As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Criptografado WorkSpaces em WorkSpaces Pessoal

WorkSpaces está integrado com o AWS Key Management Service (AWS KMS). Isso permite que você criptografe volumes de armazenamento WorkSpaces usando o AWS KMS Key. Ao iniciar um WorkSpace, você pode criptografar o volume raiz (para Microsoft Windows, a unidade C; para Linux,/) e o volume do usuário (para Windows, a unidade D; para Linux, /home). Isso garante que os dados armazenados em repouso, E/S do disco para o volume e snapshots criados a partir dos volumes sejam todos criptografados.

Pré-requisitos

Você precisa de uma AWS KMS chave antes de começar o processo de criptografia. Essa KMS chave pode ser a KMSchave AWS gerenciada pela Amazon WorkSpaces (aws/workspaces) ou uma chave simétrica gerenciada pelo cliente. KMS

Você deve atender aos seguintes requisitos para usar uma AWS KMS chave para criptografar seu WorkSpaces:

Limites

Visão geral da WorkSpaces criptografia usando AWS KMS

Quando você cria WorkSpaces com volumes criptografados, WorkSpaces usa o Amazon Elastic Block Store (AmazonEBS) para criar e gerenciar esses volumes. A Amazon EBS criptografa seus volumes com uma chave de dados usando o algoritmo -256 padrão do setorAES. Tanto a Amazon EBS quanto a Amazon WorkSpaces usam sua KMS chave para trabalhar com os volumes criptografados. Para obter mais informações sobre criptografia de EBS volume, consulte Amazon EBS Encryption no Amazon EC2 User Guide.

Quando você inicia WorkSpaces com volumes criptografados, o end-to-end processo funciona assim:

WorkSpaces contexto de criptografia

WorkSpaces não usa sua KMS chave diretamente para operações criptográficas (como Encrypt,, Decrypt, etc.) GenerateDataKey, o que significa que WorkSpaces não envia solicitações AWS KMS que incluam um contexto de criptografia. No entanto, quando a Amazon EBS solicita uma chave de dados criptografada para os seus volumes criptografados WorkSpaces (Passo 3noVisão geral da WorkSpaces criptografia usando AWS KMS) e quando solicita uma cópia em texto simples dessa chave de dados (Passo 5), ela inclui o contexto de criptografia na solicitação.

O contexto de criptografia fornece dados autenticados adicionais (AAD) que são AWS KMS usados para garantir a integridade dos dados. O contexto de criptografia também é gravado em seus arquivos de AWS CloudTrail log, o que pode ajudar você a entender por que uma determinada KMS chave foi usada. A Amazon EBS usa o seguinte para o contexto de criptografia:

O exemplo a seguir mostra uma JSON representação do contexto de criptografia que a Amazon EBS usa:

{
  "aws:workspaces:sid-directoryid": "[S-1-5-21-277731876-1789304096-451871588-1107]@[d-1234abcd01]",
  "aws:ebs:id": "vol-1234abcd"
}

Conceda WorkSpaces permissão para usar uma KMS chave em seu nome

Você pode proteger seus WorkSpace dados com a KMS chave AWS gerenciada para WorkSpaces (aws/workspaces) ou com uma chave gerenciada pelo cliente. KMS Se você usa uma KMS chave gerenciada pelo cliente, precisa conceder WorkSpaces permissão para usar a KMS chave em nome dos WorkSpaces administradores da sua conta. A KMS chave AWS gerenciada para WorkSpaces tem as permissões necessárias por padrão.

Para preparar sua KMS chave gerenciada pelo cliente para uso com WorkSpaces, use o procedimento a seguir.

Seus WorkSpaces administradores também precisam de permissão para usar WorkSpaces. Para obter mais informações sobre essas permissões, acesse Gerenciamento de identidade e acesso para WorkSpaces.

Parte 1: Adicionar WorkSpaces administradores como usuários-chave

Para dar aos WorkSpaces administradores as permissões de que eles precisam, você pode usar o. AWS Management Console ou o. AWS KMS API

Para adicionar WorkSpaces administradores como usuários-chave de uma KMS chave (console)

Para adicionar WorkSpaces administradores como usuários-chave de uma KMS Key () API

Parte 2: Conceder permissões adicionais WorkSpaces aos administradores usando uma política IAM

Se você selecionar uma KMS chave gerenciada pelo cliente para usar na criptografia, deverá estabelecer IAM políticas que permitam que WorkSpaces a Amazon use a KMS chave em nome de um IAM usuário em sua conta que inicia a criptografia WorkSpaces. Esse usuário também precisa de permissão para usar a Amazon WorkSpaces. Para obter mais informações sobre como criar e editar políticas de IAM usuário, consulte Gerenciamento de IAM políticas no Guia IAM do usuário Gerenciamento de identidade e acesso para WorkSpaces e.

WorkSpaces a criptografia requer acesso limitado à KMS chave. Veja a seguir um exemplo de política de chaves que pode ser usada. Essa política separa as entidades principais que podem gerenciar a chave do AWS KMS daquelas que podem usá-la. Antes de usar esse exemplo de política de chaves, substitua o exemplo de ID da conta e o nome de usuário do IAM pelos valores reais da sua conta.

A primeira declaração corresponde à política de AWS KMS chaves padrão. Ele dá permissão à sua conta para usar IAM políticas para controlar o acesso à KMS chave. A segunda e a terceira declarações definem quais AWS diretores podem gerenciar e usar a chave, respectivamente. A quarta declaração permite que os AWS serviços integrados AWS KMS usem a chave em nome do principal especificado. Essa declaração permite que os serviços da AWS criem e gerenciem concessões. A declaração usa um elemento condicional que limita as concessões da KMS Chave àquelas feitas por AWS serviços em nome dos usuários em sua conta.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Create*",
        "kms:Describe*",
        "kms:Enable*",
        "kms:List*",
        "kms:Put*",
        "kms:Update*",
        "kms:Revoke*",
        "kms:Disable*",
        "kms:Get*",
        "kms:Delete*"
       ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": "true"}}
    }
  ]
}

A IAM política de um usuário ou função que está criptografando um WorkSpace deve incluir permissões de uso na KMS chave gerenciada pelo cliente, bem como acesso a. WorkSpaces Para conceder WorkSpaces permissões a um IAM usuário ou função, você pode anexar o exemplo de política a seguir ao IAM usuário ou função.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:*",
                "ds:DescribeDirectories",
                "workspaces:*",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:CreateWorkspaces",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:DescribeWorkspaceDirectories",
                "workspaces:DescribeWorkspaces",
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces"
            ],
            "Resource": "*"
        }
    ]
}

A política do IAM a seguir é exigida pelo usuário para usar o AWS KMS. Ele dá ao usuário acesso somente de leitura à KMS chave, além da capacidade de criar concessões.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:Describe*",
                "kms:List*"
            ],
            "Resource": "*"
        }
    ]
}

Se você quiser especificar a KMS chave em sua política, use uma IAM política semelhante à seguinte. Substitua a KMS chave ARN de exemplo por uma válida.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:CreateGrant",
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:ListAliases",
        "kms:ListKeys"
      ],
      "Resource": "*"
    }
  ]
}

Criptografar um WorkSpace

Visualização criptografada WorkSpaces

Para ver quais volumes WorkSpaces e volumes foram criptografados no WorkSpaces console, escolha na barra WorkSpacesde navegação à esquerda. A coluna Criptografia de volume mostra se cada uma WorkSpace tem a criptografia ativada ou desativada. Para ver quais volumes específicos foram criptografados, expanda a WorkSpace entrada para ver o campo Volumes criptografados.