Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Vous pouvez utiliser vos AWS CloudTrail journaux pour surveiller le déchiffrement,, DeriveSharedSecretGenerateDataKeyGenerateDataKeyPair, et les GenerateRandomopérations d'une enclave AWS Nitro. Dans ces entrées de journal, le additionalEventData champ contient un recipient champ contenant l'ID du module (attestationDocumentModuleId), le résumé de l'image (attestationDocumentEnclaveImageDigest) et les registres de configuration de la plate-forme (PCRs) provenant du document d'attestation contenu dans la demande. Ces champs ne sont inclus que lorsque le Recipient paramètre de la demande spécifie un document d'attestation signé provenant d'une enclave AWS Nitro.
L'ID du module est l'ID d'enclave de l'enclave Nitro. Le condensé d'image est le SHA384 hachage de l'image de l'enclave. Vous pouvez utiliser le résumé de l'image et PCR les valeurs dans les conditions relatives aux politiques et IAM politiques clés. Pour plus d'informations à ce sujetPCRs, voir Où obtenir les mesures d'une enclave dans le guide de l'utilisateur de AWS Nitro Enclaves.
Cette section présente un exemple d'entrée de CloudTrail journal pour chacune des demandes d'enclave Nitro prises en charge à AWS KMS.
Decrypt (pour une enclave)
L'exemple suivant montre une entrée de AWS CloudTrail journal d'une opération de déchiffrement pour une enclave AWS Nitro.
{
"eventVersion": "1.05",
"userIdentity": {
"type": "IAMUser",
"principalId": "EX_PRINCIPAL_ID",
"arn": "arn:aws:iam::111122223333:user/Alice",
"accountId": "111122223333",
"accessKeyId": "EXAMPLE_KEY_ID",
"userName": "Alice"
},
"eventTime": "2020-07-27T22:58:24Z",
"eventSource": "kms.amazonaws.com",
"eventName": "Decrypt",
"awsRegion": "us-west-2",
"sourceIPAddress": "192.0.2.0",
"userAgent": "AWS Internal",
"requestParameters": {
"encryptionAlgorithm": "SYMMETRIC_DEFAULT",
"keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
},
"responseElements": null,
"additionalEventData": {
"recipient": {
"attestationDocumentModuleId": "i-123456789abcde123-enc123456789abcde12",
"attestationDocumentEnclaveImageDigest": "<AttestationDocument.PCR0>",
"attestationDocumentEnclavePCR1": "<AttestationDocument.PCR1>",
"attestationDocumentEnclavePCR2": "<AttestationDocument.PCR2>",
"attestationDocumentEnclavePCR3": "<AttestationDocument.PCR3>",
"attestationDocumentEnclavePCR4": "<AttestationDocument.PCR4>",
"attestationDocumentEnclavePCR8": "<AttestationDocument.PCR8>"
}
},
"requestID": "b4a65126-30d5-4b28-98b9-9153da559963",
"eventID": "e5a2f202-ba1a-467c-b4ba-f729d45ae521",
"readOnly": true,
"resources": [
{
"accountId": "111122223333",
"type": "AWS::KMS::Key",
"ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
}
],
"eventType": "AwsApiCall",
"recipientAccountId": "111122223333"
}GenerateDataKey (pour une enclave)
L'exemple suivant montre une entrée dans le AWS CloudTrail journal d'une GenerateDataKeyopération pour une enclave AWS Nitro.
{
"eventVersion": "1.02",
"userIdentity": {
"type": "IAMUser",
"principalId": "EX_PRINCIPAL_ID",
"arn": "arn:aws:iam::111122223333:user/Alice",
"accountId": "111122223333",
"accessKeyId": "EXAMPLE_KEY_ID",
"userName": "Alice"
},
"eventTime": "2014-11-04T00:52:40Z",
"eventSource": "kms.amazonaws.com",
"eventName": "GenerateDataKey",
"awsRegion": "us-east-1",
"sourceIPAddress": "192.0.2.0",
"userAgent": "AWS Internal",
"requestParameters": {
"keyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
"numberOfBytes": 32
},
"responseElements": null,
"additionalEventData": {
"recipient": {
"attestationDocumentModuleId": "i-123456789abcde123-enc123456789abcde12",
"attestationDocumentEnclaveImageDigest": "<AttestationDocument.PCR0>",
"attestationDocumentEnclavePCR1": "<AttestationDocument.PCR1>",
"attestationDocumentEnclavePCR2": "<AttestationDocument.PCR2>",
"attestationDocumentEnclavePCR3": "<AttestationDocument.PCR3>",
"attestationDocumentEnclavePCR4": "<AttestationDocument.PCR4>",
"attestationDocumentEnclavePCR8": "<AttestationDocument.PCR8>"
}
},
"requestID": "e0eb83e3-63bc-11e4-bc2b-4198b6150d5c",
"eventID": "a9dea4f9-8395-46c0-942c-f509c02c2b71",
"readOnly": true,
"resources": [{
"ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
"accountId": "111122223333"
}],
"eventType": "AwsApiCall",
"recipientAccountId": "111122223333"
}GenerateDataKeyPair (pour une enclave)
L'exemple suivant montre une entrée dans le AWS CloudTrail journal d'une GenerateDataKeyPairopération pour une enclave AWS Nitro.
{
"eventVersion": "1.05",
"userIdentity": {
"type": "IAMUser",
"principalId": "EX_PRINCIPAL_ID",
"arn": "arn:aws:iam::111122223333:user/Alice",
"accountId": "111122223333",
"accessKeyId": "EXAMPLE_KEY_ID",
"userName": "Alice"
},
"eventTime": "2020-07-27T18:57:57Z",
"eventSource": "kms.amazonaws.com",
"eventName": "GenerateDataKeyPair",
"awsRegion": "us-west-2",
"sourceIPAddress": "192.0.2.0",
"userAgent": "AWS Internal",
"requestParameters": {
"keyPairSpec": "RSA_3072",
"encryptionContext": {
"Project": "Alpha"
},
"keyId": "1234abcd-12ab-34cd-56ef-1234567890ab"
},
"responseElements": null,
"additionalEventData": {
"recipient": {
"attestationDocumentModuleId": "i-123456789abcde123-enc123456789abcde12",
"attestationDocumentEnclaveImageDigest": "<AttestationDocument.PCR0>",
"attestationDocumentEnclavePCR1": "<AttestationDocument.PCR1>",
"attestationDocumentEnclavePCR2": "<AttestationDocument.PCR2>",
"attestationDocumentEnclavePCR3": "<AttestationDocument.PCR3>",
"attestationDocumentEnclavePCR4": "<AttestationDocument.PCR4>",
"attestationDocumentEnclavePCR8": "<AttestationDocument.PCR8>"
}
},
"requestID": "52fb127b-0fe5-42bb-8e5e-f560febde6b0",
"eventID": "9b6bd6d2-529d-4890-a949-593b13800ad7",
"readOnly": true,
"resources": [
{
"accountId": "111122223333",
"type": "AWS::KMS::Key",
"ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
}
],
"eventType": "AwsApiCall",
"recipientAccountId": "111122223333"
}GenerateRandom (pour une enclave)
L'exemple suivant montre une entrée dans le AWS CloudTrail journal d'une GenerateRandomopération pour une enclave AWS Nitro.
{
"eventVersion": "1.02",
"userIdentity": {
"type": "IAMUser",
"principalId": "EX_PRINCIPAL_ID",
"arn": "arn:aws:iam::111122223333:user/Alice",
"accountId": "111122223333",
"accessKeyId": "EXAMPLE_KEY_ID",
"userName": "Alice"
},
"eventTime": "2014-11-04T00:52:37Z",
"eventSource": "kms.amazonaws.com",
"eventName": "GenerateRandom",
"awsRegion": "us-east-1",
"sourceIPAddress": "192.0.2.0",
"userAgent": "AWS Internal",
"requestParameters": null,
"responseElements": null,
"additionalEventData": {
"recipient": {
"attestationDocumentModuleId": "i-123456789abcde123-enc123456789abcde12",
"attestationDocumentEnclaveImageDigest": "<AttestationDocument.PCR0>",
"attestationDocumentEnclavePCR1": "<AttestationDocument.PCR1>",
"attestationDocumentEnclavePCR2": "<AttestationDocument.PCR2>",
"attestationDocumentEnclavePCR3": "<AttestationDocument.PCR3>",
"attestationDocumentEnclavePCR4": "<AttestationDocument.PCR4>",
"attestationDocumentEnclavePCR8": "<AttestationDocument.PCR8>"
}
},
"requestID": "df1e3de6-63bc-11e4-bc2b-4198b6150d5c",
"eventID": "239cb9f7-ae05-4c94-9221-6ea30eef0442",
"readOnly": true,
"resources": [],
"eventType": "AwsApiCall",
"recipientAccountId": "111122223333"
}