Recevez des notifications Amazon SNS lorsque l'état clé d'une clé AWS KMS change

Créée par Shubham Harsora (AWS), Aromal Raj Jayarajan (AWS) et Navdeep Pareek (AWS)

Référentiel de code : aws-kms-deletion-notification	Environnement : PoC ou pilote	Technologies : infrastructure ; native du cloud DevOps ; sécurité, identité, conformité
Charge de travail : toutes les autres charges de travail	Services AWS : Amazon EventBridge ; AWS KMS ; Amazon SNS

Récapitulatif

Les données et métadonnées associées à une clé AWS Key Management Service (AWS KMS) sont perdues lorsque cette clé est supprimée. La suppression est irréversible et vous ne pouvez pas récupérer les données perdues (y compris les données cryptées). Vous pouvez éviter les pertes de données en configurant un système de notification pour vous avertir des modifications de statut des principaux états de vos clés AWS KMS.

Ce modèle vous montre comment surveiller les modifications de statut des clés AWS KMS en utilisant Amazon EventBridge et Amazon Simple Notification Service (Amazon SNS) pour émettre des notifications automatisées chaque fois que l'état clé d'une clé AWS KMS change de ou. Disabled PendingDeletion Par exemple, si un utilisateur essaie de désactiver ou de supprimer une clé AWS KMS, vous recevrez une notification par e-mail contenant des informations sur la tentative de changement de statut. Vous pouvez également utiliser ce modèle pour planifier la suppression des clés AWS KMS.

Conditions préalables et limitations

Prérequis

• Un compte AWS actif avec un utilisateur AWS Identity and Access Management (IAM)

• Une clé AWS KMS

Architecture

Pile technologique

• Amazon EventBridge

• AWS Key Management Service (AWS KMS)

• Amazon Simple Notification Service (Amazon SNS)

Architecture cible

Le schéma suivant montre une architecture permettant de créer un processus de surveillance et de notification automatisé afin de détecter toute modification de l'état d'une clé AWS KMS.

Le schéma suivant illustre le flux de travail suivant :

1. Un utilisateur désactive ou planifie la suppression d'une clé AWS KMS.

2. Une EventBridge règle évalue le programme Disabled ou l'PendingDeletionévénement.

3. La EventBridge règle invoque la rubrique Amazon SNS.

4. Amazon SNS envoie un message de notification par e-mail aux utilisateurs.

Remarque : Vous pouvez personnaliser le message électronique en fonction des besoins de votre organisation. Nous vous recommandons d'inclure des informations sur les entités dans lesquelles la clé AWS KMS est utilisée. Cela peut aider les utilisateurs à comprendre l'impact de la suppression de la clé AWS KMS. Vous pouvez également planifier une notification par e-mail de rappel envoyée un ou deux jours avant la suppression de la clé AWS KMS.

Automatisation et mise à l'échelle

La CloudFormation pile AWS déploie toutes les ressources et tous les services nécessaires au bon fonctionnement de ce modèle. Vous pouvez implémenter le modèle indépendamment dans un seul compte, ou en utilisant AWS CloudFormation StackSets pour plusieurs comptes indépendants ou unités organisationnelles dans AWS Organizations.

Outils

• AWS vous CloudFormation aide à configurer les ressources AWS, à les approvisionner rapidement et de manière cohérente, et à les gérer tout au long de leur cycle de vie sur les comptes AWS et les régions AWS. Le CloudFormation modèle de ce modèle décrit toutes les ressources AWS que vous souhaitez, et CloudFormation fournit et configure ces ressources pour vous.

• Amazon EventBridge est un service de bus d'événements sans serveur qui vous permet de connecter vos applications à des données en temps réel provenant de diverses sources. EventBridge fournit un flux de données en temps réel à partir de vos propres applications et services AWS, et achemine ces données vers des cibles telles qu'AWS Lambda. EventBridge simplifie le processus de création d'architectures pilotées par les événements.

• AWS Key Management Service (AWS KMS) vous aide à créer et à contrôler des clés cryptographiques afin de protéger vos données.

• Amazon Simple Notification Service (Amazon SNS) vous aide à coordonner et à gérer l'échange de messages entre les éditeurs et les clients, y compris les serveurs Web et les adresses e-mail.

Code

Le code de ce modèle est disponible dans le référentiel de désactivation et de suppression planifiée des clés GitHub Monitor AWS KMS.

Épopées

Déployer le CloudFormation modèle

Tâche	Description	Compétences requises
Pour cloner le référentiel.	Clonez le référentiel de désactivation et de suppression planifiée des clés GitHub Monitor AWS KMS sur votre machine locale en exécutant la commande suivante : git clone https://github.com/aws-samples/aws-kms-deletion-notification	Administrateur AWS, architecte cloud
Mettez à jour les paramètres du modèle.	Dans un éditeur de code, ouvrez le Alerting-KMS-Events.yaml CloudFormation modèle que vous avez cloné à partir du référentiel, puis mettez à jour les paramètres suivants : PourDestinationEmailAddress, entrez une adresse e-mail active que vous prévoyez d'utiliser pour recevoir la notification SNS. PourSNSTopicName, entrez un nom pour votre rubrique SNS.	Administrateur AWS, architecte cloud
Déployez le CloudFormation modèle.	Connectez-vous à AWS Management Console et ouvrez la console CloudFormation . Dans le volet de navigation, choisissez Create stack, puis sélectionnez With new resources (standard). Sur la page Identifier les ressources, choisissez Next. Sur la page Spécifier le modèle, pour Source du modèle, sélectionnez Télécharger un fichier modèle. Choisissez Choisir un fichier, sélectionnez le Alerting-KMS-Events.yaml fichier dans votre GitHub référentiel cloné, puis cliquez sur Suivant. Dans Nom de la pile, entrez le nom de la pile. Sélectionnez Envoyer.	Administrateur AWS, architecte cloud

Confirmer l'abonnement.

Tâche	Description	Compétences requises
Confirmez l'e-mail d'abonnement.	Une fois le CloudFormation modèle déployé avec succès, Amazon SNS envoie un message de confirmation d'abonnement à l'adresse e-mail que vous avez fournie dans CloudFormation le modèle. Pour recevoir des notifications, vous devez confirmer cet abonnement par e-mail. Pour plus d'informations, consultez Confirmer l'abonnement dans le manuel Amazon SNS Developer Guide.	Administrateur AWS, architecte cloud

Testez la notification d'abonnement

Tâche	Description	Compétences requises
Désactivez les clés AWS KMS.	Connectez-vous à l'AWS Management Console et ouvrez la console AWS KMS. Pour modifier la région, choisissez le nom de la région actuellement affichée, puis choisissez la région vers laquelle vous souhaitez passer. Dans le volet de navigation, sélectionnez Clés gérées par le client. Cochez la case correspondant à la clé AWS KMS que vous souhaitez activer ou désactiver. Pour désactiver la clé AWS KMS, choisissez Key actions, puis Disable.	Administrateur AWS
Validez l'abonnement.	Confirmez que vous avez reçu l'e-mail de notification Amazon SNS.	Administrateur AWS

Nettoyage des ressources

Tâche	Description	Compétences requises
Supprimez la CloudFormation pile.	Connectez-vous à AWS Management Console et ouvrez la console CloudFormation . Dans le volet de navigation, choisissez Stack (Piles). Sélectionnez la pile que vous avez créée précédemment, puis choisissez Supprimer.	Administrateur AWS

Ressources connexes

• AWS CloudFormation (documentation AWS)

• Création d'une pile sur la CloudFormation console AWS ( CloudFormation documentation AWS)

• Création d'architectures pilotées par les événements sur AWS (documentation AWS Workshop Studio)

• Bonnes pratiques relatives aux services de gestion des clés AWS (livre blanc AWS)

• Bonnes pratiques de sécurité pour AWS Key Management Service (Guide du développeur AWS KMS)

Informations supplémentaires

Amazon SNS fournit un chiffrement en transit par défaut. Pour respecter les meilleures pratiques en matière de sécurité, vous pouvez également activer le chiffrement côté serveur pour Amazon SNS à l'aide d'une clé gérée par le client AWS KMS.