Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Erhalten Sie SNS Amazon-Benachrichtigungen, wenn sich der Schlüsselstatus eines AWS KMS Schlüssels ändert
Erstellt von Shubham Harsora (AWS), Aromal Raj Jayarajan () und Navdeep Pareek () AWS AWS
Übersicht
Die mit einem AWS Key Management Service () -Schlüssel verknüpften Daten und Metadaten gehen verloren, wenn dieser Schlüssel gelöscht wird. AWS KMS Das Löschen ist irreversibel und Sie können verlorene Daten (einschließlich verschlüsselter Daten) nicht wiederherstellen. Sie können Datenverlust verhindern, indem Sie ein Benachrichtigungssystem einrichten, das Sie über Statusänderungen der wichtigsten Status Ihrer AWS KMS Schlüssel informiert.
Dieses Muster zeigt Ihnen, wie Sie Statusänderungen an AWS KMS Schlüsseln überwachen können, indem Sie Amazon EventBridge und Amazon Simple Notification Service (AmazonSNS) verwenden, um automatische Benachrichtigungen auszugeben, wenn sich der Schlüsselstatus eines AWS KMS Schlüssels auf Disabled oder ändertPendingDeletion. Wenn ein Benutzer beispielsweise versucht, einen AWS KMS Schlüssel zu deaktivieren oder zu löschen, erhalten Sie eine E-Mail-Benachrichtigung mit Einzelheiten zur versuchten Statusänderung. Sie können dieses Muster auch verwenden, um das Löschen von AWS KMS Schlüsseln zu planen.
Voraussetzungen und Einschränkungen
Voraussetzungen
Ein aktives AWS Konto mit einem AWS Identity and Access Management (IAM) -Benutzer
Ein AWSKMSSchlüssel
Architektur
Technologie-Stack
Amazon EventBridge
AWSSchlüsselverwaltungsservice (AWSKMS)
Amazon Simple Notification Service (AmazonSNS)
Zielarchitektur
Das folgende Diagramm zeigt eine Architektur für den Aufbau eines automatisierten Überwachungs- und Benachrichtigungsprozesses zur Erkennung von Änderungen am Status eines AWS KMS Schlüssels.
Das Diagramm zeigt den folgenden Workflow:
Ein Benutzer deaktiviert oder plant das Löschen eines AWS KMS Schlüssels.
Eine EventBridge Regel bewertet das geplante Ereignis
DisabledoderPendingDeletionEreignis.Die EventBridge Regel ruft das SNS Amazon-Thema auf.
Amazon SNS sendet eine E-Mail-Benachrichtigung an die Benutzer.
Anmerkung
Sie können die E-Mail-Nachricht an die Bedürfnisse Ihres Unternehmens anpassen. Wir empfehlen, Informationen über die Entitäten anzugeben, in denen der AWS KMS Schlüssel verwendet wird. Dies kann Benutzern helfen, die Auswirkungen des Löschens des AWS KMS Schlüssels zu verstehen. Sie können auch eine E-Mail-Erinnerung einrichten, die ein oder zwei Tage vor dem Löschen des AWS KMS Schlüssels gesendet wird.
Automatisierung und Skalierung
Der AWS CloudFormation Stack stellt alle erforderlichen Ressourcen und Dienste bereit, damit dieses Muster funktioniert. Sie können das Muster unabhängig in einem einzelnen Konto implementieren oder es AWS CloudFormation StackSetsfür mehrere unabhängige Konten oder Organisationseinheiten in AWS Organizations verwenden.
Tools
AWS CloudFormationhilft Ihnen dabei, AWS Ressourcen einzurichten, sie schnell und konsistent bereitzustellen und sie während ihres gesamten Lebenszyklus AWS konto- und AWS regionsübergreifend zu verwalten. Die CloudFormation Vorlage für dieses Muster beschreibt alle AWS Ressourcen, die Sie benötigen, und stellt CloudFormation diese Ressourcen für Sie bereit und konfiguriert sie.
Amazon EventBridge ist ein serverloser Event-Bus-Service, mit dem Sie Ihre Anwendungen mit Echtzeitdaten aus einer Vielzahl von Quellen verbinden können. EventBridge liefert einen Stream von Echtzeitdaten aus Ihren eigenen Anwendungen und AWS Diensten und leitet diese Daten an Ziele wie AWS Lambda weiter. EventBridge vereinfacht den Prozess der Erstellung ereignisgesteuerter Architekturen.
AWSDer Key Management Service (AWSKMS) unterstützt Sie bei der Erstellung und Kontrolle kryptografischer Schlüssel, um Ihre Daten zu schützen.
Amazon Simple Notification Service (AmazonSNS) unterstützt Sie bei der Koordination und Verwaltung des Nachrichtenaustauschs zwischen Herausgebern und Kunden, einschließlich Webservern und E-Mail-Adressen.
Code
Der Code für dieses Muster ist in den Repositorien zur Deaktivierung von GitHub AWS KMS Monitor-Tasten und zum geplanten Löschen
Epen
| Aufgabe | Beschreibung | Erforderliche Fähigkeiten |
|---|---|---|
Klonen Sie das Repository | Klonen Sie das Repository zur Deaktivierung der GitHub AWS KMS Monitor-Tasten und zum geplanten Löschen
| AWSAdministrator, Cloud-Architekt |
Aktualisieren Sie die Parameter der Vorlage. | Öffnen Sie in einem Code-Editor die
| AWSAdministrator, Cloud-Architekt |
Stellen Sie die CloudFormation Vorlage bereit. |
| AWSAdministrator, Cloud-Architekt |
| Aufgabe | Beschreibung | Erforderliche Fähigkeiten |
|---|---|---|
Bestätigen Sie die Abonnement-E-Mail. | Nachdem die CloudFormation Vorlage erfolgreich bereitgestellt wurde, SNS sendet Amazon eine Bestätigungsnachricht für das Abonnement an die E-Mail-Adresse, die Sie in der CloudFormation Vorlage angegeben haben. Um Benachrichtigungen zu erhalten, müssen Sie dieses E-Mail-Abonnement bestätigen. Weitere Informationen finden Sie unter Bestätigen des Abonnements im Amazon SNS Developer Guide. | AWSAdministrator, Cloud-Architekt |
| Aufgabe | Beschreibung | Erforderliche Fähigkeiten |
|---|---|---|
AWSKMSSchlüssel deaktivieren. |
| AWS-Administrator |
Bestätigen Sie das Abonnement. | Bestätigen Sie, dass Sie die SNS Amazon-Benachrichtigungs-E-Mail erhalten haben. | AWS-Administrator |
| Aufgabe | Beschreibung | Erforderliche Fähigkeiten |
|---|---|---|
Löschen Sie den CloudFormation Stapel. |
| AWS-Administrator |
Zugehörige Ressourcen
AWS CloudFormation
(AWSDokumentation) Einen Stack auf der AWS CloudFormation Konsole erstellen (AWS CloudFormation Dokumentation)
Aufbau ereignisgesteuerter Architekturen auf AWS
(AWSWorkshop Studio-Dokumentation) AWSBewährte Methoden für wichtige Management-Services (Whitepaper
) AWS Bewährte Sicherheitsmethoden für AWS Key Management Service (AWSKMSEntwicklerhandbuch)
Zusätzliche Informationen
Amazon SNS bietet standardmäßig Verschlüsselung bei der Übertragung. Um den bewährten Sicherheitsmethoden zu entsprechen, können Sie auch die serverseitige Verschlüsselung für Amazon aktivieren, SNS indem Sie einen vom AWS KMS Kunden verwalteten Schlüssel verwenden.
