静态加密 - Amazon Inspector
对调查发现中的代码进行静态加密使用客户托管密钥进行代码加密的权限使用客户托管密钥配置加密

静态加密

Amazon Inspector 默认使用 AWS 加密解决方案存储静态数据。Amazon Inspector 对以下内容等数据进行加密：

  • 使用 AWS Systems Manager 收集的资源清单。

  • 从 Amazon Elastic Container Registry 映像解析的资源清单

  • 使用 AWS 拥有的 AWS Key Management Service 加密密钥生成的安全调查发现

您无法管理、使用或查看 AWS 拥有的密钥。但是无需执行任何操作或更改任何计划即可保护用于加密数据的密钥。有关更多信息，请参阅 AWS 拥有的密钥。

如果您禁用 Amazon Inspector，它将永久删除自己为您存储或维护的所有资源，例如收集的清单和安全调查发现。

对调查发现中的代码进行静态加密

为了扫描 Amazon Inspector Lambda 代码，Amazon Inspector 可与 CodeGuru 搭配使用，来扫描您的代码中是否存在脆弱性。当检测到脆弱性时，CodeGuru 会提取包含相应脆弱性的代码片段，并将该代码存储起来，直到 Amazon Inspector 请求访问为止。默认情况下，CodeGuru 使用 AWS 自有密钥对提取的代码进行加密，但是，您可以将 Amazon Inspector 配置为使用您自己的客户 AWS KMS 托管密钥进行加密。

以下工作流程说明了 Amazon Inspector 如何使用您配置的密钥来加密代码：

  1. 使用 Amazon Inspector UpdateEncryptionKey API 向 Amazon Inspector 提供 AWS KMS 密钥。

  2. Amazon Inspector 将有关 AWS KMS 密钥的信息转发给 CodeGuru。CodeGuru 存储这些信息，以备将来使用。

  3. CodeGuru 针对您在 Amazon Inspector 中配置的密钥向 AWS KMS 请求授权。

  4. CodeGuru 根据您的 AWS KMS 密钥创建加密的数据密钥并将其存储起来。此数据密钥用于加密 CodeGuru 存储的代码数据。

  5. 每当 Amazon Inspector 请求从代码扫描中获取数据时，CodeGuru 都会使用该授权来解密加密的数据密钥，然后使用该密钥解密数据，以便对数据进行检索。

禁用 Lambda 代码扫描时，CodeGuru 会停用授权并删除关联的数据密钥。

使用客户托管密钥进行代码加密的权限

要使用加密，需要制定允许访问 AWS KMS 操作的策略，以及一份声明，授予 Amazon Inspector 和 CodeGuru 通过条件密钥使用这些操作的权限。

如果要设置、更新或重置账户的加密密钥，则需要使用 Amazon Inspector 管理员策略，例如 AWS 托管策略：AmazonInspector2FullAccess。您还需要向只读用户授予以下权限，这些用户需要从调查发现中检索代码片段或与所选用于加密的密钥相关的数据。

对于 KMS，该策略必须允许执行以下操作：

  • kms:CreateGrant

  • kms:Decrypt

  • kms:DescribeKey

  • kms:GenerateDataKeyWithoutPlainText

  • kms:Encrypt

  • kms:RetireGrant

确认策略中的 AWS KMS 权限正确无误后，您必须附上一个语句，允许 Amazon Inspector 和 CodeGuru 使用您的密钥进行加密。附上以下策略语句：

注意

将区域替换为您启用了 Amazon Inspector Lambda 代码扫描的 AWS 区域。


{
            "Sid": "allow CodeGuru Security to request a grant for a AWS KMS key",
        	"Effect": "Allow",
        	"Action": "kms:CreateGrant",
        	"Resource": "*",
        	"Condition": {
        		"ForAllValues:StringEquals": {
        			"kms:GrantOperations": [
        				"GenerateDataKey",
        				"GenerateDataKeyWithoutPlaintext",
        				"Encrypt",
        				"Decrypt",
        				"RetireGrant",
        				"DescribeKey"
        			]
        		},
        		"StringEquals": {
        			"kms:ViaService": [
        				"codeguru-security.Region.amazonaws.com"
        			]
        		}
        	}
        }, 
        {
        	"Sid": "allow Amazon Inspector and CodeGuru Security to use your AWS KMS key",
        	"Effect": "Allow",
        	"Action": [
        		"kms:Encrypt",
        		"kms:Decrypt",
        		"kms:RetireGrant",
        		"kms:DescribeKey",
        		"kms:GenerateDataKeyWithoutPlaintext"
        	],
        	"Resource": "*",
        	"Condition": {
        		"StringEquals": {
        			"kms:ViaService": [
        				"inspector2.Region.amazonaws.com",
        				"codeguru-security.Region.amazonaws.com"
        			]
        		}
        	}
        }
注意

添加语句时，请确保语法有效。策略使用 JSON 格式。这意味着需要在语句之前或之后添加一个逗号，具体取决于在策略中添加语句的位置。如果将语句添加在最后，请在前一语句的右大括号后面添加一个逗号。如果将语句添加为第一个语句，或添加在两个现有语句之间，请在语句的右大括号后面添加一个逗号。

使用客户托管密钥配置加密

要使用客户托管密钥为您的账户配置加密，您必须是具有 使用客户托管密钥进行代码加密的权限 中列出的权限的 Amazon Inspector 管理员。此外，您还需要一个与调查发现位于同一 AWS 区域的 AWS KMS 密钥，或者一个多区域密钥。您可以使用账户中现有的对称密钥，也可以使用 AWS 管理控制台或 AWS KMS API 创建客户托管对称密钥。有关更多信息，请参阅 AWS KMS 用户指南中的创建对称加密 AWS KMS 密钥。

使用 Amazon Inspector API 配置加密

要设置加密密钥，请在以 Amazon Inspector 管理员身份登录时使用 Amazon Inspector API 的 UpdateEncryptionKey 操作。在 API 请求中，使用 kmsKeyId 字段指定要使用的 AWS KMS 密钥的 ARN。对于 scanType，请输入 CODE，对于 resourceType，请输入 AWS_LAMBDA_FUNCTION。

可使用 UpdateEncryptionKey API 来查看 Amazon Inspector 使用哪个 AWS KMS 密钥进行加密。

注意

如果您在未设置客户托管密钥的情况下使用 GetEncryptionKey，则操作会返回 ResourceNotFoundException 错误，这意味着正在使用 AWS 自有密钥进行加密。

如果删除密钥或更改其策略以拒绝访问 Amazon Inspector 或 CodeGuru，您将无法访问代码脆弱性调查发现，并且您的账户的 Lambda 代码扫描将失败。

您可以使用 ResetEncryptionKey 恢复为使用 AWS 自有密钥对作为 Amazon Inspector 调查发现一部分提取的代码进行加密。