Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Chiffrement des métadonnées des applications d' OpenSearch interface utilisateur à l'aide de clés gérées par le client

Les ressources visuelles et les configurations sont stockées sous forme de métadonnées pour vos applications d' OpenSearch interface utilisateur. Cela inclut les requêtes enregistrées, les visualisations et les tableaux de bord. Les données provenant des sources de données associées ne sont pas stockées dans les métadonnées. Pour plus d'informations sur le chiffrement des données dans vos sources de données, consultez les rubriques Protection des données dans Amazon OpenSearch Service pour les OpenSearch domaines et Chiffrement dans Amazon OpenSearch Serverless pour les collections sans serveur.

Les métadonnées de votre OpenSearch interface utilisateur sont protégées par un chiffrement au repos. Cela empêche tout accès non autorisé. Le chiffrement utilise AWS Key Management Service (AWS KMS) pour stocker et gérer les clés de chiffrement. Par défaut, les métadonnées de l' OpenSearch interface utilisateur sont chiffrées AWS à l'aide de clés propres.

Vous pouvez également utiliser la fonction de clé gérée par le client (CMK) pour gérer vos propres clés de chiffrement. Cela vous permet de répondre aux exigences réglementaires et de conformité. Pour utiliser CMK, vous devez créer une nouvelle application d' OpenSearch interface utilisateur et activer CMK lors du processus de création. Il n'est actuellement pas possible de mettre à jour une application d' OpenSearch interface utilisateur existante de la clé AWS possédée vers CMK.

Quand utiliser les clés gérées par le client :

Lorsque vous utilisez une clé gérée par le client, vous avez un contrôle total sur cette clé. Cela inclut la capacité de :

Conditions préalables à l'utilisation de clés gérées par le client

Avant de pouvoir utiliser une clé gérée par le client pour chiffrer les métadonnées de votre application d' OpenSearch interface utilisateur, vous devez créer une clé de chiffrement symétrique dans. AWS KMS Pour obtenir des instructions sur la création de clés, consultez la section Création de clés dans le Guide du AWS KMS développeur.

La politique de clé pour votre clé gérée par le client doit autoriser l' OpenSearch interface utilisateur à utiliser la clé. Utilisez la politique clé suivante, en la placeholder values remplaçant par vos propres informations :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowOpenSearchUIToUseKey",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "application.opensearchservice.amazonaws.com"
                ]
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowKeyAdministration",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account-id:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        }
    ]
}

La stratégie comprend deux déclarations :

Pour plus d'informations sur les politiques clés, consultez la section Utilisation des politiques clés AWS KMS dans le Guide du AWS KMS développeur.

Création d'une application avec chiffrement par clé géré par le client à l'aide de la console

Lorsque vous créez une application d' OpenSearch interface utilisateur dans la console, vous pouvez spécifier une clé gérée par le client pour chiffrer les métadonnées de l'application.

Création d'une application avec chiffrement par clé géré par le client à l'aide du AWS CLI

Pour créer une application d' OpenSearch interface utilisateur avec un chiffrement par clé géré par le client à l'aide de AWS CLI, utilisez la commande create-application avec le --kms-key-arn paramètre.

Remplacez les placeholder values par vos propres informations.

aws opensearch create-application \
    --name my-application \
    --kms-key-arn arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012

Si vous ne spécifiez pas le --kms-key-arn paramètre, OpenSearch utilise une clé AWS gérée pour chiffrer les métadonnées de l'application.

Surveillance de l'utilisation des clés gérées par le client

Lorsque vous utilisez une clé gérée par le client avec une application d' OpenSearch interface utilisateur, AWS KMS chaque utilisation de la clé est enregistrée dans AWS CloudTrail les journaux. Vous pouvez utiliser ces journaux pour contrôler comment et quand votre clé est utilisée. Les journaux indiquent quel utilisateur ou quel service a accédé à la clé.

AWS AWS KMS change automatiquement les clés gérées par le client chaque année. Vous pouvez également faire pivoter les touches manuellement si nécessaire. Pour plus d'informations sur la rotation des touches, consultez la section Rotation des clés KMS dans le Guide du AWS KMS développeur.

Pour plus d'informations sur la surveillance de l'utilisation des clés, consultez la section Journalisation des appels d' AWS KMS API AWS CloudTrail dans le Guide du AWS KMS développeur.

Mise à jour des paramètres de chiffrement

Une fois que vous avez créé une application d' OpenSearch interface utilisateur, vous ne pouvez pas modifier ses paramètres de chiffrement. Si vous devez utiliser une autre clé gérée par le client, vous devez créer une nouvelle application. Si vous devez passer d'une clé AWS gérée à une clé gérée par le client, vous devez également créer une nouvelle application avec les paramètres de chiffrement souhaités.

Étapes suivantes

Après avoir configuré le chiffrement CMK pour votre application, vous pouvez :