Datenverschlüsselung in der Cloud ist der wichtigste Gedanke, den jeder Sicherheitsexperte heutzutage hat. Bei der Durchführung von Daten VerschlüsselungSicherheitsschlüssel sind von größter Bedeutung. Die manuelle Verwaltung eines einzelnen Sicherheitsschlüssels ist relativ einfach. Bei einer großen Anzahl verwendeter Sicherheitsschlüssel wird die Verwaltung jedoch mühsam. Daher besteht Bedarf an automatisierten Schlüsselverwaltung Dienste zur Datenverschlüsselung.
AWS-KMS (Key Management Service) bietet eine einfach zu bedienende WebUI zur Verwaltung von Sicherheitsschlüsseln zum Schutz Daten in Ruhe und verwendete Daten. AWS KMS ist ein Platzhalter für CMK (Kundenhauptschlüssel) Ressourcen mit Schlüsselmetadaten zum Verschlüsseln und entschlüsseln die Daten. Außerdem kann AWS KMS in verschiedene andere AWS-Dienste integriert werden, wie beispielsweise Redshift, EBS, EFS, S3 und Secret Manager, um nur einige zu nennen.
Im heutigen Beitrag besprechen wir die Schlüsselkonzepte von AWS KMS und seine verschiedenen Funktionen sowie die Integration mit anderen AWS-Diensten.
Schlüsseltypen
- AWS-verwaltete CMKsDiese CMKs werden von einem in KMS integrierten AWS-Dienst im Auftrag des Kunden in dessen AWS-Konto erstellt, verwaltet und verwendet. Beispielsweise ist „aws/s3“ der Standardschlüssel in S3 und wird nur für Ihr Konto zum Verschlüsseln Ihrer S3-Buckets verwendet.
- Vom Kunden verwaltete CMKsDiese CMKs werden vom Kunden im AWS-Konto erstellt, verwaltet und verwendet. Dies ist die am häufigsten verwendete Methode bei der Verwendung von KMS, da sie eine vollständige, granulare Zugriffskontrolle über die Sicherheitsschlüssel in einem AWS-Konto ermöglicht.
- AWS-eigene CMKsDiese CMKs gehören AWS-Diensten und werden von diesen verwaltet, sodass sie in mehreren AWS-Konten verwendet werden können. Der Schlüssel für diese CMKs ist für Benutzer nicht sichtbar. Wenn Sie beispielsweise die S3-Standardverschlüsselung wählen, verwendet S3 eigene KMS-CMKs, die von mehreren AWS-Konten gemeinsam genutzt werden.
Datenschlüssel
Datenschlüssel sind Verschlüsselungsschlüssel, mit denen der Benutzer große Datenmengen und andere Datenverschlüsselungsschlüssel verschlüsseln kann. Benutzer können AWS CMKs zum Generieren, Verschlüsseln und Entschlüsseln von Datenschlüsseln verwenden. AWS KMS speichert, verwaltet oder verfolgt die Datenschlüssel jedoch nicht und führt auch keine kryptografischen Operationen mit Datenschlüsseln durch. Benutzer müssen Datenschlüssel außerhalb des AWS KMS-Bereichs verwenden und verwalten.
Zugriffskontrolle auf KMS CMKs
Die primäre Möglichkeit, den Zugriff auf Ihre AWS KMS CMKs zu steuern, sind IAM- und Schlüsselrichtlinien. Eine Richtlinie ist eine Kombination aus deklarativen Anweisungen, die beschreiben, wer worauf Zugriff hat.
- IAM-RichtlinienAn eine IAM-Identität angehängte Richtlinien werden als identitätsbasierte Richtlinien bezeichnet.
- Wichtige RichtlinienAn Ressourcen angehängte Richtlinien werden als ressourcenbasierte Richtlinien bezeichnet.
In AWS KMS müssen Sie Ihren CMKs ressourcenbasierte Richtlinien, d. h. Schlüsselrichtlinien, zuordnen. IAM-Richtlinien allein können IAM-Benutzern oder -Rollen keinen Zugriff auf CMKs gewähren.
| CMK-Typ | CMK-Verwaltung über IAM-Richtlinie | CMK-Verwaltung über Key Policy | Kann **CMK-Metadaten anzeigen | Wird nur für ein bestimmtes Benutzerkonto verwendet | Automatische Rotation |
|---|---|---|---|---|---|
| Vom Kunden verwaltet | Ja | Ja | Ja | Ja | Optional* |
| AWS-verwaltet | Nein | Nein | Ja | Ja | Alle 3 Jahre |
| AWS-Eigentum | Nein | Nein | Nein | Nein | Variiert |
* Standardmäßig ist die „Automatische Rotation“ deaktiviert, der Benutzer kann sie jedoch bis zu einem Jahr lang aktivieren.
** CMK-Metadaten sind Informationen über den CMK wie Schlüsselkennungen, Herkunft, Schlüsselverwendung, Schlüsselstatus usw.
Beispielsweise gibt der Metadatentyp „Origin“ die Quelle des Schlüsselmaterials des CMK an. Wenn dieser Wert AWS_KMS lautet, hat AWS KMS das Schlüsselmaterial erstellt. Wenn dieser Wert EXTERNAL lautet, wurde das Schlüsselmaterial aus einer externen Schlüsselverwaltungsinfrastruktur importiert. Wenn dieser Wert AWS_CLOUDHSM lautet, wurde das Schlüsselmaterial im AWS CloudHSM-Cluster erstellt, der einem benutzerdefinierten Schlüsselspeicher zugeordnet ist.
Symmetrische und asymmetrische CMKs:
AWS KMS schützt den CMK, den Sie zum Schutz Ihrer Daten und Datenschlüssel verwenden. Die CMKs werden nur in Hardware-Sicherheitsmodule so konzipiert, dass niemand auf die Klartext Schlüsselmaterial.
AWS KMS unterstützt symmetrische und asymmetrische CMKs:
- Symmetrisches CMK: Dies stellt einen einzelnen geheimen 256-Bit-Verschlüsselungsschlüssel dar, der AWS KMS niemals unverschlüsselt verlässt.
- Asymmetrisches CMK: Dies stellt ein mathematisch verwandtes öffentliches Schlüssel- und privates Schlüsselpaar dar, das Sie zur Verschlüsselung verwenden können und Entschlüsselung oder Signieren und Verifizieren, aber nicht beides. Der private Schlüssel verlässt AWS KMS niemals unverschlüsselt. Sie können den öffentlichen Schlüssel innerhalb von AWS KMS verwenden, indem Sie die AWS KMS-API-Operationen aufrufen, oder den öffentlichen Schlüssel herunterladen und außerhalb von AWS KMS verwenden.
AWS KMS bietet auch symmetrische Datenschlüssel und asymmetrische Datenschlüsselpaare, die für die clientseitige Kryptografie außerhalb von AWS KMS konzipiert sind. Der symmetrische Datenschlüssel und der private Schlüssel in einem asymmetrischen Datenschlüsselpaar werden durch einen symmetrischen CMK in AWS KMS geschützt.
Benutzerdefinierter KMS-Schlüsselspeicher
A Schlüsselspeicher ist ein sicherer Ort zum Speichern kryptografischer Schlüssel. Standardmäßig werden die Kundenmasterschlüssel (CMKs), die Sie in AWS KMS erstellen, in Hardware-Sicherheitsmodulen (HSMs) generiert und durch diese geschützt. Diese sind FIPS 140-2 Level 2-konforme kryptografische Module. Die CMKs lassen die Module niemals unverschlüsselt.
A benutzerdefinierter Schlüsselspeicher ist eine AWS KMS-Ressource, die mit einem AWS CloudHSM-Cluster verknüpft ist, der von FIPS 140-2 Level 3 HSMs unterstützt wird, die dem Benutzer gehören und von ihm verwaltet werden.
Wenn ein Benutzer einen AWS KMS CMK in seinem benutzerdefinierten Schlüsselspeicher erstellt, generiert AWS KMS einen 256-Bit langen, persistenten, nicht exportierbaren symmetrischen Advanced Encryption Standard (AES)-Schlüssel im zugehörigen AWS CloudHSM-Cluster. Dieses Schlüsselmaterial verlässt Ihr HSM niemals unverschlüsselt. Wenn Sie einen CMK in einem benutzerdefinierten Schlüsselspeicher verwenden, werden die kryptografischen Operationen in den HSMs im Cluster ausgeführt.
Was ist Bring Your Own Key (BYOK):
Ein CMK ist eine logische Darstellung eines Hauptschlüssels, in dem das Schlüsselmaterial von AWS generiert wird und im Besitz von AWS ist. Benutzer können jedoch einen CMK ohne Schlüsselmaterial erstellen und dann externes Schlüsselmaterial in diesen CMK importieren. Dies wird als BYOK, d. h. Bringen Sie Ihren eigenen Schlüssel mit
Importiertes Schlüsselmaterial wird für symmetrische CMK in AWS KMS-Schlüsselspeichern unterstützt. Dies wird jedoch auch für asymmetrische CMK- und benutzerdefinierte Schlüsselspeicher nicht unterstützt.
Bei der Verwendung importierten Schlüsselmaterials bleibt der Benutzer für das Schlüsselmaterial verantwortlich, gestattet AWS KMS jedoch die Verwendung einer Kopie davon. Dies ist ein häufiger Anwendungsfall, bei dem der Benutzer aus regulatorischen, geschäftlichen, Compliance- oder rechtlichen Gründen die vollständige Kontrolle über das Schlüsselmaterial haben möchte.
Fazit
AWS-KMS ist ein weit verbreiteter KMS-Dienst unter allen KMS-as-a-Service-Optionen von Cloud-Anbietern. Da AWS KMS mehrere Optionen für CMKs bietet, ist es manchmal schwierig zu entscheiden, welche Option in verschiedenen Szenarien gewählt werden sollte. In Anbetracht der Funktionalität und des Funktionsumfangs jedes CMK ist AWS Managed CMK die bessere Wahl, wenn ein Benutzer einen Schlüssel verwenden möchte, der allen IAM-Entitäten in seinem AWS-Konto zur Verfügung steht, da der CMK für alle IAM-Benutzer im selben Konto verfügbar ist. Wenn der Benutzer jedoch eine granulare Zugriffskontrolle über Schlüssel wünscht, erscheinen Customer Managed CMK oder BYOK die bessere Option.
