As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Criptografado WorkSpaces em WorkSpaces Pessoal

WorkSpaces é integrado com o AWS Key Management Service (AWS KMS). Isso permite criptografar volumes de armazenamento WorkSpaces usando AWS KMS Key. Ao iniciar um WorkSpace, você pode criptografar o volume raiz (para Microsoft Windows, a unidade C; para Linux,/) e o volume do usuário (para Windows, a unidade D; para Linux, /home). Isso garante que os dados armazenados em repouso, o disco I/O no volume e os instantâneos criados a partir dos volumes sejam todos criptografados.

Pré-requisitos

Você precisa de uma AWS KMS chave antes de começar o processo de criptografia. Essa chave KMS pode ser a chave KMS AWS gerenciada para Amazon WorkSpaces (aws/workspaces) ou uma chave KMS simétrica gerenciada pelo cliente.

Você deve atender aos seguintes requisitos para usar uma AWS KMS chave para criptografar seu: WorkSpaces

Limites

Visão geral do uso WorkSpaces de criptografia AWS KMS

Quando você cria WorkSpaces com volumes criptografados, WorkSpaces usa o Amazon Elastic Block Store (Amazon EBS) para criar e gerenciar esses volumes. O Amazon EBS criptografa seus volumes com uma chave de dados usando o algoritmo padrão do setor AES-256 . Tanto o Amazon EBS quanto o Amazon WorkSpaces usam sua chave KMS para trabalhar com os volumes criptografados. Para obter mais informações sobre a criptografia de volumes do EBS, consulte Amazon EBS Encryption no Guia do usuário do Amazon EC2.

Quando você inicia WorkSpaces com volumes criptografados, o processo de ponta a ponta funciona da seguinte forma:

WorkSpaces contexto de criptografia

WorkSpaces não usa sua chave KMS diretamente para operações criptográficas (como Encrypt,,, etc.) Decrypt GenerateDataKey, o que significa que WorkSpaces não envia solicitações AWS KMS que incluam um contexto de criptografia. No entanto, quando o Amazon EBS solicita uma chave de dados criptografada para os volumes criptografados do seu WorkSpaces (Passo 3noVisão geral do uso WorkSpaces de criptografia AWS KMS) e quando solicita uma cópia de texto simples dessa chave de dados (Passo 5), ele inclui o contexto de criptografia na solicitação.

O contexto de criptografia fornece dados autenticados adicionais (AAD) que são AWS KMS usados para garantir a integridade dos dados. O contexto de criptografia também é gravado em seus arquivos de AWS CloudTrail log, o que pode ajudar você a entender por que uma determinada chave KMS foi usada. O Amazon EBS usa o seguinte como contexto de criptografia:

O exemplo a seguir mostra uma representação JSON do contexto de criptografia usado pelo Amazon EBS:

{
  "aws:workspaces:sid-directoryid": "[S-1-5-21-277731876-1789304096-451871588-1107]@[d-1234abcd01]",
  "aws:ebs:id": "vol-1234abcd"
}

Conceda WorkSpaces permissão para usar uma chave KMS em seu nome

Você pode proteger seus WorkSpace dados com a chave KMS AWS gerenciada para WorkSpaces (aws/workspaces) ou com uma chave KMS gerenciada pelo cliente. Se você usa uma chave KMS gerenciada pelo cliente, precisa conceder WorkSpaces permissão para usar a chave KMS em nome dos WorkSpaces administradores da sua conta. A chave KMS AWS gerenciada para WorkSpaces tem as permissões necessárias por padrão.

Para preparar sua chave KMS gerenciada pelo cliente para uso com WorkSpaces, use o procedimento a seguir.

Seus WorkSpaces administradores também precisam de permissão para usar WorkSpaces. Para obter mais informações sobre essas permissões, acesse Gerenciamento de identidade e acesso para WorkSpaces.

Parte 1: Adicionar WorkSpaces administradores como usuários-chave

Para dar aos WorkSpaces administradores as permissões de que eles precisam, você pode usar o Console de gerenciamento da AWS ou a AWS KMS API.

Para adicionar WorkSpaces administradores como usuários-chave de uma chave KMS (console)

Para adicionar WorkSpaces administradores como usuários-chave de uma chave KMS (API)

Parte 2: Conceder permissões adicionais WorkSpaces aos administradores usando uma política do IAM

Se você selecionar uma chave KMS gerenciada pelo cliente para usar na criptografia, deverá estabelecer políticas de IAM que permitam que WorkSpaces a Amazon use a chave KMS em nome de um usuário do IAM em sua conta que inicialize a criptografia. WorkSpaces Esse usuário também precisa de permissão para usar a Amazon WorkSpaces. Para obter mais informações sobre como criar e editar políticas de usuários do IAM, consulte Gerenciamento de políticas do IAM no Guia do usuário do IAM e em Gerenciamento de identidade e acesso para WorkSpaces.

WorkSpaces a criptografia requer acesso limitado à chave KMS. Veja a seguir um exemplo de política de chaves que pode ser usada. Essa política separa as entidades principais que podem gerenciar a chave do AWS KMS daquelas que podem usá-la. Antes de usar esse exemplo de política de chaves, substitua o exemplo de ID da conta e o nome de usuário do IAM pelos valores reais da sua conta.

A primeira instrução corresponde à política de AWS KMS chaves padrão. Isso concede à sua conta permissão para usar políticas do IAM para controlar o acesso à chave do KMS. A segunda e a terceira declarações definem quais AWS diretores podem gerenciar e usar a chave, respectivamente. A quarta declaração permite que os AWS serviços integrados AWS KMS usem a chave em nome do principal especificado. Essa declaração permite que os serviços da AWS criem e gerenciem concessões. A declaração usa um elemento de condição que limita as concessões da chave KMS às feitas pelos AWS serviços em nome dos usuários em sua conta.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Create*",
        "kms:Describe*",
        "kms:Enable*",
        "kms:List*",
        "kms:Put*",
        "kms:Update*",
        "kms:Revoke*",
        "kms:Disable*",
        "kms:Get*",
        "kms:Delete*"
       ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": "true"}}
    }
  ]
}

A política do IAM para um usuário ou função que está criptografando um WorkSpace deve incluir permissões de uso na chave KMS gerenciada pelo cliente, bem como acesso a. WorkSpaces Para conceder WorkSpaces permissões a um usuário ou função do IAM, você pode anexar o exemplo de política a seguir ao usuário ou à função do IAM.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:*",
                "ds:DescribeDirectories",
                "workspaces:*",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:CreateWorkspaces",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:DescribeWorkspaceDirectories",
                "workspaces:DescribeWorkspaces",
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces"
            ],
            "Resource": "*"
        }
    ]
}

A política do IAM a seguir é exigida pelo usuário para usar o AWS KMS. Ela concede ao usuário acesso somente leitura à chave do KMS juntamente com a capacidade de criar concessões.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:Describe*",
                "kms:List*"
            ],
            "Resource": "*"
        }
    ]
}

Se você quiser especificar a chave do KMS em sua política, use uma política do IAM semelhante ao exemplo a seguir. Substitua o ARN da chave do KMS de exemplo por um válido.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:CreateGrant",
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:ListAliases",
        "kms:ListKeys"
      ],
      "Resource": "*"
    }
  ]
}

Criptografar um WorkSpace

Exibir criptografado WorkSpaces

Para ver quais volumes WorkSpaces e quais foram criptografados no WorkSpaces console, escolha na barra WorkSpaces de navegação à esquerda. A coluna Criptografia de volume mostra se cada um WorkSpace tem a criptografia ativada ou desativada. Para ver quais volumes específicos foram criptografados, expanda a WorkSpace entrada para ver o campo Volumes criptografados.