Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verschlüsselung im Ruhezustand

Amazon ECR speichert Images in Amazon-S3-Buckets, die Amazon ECR verwaltet. Standardmäßig verwendet Amazon ECR serverseitige Verschlüsselung mit Amazon S3-managed Verschlüsselungsschlüssel, die Ihre Daten im Ruhezustand mit einem verschlüsseln AES-256 Verschlüsselungsalgorithmus. Dies erfordert kein Handeln Ihrerseits und wird ohne zusätzliche Kosten angeboten. Weitere Informationen finden Sie unter Daten schützen mit Server-Side Verschlüsselung mit Amazon S3-Managed Verschlüsselungsschlüssel (SSE-S3) in der Amazon Simple Storage Service-Benutzerhandbuch.

Für mehr Kontrolle über die Verschlüsselung Ihrer Amazon ECR-Repositorys können Sie die serverseitige Verschlüsselung mit KMS-Schlüsseln verwenden, die in gespeichert sind AWS Key Management Service (AWS KMS). Wenn du benutzt AWS KMS um Ihre Daten zu verschlüsseln, können Sie entweder die Standardeinstellung verwenden Von AWS verwalteter Schlüssel, der von Amazon ECR verwaltet wird, oder geben Sie Ihren eigenen KMS-Schlüssel an (als vom Kunden verwalteter Schlüssel bezeichnet). Weitere Informationen finden Sie unter Daten schützen mit Server-Side Verschlüsselung mit KMS-Schlüsseln, gespeichert in AWS KMS (SSE-KMS) in der Amazon Simple Storage Service-Benutzerhandbuch.

Sie können wählen, ob Sie Ihre Amazon ECR-Bilder mit zweistufiger serverseitiger Verschlüsselung mit zwei Ebenen verschlüsseln möchten AWS KMS (DSSE-KMS). DSSE-KMS Option ist ähnlich wie SSE-KMS, wendet jedoch zwei einzelne Verschlüsselungsebenen anstelle einer Ebene an. Weitere Informationen finden Sie unter Verwendung der dualen serverseitigen Verschlüsselung mit AWS KMS Schlüssel (DSSE-KMS).

Jedes Amazon ECR-Repository hat eine Verschlüsselungskonfiguration, die bei der Erstellung des Repositorys festgelegt wird. Sie können für jedes Repository unterschiedliche Verschlüsselungskonfigurationen verwenden. Weitere Informationen finden Sie unter Erstellen eines privaten Amazon ECR-Repositorys zum Speichern von Bildern.

Wenn ein Repository erstellt wird mit AWS KMS Wenn die Verschlüsselung aktiviert ist, wird ein KMS-Schlüssel verwendet, um den Inhalt des Repositorys zu verschlüsseln. Darüber hinaus fügt Amazon ECR eine hinzu AWS KMS Zuschuss für den KMS-Schlüssel mit dem Amazon ECR-Repository als Auftraggeber des Zuschussempfängers.

Im Folgenden erfahren Sie, wie Amazon ECR mit AWS KMS integriert ist, um Ihre Repositories zu verschlüsseln und zu entschlüsseln:

Überlegungen

Die folgenden Punkte sollten bei der Verwendung beachtet werden AWS KMS basierte Verschlüsselung (SSE-KMS oder DSSE-KMS) mit Amazon ECR.

Erforderliche IAM-Berechtigungen

Wenn Sie ein Amazon ECR-Repository mit serverseitiger Verschlüsselung unter Verwendung von AWS KMS erstellen oder löschen, hängen die erforderlichen Berechtigungen von dem spezifischen KMS-Schlüssel ab, den Sie verwenden.

Erforderliche IAM-Berechtigungen bei Verwendung von Von AWS verwalteter Schlüssel für Amazon ECR

Standardmäßig, wann AWS KMS Die Verschlüsselung ist für ein Amazon ECR-Repository aktiviert, aber es ist kein KMS-Schlüssel angegeben, der Von AWS verwalteter Schlüssel für Amazon ECR wird verwendet. Wenn der AWS Der verwaltete KMS-Schlüssel für Amazon ECR wird zum Verschlüsseln eines Repositorys verwendet. Jeder Prinzipal, der die Berechtigung hat, ein Repository zu erstellen, kann dies auch aktivieren AWS KMS Verschlüsselung im Repository. Der IAM-Prinzipal, der das Repository löscht, muss jedoch die kms:RetireGrant-Berechtigung haben. Dies ermöglicht die Tilgung der Zuschüsse, die dem hinzugefügt wurden AWS KMS Schlüssel, als das Repository erstellt wurde.

Die folgende Beispiel-IAM-Richtlinie kann als Inline-Richtlinie zu einem Benutzer hinzugefügt werden, um sicherzustellen, dass er über die Mindestberechtigungen verfügt, die zum Löschen eines Repositorys mit aktivierter Verschlüsselung erforderlich sind. Der KMS-Schlüssel, der zur Verschlüsselung des Repositorys verwendet wird, kann über den Parameter resource angegeben werden.

JSON

{
    "Version":"2012-10-17",
    "Id": "ecr-kms-permissions",
    "Statement": [
        {
            "Sid": "AllowAccessToRetireTheGrantsAssociatedWithTheKey",
            "Effect": "Allow",
            "Action": [
                "kms:RetireGrant"
            ],
            "Resource": "arn:aws:kms:us-west-2:111122223333:key/b8d9ae76-080c-4043-92EXAMPLE"
        }
    ]
}

Erforderliche IAM-Berechtigungen bei Verwendung eines vom Kunden verwalteten Schlüssels

Beim Erstellen eines Repositorys mit AWS KMS Wenn die Verschlüsselung mithilfe eines vom Kunden verwalteten Schlüssels aktiviert wird, sind Berechtigungen sowohl für die KMS-Schlüsselrichtlinie als auch für die IAM-Richtlinie für den Benutzer oder die Rolle erforderlich, der das Repository erstellt.

Bei der Erstellung Ihres eigenen KMS-Schlüssels können Sie entweder die von AWS KMS erstellte Standard-Schlüsselrichtlinie verwenden oder Ihre eigene angeben. Um sicherzustellen, dass der vom Kunden verwaltete Schlüssel vom Kontoinhaber verwaltet werden kann, sollte die Schlüsselrichtlinie für den KMS-Schlüssel alle AWS KMS Aktionen für den Root-Benutzer des Kontos. Die Schlüsselrichtlinie kann um zusätzliche Berechtigungen erweitert werden, doch sollte zumindest der Root-Benutzer die Berechtigung erhalten, den KMS-Schlüssel zu verwalten. Damit der KMS-Schlüssel nur für Anfragen verwendet werden kann, die von Amazon ECR stammen, können Sie den kms:ViaService Bedingungsschlüssel mit dem ecr.<region>.amazonaws.com Wert.

Das folgende Beispiel für eine wichtige Richtlinie gibt AWS Konto (Root-Benutzer), dem der KMS-Schlüssel gehört, vollen Zugriff auf den KMS-Schlüssel. Weitere Informationen zu dieser Beispiel-Schlüsselrichtlinie finden Sie unter Ermöglicht den Zugriff auf AWS Konto und aktiviert IAM-Richtlinien in der AWS Key Management Service Leitfaden für Entwickler.

JSON

{
    "Version":"2012-10-17",
    "Id": "ecr-key-policy",
    "Statement": [
        {
            "Sid": "EnableIAMUserPermissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        }
    ]
}

Der IAM-Benutzer, die IAM-Rolle oder AWS Das Konto, das Ihre Repositorys erstellt, muss über Folgendes verfügen kms:CreateGrant, kms:RetireGrant, und kms:DescribeKey Genehmigung zusätzlich zu den erforderlichen Amazon ECR-Berechtigungen.

Die folgende Beispiel-IAM-Richtlinie kann als Inline-Richtlinie zu einem Benutzer hinzugefügt werden, um sicherzustellen, dass er über die Mindestberechtigungen verfügt, die erforderlich sind, um ein Repository mit aktivierter Verschlüsselung zu erstellen und das Repository zu löschen, wenn er es nicht mehr benötigt. Der zur Verschlüsselung des Repositorys verwendete AWS KMS key -Schlüssel kann mit dem Ressourcen-Parameter angegeben werden.

JSON

{
    "Version":"2012-10-17",
    "Id": "ecr-kms-permissions",
    "Statement": [
        {
            "Sid": "AllowAccessToCreateAndRetireTheGrantsAssociatedWithTheKeyAsWellAsDescribeTheKey",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:RetireGrant",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:us-west-2:111122223333:key/b8d9ae76-080c-4043-92EXAMPLE"
        }
    ]
}

Erlauben Sie einem Benutzer, KMS-Schlüssel in der Konsole aufzulisten, wenn er ein Repository erstellt

Wenn Sie die Amazon ECR-Konsole zum Erstellen eines Repositorys verwenden, können Sie einem Benutzer die Berechtigung erteilen, die vom Kunden verwalteten KMS-Schlüssel in der Region aufzulisten, wenn Sie die Verschlüsselung für das Repository aktivieren. Das folgende Beispiel für eine IAM-Richtlinie zeigt die Berechtigungen, die für die Auflistung Ihrer KMS-Schlüssel und -Aliase bei Verwendung der Konsole erforderlich sind.

JSON

{
  "Version":"2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "kms:ListKeys",
      "kms:ListAliases",
      "kms:DescribeKey"
    ],
    "Resource": "*"
  }
}

Überwachung der Amazon ECR-Interaktion mit AWS KMS

Sie können verwenden AWS CloudTrail um die Anfragen zu verfolgen, an die Amazon ECR sendet AWS KMS in Ihrem Namen. Die Logeinträge in der CloudTrail Das Protokoll enthält einen Verschlüsselungskontextschlüssel, damit sie leichter identifiziert werden können.

Amazon ECR-Verschlüsselungskontext

Ein Verschlüsselungskontext ist ein Satz von Schlüssel-Wert-Paaren, der beliebige nicht geheime Daten enthält. Wenn Sie einen Verschlüsselungskontext in eine Anfrage zur Datenverschlüsselung einbeziehen, AWS KMS bindet den Verschlüsselungskontext kryptografisch an die verschlüsselten Daten. Zur Entschlüsselung der Daten müssen Sie denselben Verschlüsselungskontext übergeben.

In seiner GenerateDataKey und Entschlüsseln Anfragen an AWS KMS, Amazon ECR verwendet einen Verschlüsselungskontext mit zwei Name-Wert-Paaren, die das verwendete Repository und den Amazon S3-Bucket identifizieren. Dies wird im folgenden Beispiel veranschaulicht. Die Namen variieren nicht, aber die kombinierten Verschlüsselungskontextwerte sind für jeden Wert unterschiedlich.

"encryptionContext": {
    "aws:s3:arn": "arn:aws:s3:::us-west-2-starport-manifest-bucket/EXAMPLE1-90ab-cdef-fedc-ba987BUCKET1/sha256:a7766145a775d39e53a713c75b6fd6d318740e70327aaa3ed5d09e0ef33fc3df",
    "aws:ecr:arn": "arn:aws:ecr:us-west-2:111122223333:repository/repository-name"
}

Sie können den Verschlüsselungskontext verwenden, um diese kryptografischen Vorgänge in Auditaufzeichnungen und Protokollen zu identifizieren, z. B. AWS CloudTrail und Amazon CloudWatch Protokolle und als Voraussetzung für die Autorisierung in Richtlinien und Zuschüssen.

Der Amazon ECR-Verschlüsselungskontext besteht aus zwei Name-Wert-Paaren.

Fehlerbehebung

Wenn Sie ein Amazon ECR-Repository mit der Konsole löschen und das Repository erfolgreich gelöscht wurde, Amazon ECR aber nicht in der Lage ist, die zu Ihrem KMS-Schlüssel für Ihr Repository hinzugefügten Grants zurückzuziehen, erhalten Sie die folgende Fehlermeldung.

The repository [{repository-name}] has been deleted successfully but the grants created by the kmsKey [{kms_key}] failed to be retired

In diesem Fall können Sie das deaktivieren AWS KMS Zuschüsse für das Repositorium selbst.