Überwachung mit Amazon EventBridge

Sie können Amazon EventBridge (früher Amazon CloudWatch Events) verwenden, um Sie auf die folgenden wichtigen Ereignisse im Lebenszyklus Ihrer KMS-Schlüssel aufmerksam zu machen.

• Das Schlüsselmaterial in einem KMS-Schlüssel wurde automatisch rotiert.

• Das importierte Schlüsselmaterial in einem KMS-Schlüssel ist abgelaufen.

• Ein KMS-Schlüssel, dessen Löschung geplant war, wurde gelöscht.

AWS KMS lässt sich in Amazon integrieren EventBridge , um Sie über wichtige Ereignisse zu informieren, die sich auf Ihre KMS-Schlüssel auswirken. Jedes Ereignis wird in JSON dargestellt (JavaScriptObjektnotation) und enthält den Ereignisnamen, das Datum und die Uhrzeit des Ereignisses sowie das betroffene . Sie können diese Events erfassen und Regeln festlegen, um sie an ein oder mehrere Ziele weiterzuleiten, darunter AWS Lambda-Funktionen, Amazon-SNS-Themen, Amazon-SQS-Warteschlangen, Streams in Amazon Kinesis Data Streams oder integrierte Ziele.

Weitere Informationen zur Verwendung von EventBridge mit anderen Arten von Ereignissen, einschließlich Ereignissen, die von AWS CloudTrail bei der Aufzeichnung einer Lese-/Schreib-API-Anfrage ausgegeben werden, finden Sie im Amazon- EventBridge Benutzerhandbuch.

In den folgenden Themen werden die EventBridge Ereignisse beschrieben, die AWS KMS generiert.

KMS-CMK-Drehung

AWS KMS unterstützt Automatisches Rotieren des Schlüsselmaterials in symmetrischen KMS-Schlüsseln zur Verschlüsselung. Die jährliche Schlüsselmaterialdrehung ist optional für Kundenverwaltete Schlüssel. Das Schlüsselmaterial für Von AWS verwaltete Schlüssel wird automatisch jedes Jahr rotiert.

Immer wenn Schlüsselmaterial AWS KMS dreht, sendet es ein KMS CMK Rotation Ereignis an EventBridge. AWS KMS generiert dieses Ereignis nach bestem Wissen und Gewissen.

Es folgt ein Beispiel für dieses Ereignis.

{
  "version": "0",
  "id": "6a7e8feb-b491-4cf7-a9f1-bf3703467718",
  "detail-type": "KMS CMK Rotation",
  "source": "aws.kms",
  "account": "111122223333",
  "time": "2022-08-10T16:37:50Z",
  "region": "us-west-2",
  "resources": [
    "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
  ],
  "detail": {
    "key-id": "1234abcd-12ab-34cd-56ef-1234567890ab"
  }
}

Ablauf der über KMS importierten Schlüsselinformationen

Wenn Sie Schlüsselmaterial in einen KMS-Schlüssel importieren, können Sie optional festlegen, wann das Schlüsselmaterial abläuft. Wenn das Schlüsselmaterial abläuft, AWS KMSlöscht das Schlüsselmaterial und sendet ein entsprechendes KMS Imported Key Material Expiration Ereignis an EventBridge. AWS KMS generiert dieses Ereignis nach bestem Wissen und Gewissen.

Es folgt ein Beispiel für dieses Ereignis.

{
  "version": "0",
  "id": "9da9af57-9253-4406-87cb-7cc400e43465",
  "detail-type": "KMS Imported Key Material Expiration",
  "source": "aws.kms",
  "account": "111122223333",
  "time": "2022-08-10T16:37:50Z",
  "region": "us-west-2",
  "resources": [
    "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
  ],
  "detail": {
    "key-id": "1234abcd-12ab-34cd-56ef-1234567890ab"
  }
}

KMS-CMK-Löschung

Wenn Sie für einen KMS-Schlüssel das Löschen planen, erzwingt AWS KMS vor dem Löschen des KMS-Schlüssels eine Wartezeit. Nach Ablauf der Wartezeit AWS KMSlöscht den KMS-Schlüssel und sendet ein KMS CMK Deletion Ereignis an EventBridge. AWS KMS garantiert dieses EventBridge Ereignis. Aufgrund von Wiederholungen kann es innerhalb weniger Sekunden mehrere Ereignisse generieren, die denselben KMS-Schlüssel löschen.

Es folgt ein Beispiel für dieses Ereignis.

{
  "version": "0",
  "id": "e9ce3425-7d22-412a-a699-e7a5fc3fbc9a",
  "detail-type": "KMS CMK Deletion",
  "source": "aws.kms",
  "account": "111122223333",
  "time": "2022-08-10T16:37:50Z",
  "region": "us-west-2",
  "resources": [
    "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
  ],
  "detail": {
    "key-id": "1234abcd-12ab-34cd-56ef-1234567890ab"
  }
}