本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # 受管整合中的資料保護 AWS [共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)適用於 受管整合中的資料保護 AWS IoT Device Management。如此模型所述， AWS 負責保護執行所有 的全域基礎設施 AWS 雲端。您負責維護在此基礎設施上託管內容的控制權。您也同時負責所使用 AWS 服務 的安全組態和管理任務。如需資料隱私權的詳細資訊，請參閱[資料隱私權常見問答集](https://aws.amazon.com/compliance/data-privacy-faq/)。 如需歐洲資料保護的詳細資訊，請參閱[一般資料保護規則 (GDPR) 中心](https://aws.amazon.com/compliance/gdpr-center/)。 基於資料保護目的，建議您保護 AWS 帳戶 登入資料，並使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 設定個別使用者。如此一來，每個使用者都只會獲得授與完成其任務所必須的許可。我們也建議您採用下列方式保護資料： + 每個帳戶均要使用多重要素驗證 (MFA)。 + 使用 SSL/TLS 與 AWS 資源通訊。我們需要 TLS 1.2 並建議使用 TLS 1.3。 + 使用 設定 API 和使用者活動記錄 AWS CloudTrail。如需有關使用 CloudTrail 追蹤擷取 AWS 活動的資訊，請參閱*AWS CloudTrail 《 使用者指南*》中的[使用 CloudTrail 追蹤](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。 + 使用 AWS 加密解決方案，以及其中的所有預設安全控制 AWS 服務。 + 使用進階的受管安全服務 (例如 Amazon Macie)，協助探索和保護儲存在 Amazon S3 的敏感資料。 + 如果您在 AWS 透過命令列界面或 API 存取 時需要 FIPS 140-3 驗證的密碼編譯模組，請使用 FIPS 端點。如需有關 FIPS 和 FIPS 端點的更多相關資訊，請參閱[聯邦資訊處理標準 (FIPS) 140-3](https://aws.amazon.com/compliance/fips/)。 我們強烈建議您絕對不要將客戶的電子郵件地址等機密或敏感資訊，放在標籤或自由格式的文字欄位中，例如**名稱**欄位。這包括當您使用 的受管整合 AWS IoT Device Management ，或使用主控台、API AWS CLI或 AWS SDKs的其他 AWS 服務 時。您在標籤或自由格式文字欄位中輸入的任何資料都可能用於計費或診斷日誌。如果您提供外部伺服器的 URL，我們強烈建議請勿在驗證您對該伺服器請求的 URL 中包含憑證資訊。 ## 受管整合的靜態資料加密 的受管整合預設會使用 AWS IoT Device Management 加密金鑰加密靜態敏感客戶資料。 加密金鑰有兩種類型，可用於保護受管整合客戶的敏感資料： **客戶受管金鑰 (CMK)** 受管整合支援使用對稱客戶受管金鑰，您可以建立、擁有和管理這些金鑰。您可以完全控制這些 KMS 金鑰，包括建立和維護其金鑰政策、IAM 政策和授予、啟用和停用這些項目、輪換其密碼編譯材料、新增標籤、建立參考 KMS 金鑰的別名，以及排程 KMS 金鑰供刪除。 **AWS 擁有的金鑰** 根據預設，受管整合會使用這些金鑰自動加密敏感客戶資料。您無法檢視、管理或稽核其使用方式。您不需要採取任何動作或變更任何程式，即可保護加密資料的金鑰。依預設加密靜態資料，有助於降低保護敏感資料所涉及的營運開銷和複雜性。同時，其可讓您建置符合嚴格加密合規性和法規要求的安全應用程式。 使用的預設加密金鑰是 AWS 擁有的金鑰。或者，更新加密金鑰的選用 API 是 [`PutDefaultEncryptionConfiguration`](https://docs.aws.amazon.com/iot-mi/latest/APIReference/API_PutDefaultEncryptionConfiguration.html)。 如需 AWS KMS 加密金鑰類型的詳細資訊，請參閱 [AWS KMS 金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html)。 ### AWS KMS 受管整合的 用量 受管整合會使用信封加密來加密和解密所有客戶資料。這種類型的加密會取得您的純文字資料，並使用資料金鑰對其進行加密。接著，稱為包裝金鑰的加密金鑰會加密用於加密純文字資料的原始資料金鑰。在信封加密中，可以使用額外的包裝金鑰來加密現有包裝金鑰，這些金鑰與原始資料金鑰的分隔程度更接近。由於原始資料金鑰是由個別存放的包裝金鑰加密，因此您可以將原始資料金鑰和加密的純文字資料存放在相同的位置。除了用來加密和解密資料金鑰的包裝金鑰之外， keyring 也會用來產生、加密和解密資料金鑰。 **注意** AWS Database Encryption SDK 為您的用戶端加密實作提供信封加密。如需 AWS 資料庫加密 SDK 的詳細資訊，請參閱[什麼是 AWS 資料庫加密 SDK？](https://docs.aws.amazon.com/database-encryption-sdk/latest/devguide/what-is-database-encryption-sdk.html) 如需信封加密、資料金鑰、包裝金鑰和 keyring 的詳細資訊，請參閱[信封加密](https://docs.aws.amazon.com/kms/latest/developerguide/kms-cryptography.html#enveloping)、[資料金鑰](https://docs.aws.amazon.com/database-encryption-sdk/latest/devguide/concepts.html#data-key)、[包裝金鑰](https://docs.aws.amazon.com/database-encryption-sdk/latest/devguide/concepts.html#wrapping-key)和 [Keyring。](https://docs.aws.amazon.com/database-encryption-sdk/latest/devguide/concepts.html#keyring-concept) 受管整合要求 服務將客戶受管金鑰用於下列內部操作： + 傳送`DescribeKey`請求至 AWS KMS ，以驗證在輪換資料金鑰時提供的對稱客戶受管金鑰 ID。 + 傳送`GenerateDataKeyWithoutPlaintext`請求至 AWS KMS ，以產生由客戶受管金鑰加密的資料金鑰。 + 將`ReEncrypt*`請求傳送至 AWS KMS ，以透過客戶受管金鑰重新加密資料金鑰。 + 將`Decrypt`請求傳送至 AWS KMS ，以透過客戶受管金鑰解密資料。 **使用加密金鑰加密的資料類型** 受管整合使用加密金鑰來加密靜態存放的多種資料類型。下列清單概述了使用加密金鑰進行靜態加密的資料類型： + 雲端對雲端 (C2C) 連接器事件，例如裝置探索和裝置狀態更新。 + 建立代表實體裝置的*受管物件*，以及包含特定裝置類型功能的裝置描述檔。如需裝置和裝置設定檔的詳細資訊，請參閱 [裝置](device-and-device-profile-lifecycle-management.md#device)和 [裝置](device-and-device-profile-lifecycle-management.md#device)。 + 受管整合會通知您裝置實作的各個層面。如需受管整合通知的詳細資訊，請參閱 [設定受管整合通知](managedintegrations-notifications.md#managedintegrations-notification-setup)。 + 最終使用者的個人身分識別資訊 (PII)，例如裝置身分驗證資料、裝置序號、最終使用者名稱、裝置識別符和裝置 Amazon Resource Name (arn)。 ### 受管整合如何在 中使用金鑰政策 AWS KMS 對於分支金鑰輪換和非同步呼叫，受管整合需要金鑰政策才能使用您的加密金鑰。金鑰政策的使用原因如下： + 以程式設計方式授權其他 AWS 委託人使用加密金鑰。 如需用於管理 受管整合中加密金鑰存取權的金鑰政策範例，請參閱 [建立加密金鑰](#encryption-rest-create-key) **注意** 對於 AWS 擁有的金鑰，不需要金鑰政策，因為 AWS 擁有的金鑰是由 擁有 AWS ，而且您無法檢視、管理或使用它。根據預設，受管整合會使用 AWS 擁有的金鑰自動加密您的敏感客戶資料。 除了使用金鑰政策來使用 AWS KMS 金鑰管理加密組態之外，受管整合也會使用 IAM 政策。如需 IAM 政策的詳細資訊，請參閱 [中的政策和許可 AWS Identity and Access Management。](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) ### 建立加密金鑰 您可以使用 AWS 管理主控台 或 AWS KMS APIs建立加密金鑰。 **建立加密金鑰** 請遵循《 AWS Key Management Service 開發人員指南》中的[建立 KMS 金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html#create-symmetric-cmk)的步驟。 **金鑰政策** 金鑰政策陳述式控制對 AWS KMS 金鑰的存取。每個 AWS KMS 金鑰只會包含一個金鑰政策。該金鑰政策會決定哪些 AWS 主體可以使用金鑰，以及他們可以如何使用金鑰。如需使用 AWS KMS 金鑰政策陳述式管理金鑰存取和使用的詳細資訊，請參閱[使用政策管理存取](https://docs.aws.amazon.com/kms/latest/developerguide/access-glossary.html#security_iam_access-manage)。 以下是金鑰政策陳述式的範例，可用於管理 AWS 帳戶 受管整合中存放之 AWS KMS 金鑰的存取和用量： ``` { "Statement" : [ { "Sid" : "Allow access to principals authorized to use managed integrations", "Effect" : "Allow", "Principal" : { //Note: Both role and user are acceptable. "AWS": "arn:aws:iam::111122223333:user/username", "AWS": "arn:aws:iam::111122223333:role/roleName" }, "Action" : [ "kms:GenerateDataKeyWithoutPlaintext", "kms:Decrypt", "kms:ReEncrypt*" ], "Resource" : "arn:aws:kms:region:111122223333:key/key_ID", "Condition" : { "StringEquals" : { "kms:ViaService" : "iotmanagedintegrations.amazonaws.com" }, "ForAnyValue:StringEquals": { "kms:EncryptionContext:aws-crypto-ec:iotmanagedintegrations": "111122223333" }, "ArnLike": { "aws:SourceArn": [ "arn:aws:iotmanagedintegrations:::managed-thing/", "arn:aws:iotmanagedintegrations:::credential-locker/", "arn:aws:iotmanagedintegrations:::provisioning-profile/", "arn:aws:iotmanagedintegrations:::ota-task/" ] } } }, { "Sid" : "Allow access to principals authorized to use managed integrations for async flow", "Effect" : "Allow", "Principal" : { "Service": "iotmanagedintegrations.amazonaws.com" }, "Action" : [ "kms:GenerateDataKeyWithoutPlaintext", "kms:Decrypt", "kms:ReEncrypt*" ], "Resource" : "arn:aws:kms:region:111122223333:key/key_ID", "Condition" : { "ForAnyValue:StringEquals": { "kms:EncryptionContext:aws-crypto-ec:iotmanagedintegrations": "111122223333" }, "ArnLike": { "aws:SourceArn": [ "arn:aws:iotmanagedintegrations:::managed-thing/", "arn:aws:iotmanagedintegrations:::credential-locker/", "arn:aws:iotmanagedintegrations:::provisioning-profile/", "arn:aws:iotmanagedintegrations:::ota-task/" ] } } }, { "Sid" : "Allow access to principals authorized to use managed integrations for describe key", "Effect" : "Allow", "Principal" : { "AWS": "arn:aws:iam::111122223333:user/username" }, "Action" : [ "kms:DescribeKey", ], "Resource" : "arn:aws:kms:region:111122223333:key/key_ID", "Condition" : { "StringEquals" : { "kms:ViaService" : "iotmanagedintegrations.amazonaws.com" } } }, { "Sid": "Allow access for key administrators", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:root" }, "Action" : [ "kms:*" ], "Resource": "*" } ] } ``` 如需金鑰存放區的詳細資訊，請參閱[金鑰存放區](https://docs.aws.amazon.com/kms/latest/developerguide/key-store-overview.html)。 ### 更新加密組態 無縫更新加密組態的功能對於管理受管整合的資料加密實作至關重要。當您最初使用 受管整合加入時，系統會提示您選取加密組態。您的選項將是預設 AWS 擁有的金鑰或建立您自己的 AWS KMS 金鑰。 **AWS 管理主控台** 若要更新 中的加密組態 AWS 管理主控台，請開啟 AWS IoT 服務首頁，然後導覽至 **Managed Integration for Unified Control**>**Settings**>**Encryption**。在**加密設定**視窗中，您可以透過選取新 AWS KMS 金鑰來更新加密組態，以提供額外的加密保護。選擇**自訂加密設定 （進階）** 以選取現有的 AWS KMS 金鑰，或者您可以選擇**建立 AWS KMS 金鑰**來建立自己的客戶受管金鑰。 **API 命令** 有兩個 APIs用於管理 受管整合中 AWS KMS 金鑰的加密組態： `PutDefaultEncryptionConfiuration`和 `GetDefaultEncryptionConfiguration`。 若要更新預設加密組態，請呼叫 `PutDefaultEncryptionConfiuration`。如需 的詳細資訊`PutDefaultEncryptionConfiuration`，請參閱 [PutDefaultEncryptionConfiuration](https://docs.aws.amazon.com/iot-mi/latest/APIReference/API_PutDefaultEncryptionConfiguration.html)。 若要檢視預設加密組態，請呼叫 `GetDefaultEncryptionConfiguration`。如需 的詳細資訊`GetDefaultEncryptionConfiguration`，請參閱 [GetDefaultEncryptionConfiguration](https://docs.aws.amazon.com/iot-mi/latest/APIReference/API_GetDefaultEncryptionConfiguration.html)。