de chaves KMS gerenciadas pelo cliente em Centro de Identidade do AWS IAM
As chaves gerenciadas pelo cliente são AWS chaves do Serviço de Gerenciamento de Chaves que você cria, possui e gerencia. Para implementar uma chave KMS gerenciada pelo cliente para criptografia em repouso no AWS IAM Identity Center, siga estas etapas:
Importante
Alguns aplicativos AWS gerenciados não podem ser usados com o AWS IAM Identity Center configurado com uma chave KMS gerenciada pelo cliente. Consulte AWS aplicativos gerenciados que você pode usar com o IAM Identity Center.
-
Etapa 1: identificar casos de uso para a organização — Para definir as permissões corretas para o uso da chave KMS, você precisa identificar os casos de uso relevantes na organização. As permissões da chave KMS consistem em declarações de política de chave KMS e políticas baseadas em identidade que trabalham juntas para permitir que as entidades principais apropriadas do IAM usem a chave KMS para casos de uso específicos.
-
Etapa 2: preparar as declarações de política de chave KMS — Escolha modelos de declaração de política de chave KMS pertinentes com base nos casos de uso identificados na Etapa 1 e preencha os identificadores obrigatórios e os nomes da entidade principal do IAM. Comece com as declarações de política de chave KMS de linha de base e, se as políticas de segurança exigirem, refine-as conforme descrito nas declarações de política de chaves avançadas do KMS.
-
Etapa 3: criar uma chave KMS gerenciada pelo cliente- Crie uma chave KMS no AWS KMS que atenda aos requisitos do IAM Identity Center e adicione as declarações de política de chaves do KMS preparadas na Etapa 2 à política de chaves do KMS.
-
Etapa 4: configurar políticas do IAM para o uso entre contas da chave KMS — Escolha modelos de declaração de política do IAM pertinentes com base nos casos de uso identificados na Etapa 1 e prepare-os para uso preenchendo a chave ARN. Em seguida, permita que as entidades principais do IAM de cada caso de uso específico usem a chave KMS em todas as contas, adicionando as declarações de política do IAM preparadas às políticas do IAM das entidades principais.
-
Etapa 5: configurar a chave KMS no IAM Identity Center — Habilite a chave KMS gerenciada pelo cliente na instância do IAM Identity Center para usá-la para criptografia em repouso.
Etapa 1: identificar casos de uso para a organização
Antes de criar e configurar a chave KMS gerenciada pelo cliente, identifique os casos de uso e prepare as permissões exigidas da chave KMS. Consulte o Guia do desenvolvedor do AWS KMS para obter mais informações sobre a política de chave KMS.
As entidades principais do IAM que chamam as APIs do serviço do IAM Identity Center exigem permissões. Por exemplo, um administrador delegado pode ser autorizado a usar essas APIs por meio de uma política de conjunto de permissões. Quando o IAM Identity Center é configurado com uma chave gerenciada pelo cliente, as entidades principais do IAM também devem ter permissões para usar a API de KMS por meio das APIs de serviço do IAM Identity Center. Você define essas permissões da API de KMS em dois lugares: na política de chave KMS e nas políticas do IAM associadas às entidades principais do IAM.
As permissões da chave KMS consistem em:
-
Declarações de política de chave KMS que você especifica na chave KMS durante a criação em Etapa 3: criar uma chave KMS gerenciada pelo cliente.
-
Declarações de política do IAM para entidade principais do IAM que você especifica em Etapa 4: configurar políticas do IAM para o uso entre contas da chave KMS depois de criar a chave KMS.
A tabela a seguir especifica os casos de uso relevantes e as entidades principais do IAM que precisam de permissões para usar a chave KMS.
| Caso de uso | Entidades principais do IAM que precisam de permissões para usar a chave KMS | Required/Optional |
|---|---|---|
| Uso do AWS IAM Identity Center |
|
Obrigatório |
| Uso de aplicativos AWS gerenciados com o IAM Identity Center |
|
Opcional |
| Uso de AWS Control Tower na instância do AWS IAM Identity Center que ele ativou |
|
Opcional |
| SSO para instâncias do Amazon EC2 com AWS IAM Identity Center |
|
Opcional |
| Qualquer outro caso de uso que faça chamadas para as APIs de serviço do IAM Identity Center com entidades principais do IAM, como aplicações gerenciadas pelo cliente, fluxos de trabalho de provisionamento de conjuntos de permissões ou funções AWS Lambda |
|
Opcional |
nota
Vários principais do IAM listados na tabela exigem permissões da API AWS KMS. No entanto, para proteger seus dados de usuários e grupos no IAM Identity Center, somente os serviços IAM Identity Center e Identity Store chamam diretamente a API AWS KMS.
Etapa 2: preparar as declarações de política de chave KMS
Comece com o Política básica de chaves do KMS e personalize-o para sua organização. Se você precisar de políticas mais específicas com base nos requisitos de segurança, poderá modificar as declarações de política usando os exemplos em Declarações de política de chave KMS avançadas. Para obter orientação sobre essa decisão, consulte Considerações sobre a escolha das declarações de política de chave KMS de linha de base em comparação com as avançadas.
-
Copie a política básica para um editor e insira os identificadores necessários e os nomes principais do IAM nas declarações de política de chaves do KMS. Para obter ajuda para encontrar os valores dos identificadores referenciados, consulte Onde encontrar os identificadores necessários.
-
Se seus requisitos de segurança exigirem isso, refine as declarações de política usando os exemplos emDeclarações de política de chave KMS avançadas.
Importante
Tenha cuidado ao modificar as políticas de chave KMS para chaves já em uso pelo IAM Identity Center. Embora o IAM Identity Center valide as permissões de criptografia e descriptografia quando você configura inicialmente uma chave KMS, ele não pode verificar alterações de política subsequentes. A remoção inadvertida das permissões necessárias pode interromper a operação normal do IAM Identity Center. Para obter orientação sobre como solucionar erros comuns relacionados às chaves gerenciadas pelo cliente no IAM Identity Center, consulte Solucione problemas de chaves gerenciadas pelo cliente em Centro de Identidade do AWS IAM.
nota
O IAM Identity Center e o Identity Store associado exigem permissões de nível de serviço para usar a chave KMS gerenciada pelo cliente. Esse requisito se estende aos aplicativos AWS gerenciados que chamam as APIs de serviço do IAM Identity Center usando credenciais de serviço. Para outros casos de uso em que as APIs do serviço IAM Identity Center são chamadas com sessões de acesso direto, somente a entidade principal do IAM iniciante (como um administrador) precisa de permissões de chave KMS. Notavelmente, os usuários finais que usam o portal de AWS acesso e os aplicativos AWS gerenciados não precisam de permissões diretas de chave KMS, pois elas são concedidas por meio dos respectivos serviços.
Etapa 3: criar uma chave KMS gerenciada pelo cliente
Você pode criar uma chave gerenciada pelo cliente usando o AWS Management Console ou as AWS APIs do KMS. Ao criar a chave, adicione as declarações de política de chave KMS que você preparou na Etapa 2 à política de chave KMS. Para obter instruções detalhadas, incluindo orientações sobre a política de chave padrão do KMS, consulte o Guia do desenvolvedor do AWS Key Management Service.
A chave deve atender aos seguintes requisitos:
-
A chave KMS deve estar na mesma AWS região da instância do IAM Identity Center
-
Você pode criar um cluster de região única ou multirregional. No entanto, se você planeja usar o IAM Identity Center em várias regiões, Regiões da AWS deverá criar uma chave KMS multirregional. Não é possível converter uma chave KMS de região única em uma de várias regiões, portanto, recomendamos começar com uma chave KMS de várias regiões, a menos que você tenha um requisito específico de usar uma chave KMS de região única.
-
A chave KMS deve ser uma chave simétrica configurada para o uso de “criptografar e descriptografar”
-
A chave KMS deve estar na mesma conta AWS Organizations de gerenciamento da instância organizacional do IAM Identity Center.
nota
Se você planeja replicar essa chave KMS nas regiões em que deseja replicar seu IAM Identity Center, recomendamos primeiro concluir a configuração nesta seção e, em seguida, seguir as orientações em Replique o IAM Identity Center para uma região adicional
Etapa 4: configurar políticas do IAM para o uso entre contas da chave KMS
Qualquer diretor do IAM que usa as APIs de serviço do IAM Identity Center de outra AWS conta, como administradores delegados do IAM Identity Center, também precisa de uma declaração de política do IAM que permita o uso da chave KMS por meio dessas APIs.
Para cada caso de uso identificado na etapa 1:
-
Localize os modelos de declaração de política do IAM pertinentes na chave KMS da linha de base e nas declarações de política do IAM.
-
Copie os modelos para um editor e preencha a chave ARN, que agora está disponível após a criação da chave KMS na etapa 3. Para obter ajuda para encontrar o valor ARN da chave, consulte Onde encontrar os identificadores necessários.
-
Em Console de gerenciamento da AWS, localize a política de IAM do principal do IAM associada ao caso de uso. O local da política varia de acordo com o caso de uso e como o acesso é concedido.
-
Para o acesso concedido diretamente no IAM, você pode localizar as entidades principais do IAM, como perfis do IAM no console do IAM.
-
Para acesso concedido pelo IAM Identity Center, você pode localizar o conjunto de permissões pertinente no console do IAM Identity Center.
-
-
Adicione as declarações de política do IAM específicas do caso de uso ao perfil do IAM e salve a alteração.
nota
As políticas do IAM descritas aqui são políticas baseadas em identidade. Embora essas políticas possam ser anexadas a usuários, grupos e perfis do IAM, recomendamos o uso de perfis do IAM sempre que possível. Consulte o Guia do Usuário do IAM para obter mais informações sobre perfis do IAM versus usuários do IAM.
Configuração adicional em alguns AWS aplicativos gerenciados
Alguns aplicativos AWS gerenciados exigem que você configure uma função de serviço para permitir que os aplicativos usem as APIs de serviço do IAM Identity Center. Se sua organização usa aplicativos AWS gerenciados com o IAM Identity Center, conclua as seguintes etapas para cada aplicativo implantado:
-
Consulte o guia do usuário da aplicação para confirmar se as permissões foram atualizadas para incluir permissões relacionadas à chave KMS para uso da aplicação com o IAM Identity Center.
-
Nesse caso, atualize as permissões conforme as instruções no guia do usuário do @aplicação para evitar interrupções nas operações da aplicação.
nota
Se você não tiver certeza se um aplicativo AWS gerenciado usa essas permissões, recomendamos que você verifique os guias do usuário de todos os aplicativos AWS gerenciados implantados. Você só precisa realizar essa configuração uma vez para cada aplicação que requer a configuração.
Etapa 5: configurar a chave KMS no IAM Identity Center
Importante
Antes de prosseguir com esta etapa:
-
Verifique se seus aplicativos AWS gerenciados são compatíveis com as chaves KMS gerenciadas pelo cliente. Para obter uma lista de aplicações compatíveis, consulte Aplicações gerenciadas pela AWS que você pode usar com o IAM Identity Center. Se você tiver aplicações incompatíveis, não continue.
-
Configure as permissões necessárias para o uso da chave KMS. Sem as permissões adequadas, essa etapa pode falhar ou interromper a administração do IAM Identity Center, o uso de aplicações gerenciadas pela AWS e outros casos de uso que exigem permissões de chave KMS. Para obter mais informações, consulte Etapa 1: identificar casos de uso para a organização.
-
Garanta que as permissões para aplicativos AWS gerenciados e aplicativos gerenciados pelo cliente que chamam as APIs de serviço do IAM Identity Center com funções do IAM também permitam o uso da chave KMS por meio das APIs de serviço do IAM Identity Center. Alguns aplicativos AWS gerenciados exigem que você configure permissões, como uma função de serviço, para o uso dessas APIs. Consulte o Guia do usuário de cada aplicativo AWS gerenciado implantado para confirmar se você precisa adicionar permissões de chave KMS específicas.
Especificar uma chave KMS ao habilitar uma nova instância de organização do IAM Identity Center
nota
Se estiverem habilitados por padrão, você pode configurar uma chave gerenciada pelo cliente como parte da criação da instância. Regiões da AWS Para obter mais informações, consulte Habilitar o IAM Identity Center.
Ao ativar uma nova instância organizacional do IAM Identity Center em uma região onde as opções de configuração da instância não estão disponíveis, você pode especificar uma chave KMS gerenciada pelo cliente durante a configuração. Isso garante que a instância use a chave para criptografia em repouso desde o início. Antes de começar, consulte Considerações sobre chaves KMS gerenciadas pelo cliente e políticas avançadas de chaves KMS.
-
Na página Habilitar IAM Identity Center, expanda a seção Criptografia em repouso.
-
Escolha Manage Encryption (Gerenciar criptografia).
-
Escolha Chave gerenciada pelo cliente.
-
Em Chave KMS, realize um destes procedimentos:
-
Escolha Selecionar nas chaves KMS e selecione a chave que você criou na lista suspensa.
-
Escolha Inserir ARN da chave KMS e insira o ARN completo da chave.
-
-
Escolha Salvar.
-
Escolha Habilitar para concluir a configuração.
Para obter mais informações, consulte Habilitar o IAM Identity Center.
Alterar a configuração de chaves para uma instância de organização existente do IAM Identity Center
Você pode alterar a chave KMS gerenciada pelo cliente para outra chave ou mudar para uma chave de propriedade da AWS a qualquer momento.
Considerações sobre chave gerenciada pelo cliente
-
Atualizar a configuração da chave KMS para a operação do IAM Identity Center não tem efeito nas sessões ativas do usuário no IAM Identity Center. Você pode continuar usando o portal de AWS acesso, o console do IAM Identity Center e as APIs de serviço do IAM Identity Center durante esse processo.
-
Ao mudar para uma nova chave KMS, o IAM Identity Center valida que pode usar a chave com sucesso para criptografia e descriptografia. Se você cometeu um erro durante a configuração da política de chave ou da política do IAM, o console mostrará uma mensagem de erro explicativa e a chave KMS anterior permanecerá em uso.
-
A rotação anual padrão de chaves KMS ocorrerá automaticamente. Você pode consultar o Guia do desenvolvedor do AWS KMS para obter informações sobre tópicos como rotação de chaves, monitoramento de chaves AWS KMS e controle do acesso à exclusão de chaves.
Importante
Se a chave KMS gerenciada pelo cliente em uso pela instância do IAM Identity Center for excluída, desabilitada ou tornar-se inacessível devido a uma política de chave KMS incorreta, os usuários da força de trabalho e os administradores do IAM Identity Center não poderão usar o IAM Identity Center. A perda de acesso pode ser temporária (uma política de chave pode ser corrigida) ou permanente (uma chave excluída não pode ser restaurada), dependendo das circunstâncias. Recomendamos que você restrinja o acesso a operações críticas, como excluir ou desativar a chave KMS. Além disso, recomendamos que sua organização configure procedimentos AWS de acesso inovadores para garantir que seus usuários privilegiados possam acessar AWS caso o IAM Identity Center fique inacessível.
Onde encontrar os identificadores necessários
Ao configurar as permissões para a chave KMS gerenciada pelo cliente, você precisará de identificadores de recursos da AWS específicos para atender à política de chave e os modelos de declaração de política do IAM. Insira os identificadores exigidos (por exemplo, ID da organização) e os nomes das entidades principais do IAM nas declarações de política de chave KMS.
Abaixo está um guia para localizar esses identificadores no AWS Management Console.
IAM Identity Center: nome do recurso da Amazon (ARN) e ARN do Identity Store
Uma instância do IAM Identity Center é um AWS recurso com seu próprio ARN exclusivo, como arn:aws:sso::: -1234567890abcdef. instance/ssoins O ARN segue o padrão documentado na seção de tipos de recursos do IAM Identity Center da Referência de autorização de serviço.
Cada instância do IAM Identity Center tem um Identity Store associado que armazena as identidades do usuário e do grupo. Um Identity Store tem um identificador exclusivo chamado Identity Store ID (por exemplo, d-123456789a). O ARN segue o padrão documentado na seção Tipos de recursos do Identity Store da Referência de autorização de serviço.
Você pode encontrar os valores do ARN e do ID do Identity Store na página Configurações do IAM Identity Center. O ID do repositório de identidades está na aba Fonte de identidade.
AWS Organizations ID
Se você quiser especificar um ID da organização (por exemplo, o-exampleorg1) na política de chave, pode encontrar o valor na página Configurações dos consoles IAM Identity Center e Organizations. O ARN segue o padrão documentado na seção Tipos de recursos do Organizations da Referência de autorização de serviço.
ARN da chave KMS
Você pode encontrar o ARN de uma chave KMS no AWS KMS console. Escolha Chaves gerenciadas pelo cliente à esquerda, clique na chave cujo ARN você deseja pesquisar e você a verá na seção Configuração geral. O ARN segue o padrão documentado na seção de tipos de AWS KMS recursos da Referência de Autorização de Serviço.
Consulte o Guia do AWS Key Management Service desenvolvedor para obter mais informações sobre políticas de chaves AWS KMS e AWS KMS permissões de solução de problemas. Para obter mais informações sobre as políticas do IAM e a representação em JSON, consulte o Guia do usuário do IAM.
