Erhalten Sie Amazon SNS SNS-Benachrichtigungen, wenn sich der Schlüsselstatus eines AWS KMS KMS-Schlüssels ändert

Erstellt von Shubham Harsora (AWS), Aromal Raj Jayarajan (AWS) und Navdeep Pareek (AWS)

Code-Repository: aws-kms-deletion-notification	Umgebung: PoC oder Pilot	Technologien: Infrastruktur; CloudNative DevOps; Sicherheit, Identität, Compliance
Arbeitslast: Alle anderen Workloads	AWS-Dienste: Amazon EventBridge; AWS KMS; Amazon SNS

Übersicht

Die mit einem AWS Key Management Service (AWS KMS) -Schlüssel verknüpften Daten und Metadaten gehen verloren, wenn dieser Schlüssel gelöscht wird. Das Löschen ist irreversibel und Sie können verlorene Daten (einschließlich verschlüsselter Daten) nicht wiederherstellen. Sie können Datenverlust verhindern, indem Sie ein Benachrichtigungssystem einrichten, das Sie über Statusänderungen der wichtigsten Status Ihrer AWS KMS KMS-Schlüssel informiert.

Dieses Muster zeigt Ihnen, wie Sie Statusänderungen an AWS-KMS-Schlüsseln überwachen können, indem Sie Amazon EventBridge und Amazon Simple Notification Service (Amazon SNS) verwenden, um automatische Benachrichtigungen auszugeben, wenn sich der Schlüsselstatus eines AWS KMS KMS-Schlüssels auf Disabled oder PendingDeletion ändert. Wenn ein Benutzer beispielsweise versucht, einen AWS KMS KMS-Schlüssel zu deaktivieren oder zu löschen, erhalten Sie eine E-Mail-Benachrichtigung mit Einzelheiten zur versuchten Statusänderung. Sie können dieses Muster auch verwenden, um das Löschen von AWS-KMS-Schlüsseln zu planen.

Voraussetzungen und Einschränkungen

Voraussetzungen

• Ein aktives AWS-Konto mit einem AWS Identity and Access Management (IAM) -Benutzer

• Ein AWS-KMS-Schlüssel

Architektur

Technologie-Stack

• Amazon EventBridge

• AWS Key Management Service (AWS KMS)

• Amazon-Simple-Notification-Service (Amazon-SNS)

Zielarchitektur

Das folgende Diagramm zeigt eine Architektur für den Aufbau eines automatisierten Überwachungs- und Benachrichtigungsprozesses zur Erkennung von Änderungen am Status eines AWS-KMS-Schlüssels.

Das Diagramm zeigt den folgenden Workflow:

1. Ein Benutzer deaktiviert oder plant das Löschen eines AWS-KMS-Schlüssels.

2. Eine EventBridge Regel bewertet das geplante Ereignis Disabled oder PendingDeletion Ereignis.

3. Die EventBridge Regel ruft das Amazon SNS SNS-Thema auf.

4. Amazon SNS sendet eine E-Mail-Benachrichtigung an die Benutzer.

Hinweis: Sie können die E-Mail-Nachricht an die Bedürfnisse Ihres Unternehmens anpassen. Wir empfehlen, Informationen über die Entitäten anzugeben, in denen der AWS-KMS-Schlüssel verwendet wird. Dies kann Benutzern helfen, die Auswirkungen des Löschens des AWS-KMS-Schlüssels zu verstehen. Sie können auch eine Erinnerungs-E-Mail-Benachrichtigung planen, die ein oder zwei Tage vor dem Löschen des AWS-KMS-Schlüssels gesendet wird.

Automatisierung und Skalierung

Der CloudFormation AWS-Stack stellt alle erforderlichen Ressourcen und Dienste bereit, damit dieses Muster funktioniert. Sie können das Muster unabhängig in einem einzigen Konto implementieren oder indem Sie AWS CloudFormation StackSets für mehrere unabhängige Konten oder Organisationseinheiten in AWS Organizations verwenden.

Tools

• AWS CloudFormation hilft Ihnen dabei, AWS-Ressourcen einzurichten, sie schnell und konsistent bereitzustellen und sie während ihres gesamten Lebenszyklus über AWS-Konten und AWS-Regionen hinweg zu verwalten. Die CloudFormation Vorlage für dieses Muster beschreibt alle AWS-Ressourcen, die Sie benötigen, und stellt CloudFormation diese Ressourcen für Sie bereit und konfiguriert sie.

• Amazon EventBridge ist ein serverloser Event-Bus-Service, mit dem Sie Ihre Anwendungen mit Echtzeitdaten aus einer Vielzahl von Quellen verbinden können. EventBridge liefert einen Stream von Echtzeitdaten aus Ihren eigenen Anwendungen und AWS-Services und leitet diese Daten an Ziele wie AWS Lambda weiter. EventBridge vereinfacht den Prozess der Erstellung ereignisgesteuerter Architekturen.

• AWS Key Management Service (AWS KMS) unterstützt Sie bei der Erstellung und Kontrolle kryptografischer Schlüssel, um Ihre Daten zu schützen.

• Amazon Simple Notification Service (Amazon SNS) unterstützt Sie bei der Koordination und Verwaltung des Nachrichtenaustauschs zwischen Herausgebern und Kunden, einschließlich Webservern und E-Mail-Adressen.

Code

Der Code für dieses Muster ist im Repository GitHub Monitor AWS KMS Keys Disable and Scheduled Deletion verfügbar.

Epen

Stellen Sie die Vorlage CloudFormation bereit

Aufgabe	Beschreibung	Erforderliche Fähigkeiten
Klonen Sie das Repository	Klonen Sie das Repository GitHub Monitor AWS KMS Keys Disable and Scheduled Deletion auf Ihren lokalen Computer, indem Sie den folgenden Befehl ausführen: git clone https://github.com/aws-samples/aws-kms-deletion-notification	AWS-Administrator, Cloud-Architekt
Aktualisieren Sie die Parameter der Vorlage.	Öffnen Sie in einem Code-Editor die Alerting-KMS-Events.yaml CloudFormation Vorlage, die Sie aus dem Repository geklont haben, und aktualisieren Sie dann die folgenden Parameter: Geben Sie für DestinationEmailAddress eine aktive E-Mail-Adresse ein, die Sie für den Empfang der SNS-Benachrichtigung verwenden möchten. Geben Sie für SNSTopicName einen Namen für Ihr SNS-Thema ein.	AWS-Administrator, Cloud-Architekt
Stellen Sie die CloudFormation Vorlage bereit.	Melden Sie sich bei der AWS-Managementkonsole an und öffnen Sie die CloudFormation Konsole. Wählen Sie im Navigationsbereich Stack erstellen und dann Mit neuen Ressourcen (Standard) aus. Wählen Sie auf der Seite Ressourcen identifizieren die Option Weiter aus. Wählen Sie auf der Seite „Vorlage angeben“ für Vorlagenquelle die Option Vorlagendatei hochladen aus. Wählen Sie Datei auswählen, wählen Sie die Alerting-KMS-Events.yaml Datei aus Ihrem geklonten GitHub Repository aus und klicken Sie dann auf Weiter. Geben Sie unter Stack-Name Ihren Stack-Namen ein. Wählen Sie Absenden aus.	AWS-Administrator, Cloud-Architekt

Bestätigen Sie das Abonnement

Aufgabe	Beschreibung	Erforderliche Fähigkeiten
Bestätigen Sie die Abonnement-E-Mail.	Nachdem die CloudFormation Vorlage erfolgreich bereitgestellt wurde, sendet Amazon SNS eine Bestätigungsnachricht für das Abonnement an die E-Mail-Adresse, die Sie in der CloudFormation Vorlage angegeben haben. Um Benachrichtigungen zu erhalten, müssen Sie dieses E-Mail-Abonnement bestätigen. Weitere Informationen finden Sie unter Bestätigen des Abonnements im Amazon SNS Developer Guide.	AWS-Administrator, Cloud-Architekt

Testen Sie die Abonnementbenachrichtigung

Aufgabe	Beschreibung	Erforderliche Fähigkeiten
Deaktivieren Sie die AWS-KMS-Schlüssel.	Melden Sie sich bei der AWS-Managementkonsole an und öffnen Sie die AWS KMS-Konsole. Um die Region zu ändern, wählen Sie den Namen der aktuell angezeigten Region und dann die Region aus, zu der Sie wechseln möchten. Klicken Sie im Navigationsbereich auf Kundenverwaltete Schlüssel. Aktivieren Sie das Kontrollkästchen für den AWS KMS KMS-Schlüssel, den Sie aktivieren oder deaktivieren möchten. Um den AWS KMS KMS-Schlüssel zu deaktivieren, wählen Sie Key Actions und dann Disable aus.	AWS-Administrator
Bestätigen Sie das Abonnement.	Bestätigen Sie, dass Sie die Amazon SNS SNS-Benachrichtigungs-E-Mail erhalten haben.	AWS-Administrator

Bereinigen von -Ressourcen

Aufgabe	Beschreibung	Erforderliche Fähigkeiten
Löschen Sie den CloudFormation Stapel.	Melden Sie sich bei der AWS-Managementkonsole an und öffnen Sie die CloudFormation Konsole. Klicken Sie im Navigationsbereich auf Stacks. Wählen Sie den Stack aus, den Sie zuvor erstellt haben, und klicken Sie dann auf Löschen.	AWS-Administrator

Zugehörige Ressourcen

• AWS CloudFormation (AWS-Dokumentation)

• Einen Stack auf der CloudFormation AWS-Konsole erstellen ( CloudFormation AWS-Dokumentation)

• Aufbau ereignisgesteuerter Architekturen auf AWS (AWS Workshop Studio-Dokumentation)

• Bewährte Methoden für den AWS Key Management Service (AWS-Whitepaper)

• Bewährte Sicherheitsmethoden für AWS Key Management Service (AWS KMS Developer Guide)

Zusätzliche Informationen

Amazon SNS bietet standardmäßig Verschlüsselung bei der Übertragung. Um den bewährten Sicherheitsmethoden zu entsprechen, können Sie auch die serverseitige Verschlüsselung für Amazon SNS aktivieren, indem Sie einen vom Kunden verwalteten AWS KMS KMS-Schlüssel verwenden.