Le chiffrement au repos dans AWS l'IoT FleetWise

AWS L'IoT FleetWise stocke vos données dans le AWS cloud et sur des passerelles.

Données au repos dans le AWS cloud

AWS L'IoT FleetWise stocke les données dans d'autres Services AWS systèmes qui chiffrent les données au repos par défaut. Encryption at rest s'intègre à AWS Key Management Service (AWS KMS) pour gérer la clé de chiffrement utilisée pour chiffrer les valeurs des propriétés de vos actifs et les valeurs agrégées dans AWS l'IoT FleetWise. Vous pouvez choisir d'utiliser une clé gérée par le client pour chiffrer les valeurs des propriétés des actifs et les valeurs agrégées dans AWS l'IoT FleetWise. Vous pouvez créer, gérer et consulter votre clé de chiffrement via AWS KMS.

Vous pouvez choisir une clé gérée par le client Clé détenue par AWS ou une clé gérée par le client pour chiffrer vos données.

Comment ça marche

Le chiffrement au repos s'intègre AWS KMS à la gestion de la clé de chiffrement utilisée pour chiffrer vos données.

• Clé détenue par AWS — Clé de chiffrement par défaut. AWS C' FleetWise est l'IoT qui détient cette clé. Vous ne pouvez pas afficher, gérer ou utiliser cette clé dans votre Compte AWS. Vous ne pouvez pas non plus voir les opérations effectuées sur la clé dans AWS CloudTrail les journaux. Vous pouvez utiliser cette clé sans frais supplémentaires.

• Clé gérée par le client — La clé est stockée dans votre compte, que vous créez, détenez et gérez. Vous avez le contrôle total de la KMS clé. Des AWS KMS frais supplémentaires s'appliquent.

Clés détenues par AWS

Clés détenues par AWS ne sont pas enregistrés dans votre compte. Elles font partie d'une collection de KMS clés qui AWS possède et gère pour une utilisation multiple Comptes AWS. Services AWS peut être utilisé Clés détenues par AWS pour protéger vos données.

Vous ne pouvez ni afficher, ni gérer, ni utiliser Clés détenues par AWS, ni auditer leur utilisation. Cependant, il n'est pas nécessaire de prendre des mesures ou de modifier des programmes pour protéger les clés qui chiffrent vos données.

Aucuns frais ne vous seront facturés si vous l'utilisez Clés détenues par AWS, et ils ne sont pas pris en compte dans les AWS KMS quotas de votre compte.

Clés gérées par le client

Les clés gérées par le client sont des KMS clés de votre compte que vous créez, détenez et gérez. Vous avez le contrôle total sur ces KMS touches, telles que les suivantes :

• Établir et maintenir leurs politiques, IAM politiques et subventions clés

• Les activer et les désactiver

• Rotation de leur matériel cryptographique

• Ajout de balises

• Création d'alias qui y font référence

• Planifier leur suppression

Vous pouvez également utiliser CloudTrail Amazon CloudWatch Logs pour suivre les demandes que AWS l'IoT FleetWise envoie AWS KMS en votre nom.

Si vous utilisez des clés gérées par le client, vous devez autoriser AWS l'IoT à FleetWise accéder à la KMS clé enregistrée dans votre compte. AWS L'IoT FleetWise utilise le chiffrement des enveloppes et la hiérarchie des clés pour chiffrer les données. Votre clé de chiffrement AWS KMS est utilisée pour chiffrer la clé racine de cette hiérarchie de clés. Pour plus d'informations, consultez Chiffrement d'enveloppe dans le Guide du développeur AWS Key Management Service .

L'exemple de politique suivant accorde à AWS l'IoT l' FleetWise autorisation d'utiliser votre AWS KMS clé.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow use of the key",
      "Effect": "Allow",
      "Principal": {
      "Service": "iotfleetwise.amazonaws.com"
      },
      "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey",
      ],
      "Resource": "*"
}

Important

Lorsque vous ajoutez les nouvelles sections à votre politique KMS clé, ne modifiez aucune section existante de la politique. AWS L'IoT ne FleetWise peut pas effectuer d'opérations sur vos données si le chiffrement est activé pour AWS l'IoT FleetWise et si l'une des conditions suivantes est vraie :

• La KMS clé est désactivée ou supprimée.

• La politique KMS clé n'est pas correctement configurée pour le service.

Utilisation des données du système de vision avec chiffrement au repos

Note

Les données du système de vision sont en version préliminaire et sont susceptibles d'être modifiées.

Si vous avez un chiffrement géré par le client avec des AWS KMS clés activées sur votre FleetWise compte AWS IoT et que vous souhaitez utiliser les données du système de vision, réinitialisez vos paramètres de chiffrement pour qu'ils soient compatibles avec les types de données complexes. Cela permet FleetWise à AWS l'IoT d'établir les autorisations supplémentaires nécessaires pour les données du système de vision.

Note

Le manifeste de votre décodeur est peut-être bloqué dans un état de validation si vous n'avez pas réinitialisé les paramètres de chiffrement des données du système de vision.

1. Utilisez cette GetEncryptionConfigurationAPIopération pour vérifier si AWS KMS le chiffrement est activé. Aucune autre action n'est nécessaire si le type de cryptage est le casFLEETWISE_DEFAULT_ENCRYPTION.

2. Si le type de cryptage estKMS_BASED_ENCRYPTION, utilisez l'PutEncryptionConfigurationAPIopération pour réinitialiser le type de cryptage àFLEETWISE_DEFAULT_ENCRYPTION.

   {
       aws iotfleetwise put-encryption-configuration --encryption-type 
         FLEETWISE_DEFAULT_ENCRYPTION 
    }

3. Utilisez cette PutEncryptionConfigurationAPIopération pour réactiver le type de chiffrement surKMS_BASED_ENCRYPTION.

   {
       aws iotfleetwise put-encryption-configuration \
           --encryption-type "KMS_BASED_ENCRYPTION" 
           --kms-key-id kms_key_id
    }

Pour plus d'informations sur l'activation du chiffrement, consultezGestion des clés dans AWS l'IoT FleetWise.