Gestione di tabelle crittografate in DynamoDB

Puoi usare AWS Management Console o the AWS Command Line Interface (AWS CLI) per specificare la chiave di crittografia su nuove tabelle e aggiornare le chiavi di crittografia sulle tabelle esistenti in Amazon DynamoDB.

Definizione della chiave di crittografia per una nuova tabella

Completare la procedura riportata di seguito per specificare la chiave di crittografia su una nuova tabella utilizzando la console Amazon DynamoDB o la AWS CLI.

Creazione di una tabella crittografata (console)

1. Accedi AWS Management Console e apri la console DynamoDB all'indirizzo https://console.aws.amazon.com/dynamodb/.

2. Nel riquadro di navigazione sul lato sinistro della console scegli Tables (Tabelle).

3. Scegliere Create Table (Crea tabella). Nel campo Table name (Nome tabella) immetti Music. Per la chiave primaria, immetti Artist e per la chiave di ordinamento, immetti SongTitle, entrambe come stringhe.

4. In Impostazioni, verifica che Personalizza impostazioni sia selezionato.

   Nota

   Se è selezionata l'opzione Usa impostazioni predefinite, le tabelle vengono crittografate quando sono inattive senza Chiave di proprietà di AWS costi aggiuntivi.

5. In Encryption at rest, scegli un tipo di crittografia o una chiave gestita dal cliente. Chiave di proprietà di AWS Chiave gestita da AWS

   • Di proprietà di Amazon DynamoDB. AWS chiave proprietaria, specificamente posseduta e gestita da DynamoDB. Non ti viene addebitato alcun costo aggiuntivo per l'utilizzo di questa chiave.

   • AWS chiave gestita. Alias della chiave: aws/dynamodb. La chiave è memorizzata nel tuo account ed è gestita da AWS Key Management Service (AWS KMS). AWS KMS si applicano costi.

   • Archiviato nell'account e di proprietà e gestito dal cliente. Chiave gestita dal cliente. La chiave è memorizzata nel tuo account ed è gestita da AWS Key Management Service (AWS KMS). AWS KMS si applicano costi.

     Nota

     Se scegli di possedere e gestire la tua chiave, assicurati che la policy delle chiavi KMS sia impostata in modo appropriato. Per ulteriori informazioni ed esempi, consulta Policy delle chiavi per una chiave gestita dal cliente.

6. Scegli Crea per creare la tabella crittografata. Per confermare il tipo di crittografia, seleziona i dettagli della tabella nella scheda Panoramica e rivedi la sezione Ulteriori dettagli.

Creazione di una tabella crittografata (AWS CLI)

Utilizza AWS CLI per creare una tabella con la chiave predefinita Chiave di proprietà di AWS Chiave gestita da AWS, la o una chiave gestita dal cliente per Amazon DynamoDB.

Per creare una tabella crittografata con l'impostazione predefinita Chiave di proprietà di AWS

• Crea la tabella Music crittografata come segue.

  aws dynamodb create-table \
    --table-name Music \
    --attribute-definitions \
        AttributeName=Artist,AttributeType=S \
        AttributeName=SongTitle,AttributeType=S \
    --key-schema \
        AttributeName=Artist,KeyType=HASH \
        AttributeName=SongTitle,KeyType=RANGE \
    --provisioned-throughput \
        ReadCapacityUnits=10,WriteCapacityUnits=5 

  Nota

  Questa tabella è ora crittografata utilizzando l'impostazione predefinita Chiave di proprietà di AWS nell'account del servizio DynamoDB.

Per creare una tabella crittografata con Chiave gestita da AWS for DynamoDB

• Crea la tabella Music crittografata come segue.

  aws dynamodb create-table \
    --table-name Music \
    --attribute-definitions \
        AttributeName=Artist,AttributeType=S \
        AttributeName=SongTitle,AttributeType=S \
    --key-schema \
        AttributeName=Artist,KeyType=HASH \
        AttributeName=SongTitle,KeyType=RANGE \
    --provisioned-throughput \
        ReadCapacityUnits=10,WriteCapacityUnits=5 \
    --sse-specification Enabled=true,SSEType=KMS 

  Lo stato SSEDescription della descrizione della tabella è impostato su ENABLED e SSEType è impostato su KMS.

  "SSEDescription": {
    "SSEType": "KMS",
    "Status": "ENABLED",
    "KMSMasterKeyArn": "arn:aws:kms:us-east-1:123456789012:key/abcd1234-abcd-1234-a123-ab1234a1b234",
  }

Per creare una tabella criptata con una chiave gestita dal cliente per DynamoDB

• Crea la tabella Music crittografata come segue.

  aws dynamodb create-table \
    --table-name Music \
    --attribute-definitions \
        AttributeName=Artist,AttributeType=S \
        AttributeName=SongTitle,AttributeType=S \
    --key-schema \
        AttributeName=Artist,KeyType=HASH \
        AttributeName=SongTitle,KeyType=RANGE \
    --provisioned-throughput \
        ReadCapacityUnits=10,WriteCapacityUnits=5 \
    --sse-specification Enabled=true,SSEType=KMS,KMSMasterKeyId=abcd1234-abcd-1234-a123-ab1234a1b234

  Lo stato SSEDescription della descrizione della tabella è impostato su ENABLED e SSEType è impostato su KMS.

  "SSEDescription": {
    "SSEType": "KMS",
    "Status": "ENABLED",
    "KMSMasterKeyArn": "arn:aws:kms:us-east-1:123456789012:key/abcd1234-abcd-1234-a123-ab1234a1b234",
  }

Aggiornamento di una chiave di crittografia

Puoi anche utilizzare la console DynamoDB o aggiornare AWS CLI le chiavi di crittografia di una tabella esistente tra una chiave e Chiave di proprietà di AWS una Chiave gestita da AWS chiave gestita dal cliente in qualsiasi momento.

Aggiornamento di una chiave di crittografia (console)

1. Accedi AWS Management Console e apri la console DynamoDB all'indirizzo https://console.aws.amazon.com/dynamodb/.

2. Nel riquadro di navigazione sul lato sinistro della console scegli Tables (Tabelle).

3. Scegli la policy da aggiornare.

4. Seleziona il menu a discesa Operazioni, quindi seleziona l'opzione Aggiornamento delle impostazioni.

5. Vai alla scheda Impostazioni aggiuntive.

6. In Crittografia, scegli Gestisci crittografia.

7. Scegli un tipo di crittografia:

   • Di proprietà di Amazon DynamoDB. La AWS KMS chiave è di proprietà e gestita da DynamoDB. Non ti viene addebitato alcun costo aggiuntivo per l'utilizzo di questa chiave.

   • AWS alias chiave gestita:. aws/dynamodb La chiave è memorizzata nel tuo account ed è gestita da AWS Key Management Service. (AWS KMS). AWS KMS si applicano costi.

   • Archiviato nell'account e di proprietà e gestito dal cliente. La chiave è memorizzata nel tuo account ed è gestita da AWS Key Management Service. (AWS KMS). AWS KMS si applicano costi.

     Nota

     Se scegli di possedere e gestire la tua chiave, assicurati che la policy delle chiavi KMS sia impostata in modo appropriato. Per ulteriori informazioni, consulta Policy delle chiavi per una chiave gestita dal cliente.

   Quindi, scegli Save (Salva) per aggiornare la tabella crittografata. Per confermare il tipo di crittografia, controlla i dettagli della tabella nella scheda Overview (Panoramica).

Aggiornamento di una chiave di crittografia (AWS CLI)

Gli esempi seguenti mostrano come aggiornare una tabella crittografata utilizzando AWS CLI.

Per aggiornare una tabella crittografata con quella predefinita Chiave di proprietà di AWS

• Aggiorna la tabella Music crittografata, come nell'esempio seguente.

  aws dynamodb update-table \
    --table-name Music \
    --sse-specification Enabled=false

  Nota

  Questa tabella è ora crittografata utilizzando l'impostazione predefinita Chiave di proprietà di AWS nell'account del servizio DynamoDB.

Per aggiornare una tabella crittografata con Chiave gestita da AWS for DynamoDB

• Aggiorna la tabella Music crittografata, come nell'esempio seguente.

  aws dynamodb update-table \
    --table-name Music \
    --sse-specification Enabled=true  

  Lo stato SSEDescription della descrizione della tabella è impostato su ENABLED e SSEType è impostato su KMS.

  "SSEDescription": {
    "SSEType": "KMS",
    "Status": "ENABLED",
    "KMSMasterKeyArn": "arn:aws:kms:us-east-1:123456789012:key/abcd1234-abcd-1234-a123-ab1234a1b234",
  }

Per aggiornare una tabella criptata con una chiave gestita dal cliente per DynamoDB

• Aggiorna la tabella Music crittografata, come nell'esempio seguente.

  aws dynamodb update-table \
    --table-name Music \
    --sse-specification Enabled=true,SSEType=KMS,KMSMasterKeyId=abcd1234-abcd-1234-a123-ab1234a1b234

  Lo stato SSEDescription della descrizione della tabella è impostato su ENABLED e SSEType è impostato su KMS.

  "SSEDescription": {
    "SSEType": "KMS",
    "Status": "ENABLED",
    "KMSMasterKeyArn": "arn:aws:kms:us-east-1:123456789012:key/abcd1234-abcd-1234-a123-ab1234a1b234",
  }