Crea una chiave KMS per crittografare le credenziali

Le procedure di integrazione in questa sezione offrono la possibilità di crittografare le credenziali con una chiave di AWS proprietà o una chiave gestita dal cliente. Una chiave AWS proprietaria è una chiave KMS non presente nell'utente in Account AWS quanto il AWS servizio che crittografa le credenziali possiede e gestisce la chiave KMS. Se desideri il controllo totale sulla chiave KMS utilizzata per crittografare le tue credenziali, crea una chiave gestita dal cliente. Una chiave gestita dal cliente è una chiave KMS che possiedi e gestisci.

Accesso alle operazioni di crittografia del Security Hub

Questa dichiarazione politica consente a Security Hub di utilizzare la AWS KMS chiave per le operazioni di crittografia. Consente a Security Hub di proteggere i segreti dei tuoi clienti utilizzando questa chiave. Le autorizzazioni sono limitate alle operazioni relative a specifici connettori di Security Hub tramite il blocco delle condizioni che controlla l'ARN di origine e il contesto di crittografia.

{
    "Sid": "Allow Security Hub access to the customer managed key",
    "Effect": "Allow",
    "Principal": {
        "Service": "connector.securityhub.amazonaws.com"
    },
    "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt",
        "kms:ReEncrypt*"
    ],
    "Resource": "*",
    "Condition": {
        "ArnLike": {
            "aws:SourceArn": "arn:aws:securityhub:${Region}:${AccountId}:connectorv2/*"
        },
        "StringLike": {
            "kms:EncryptionContext:aws:securityhub:connectorV2Arn": "arn:aws:securityhub:${Region}:${AccountId}:connectorv2/*",
            "kms:EncryptionContext:aws:securityhub:providerName": "${CloudProviderName}"
        }
    }
}

Nota

PerCloudProviderName, inserisci JIRA_CLOUD o. SERVICENOW Per Region eAccountId, inserisci il tuo Account AWS ID Regione AWS AND.

Accesso alla lettura delle chiavi del Security Hub

Questa dichiarazione politica consente a Security Hub di leggere i metadati sulla chiave KMS consentendone l'DescribeKeyoperazione. Questa autorizzazione è necessaria a Security Hub per verificare lo stato e la configurazione della chiave. L'accesso è limitato a connettori specifici del Security Hub tramite la condizione ARN di origine.

{
    "Sid": "Allow Security Hub read access to the customer managed key",
    "Effect": "Allow",
    "Principal": {
        "Service": "connector.securityhub.amazonaws.com"
    },
    "Action": [
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "ArnLike": {
            "aws:SourceArn": "arn:aws:securityhub:${Region}:${AccountId}:connectorv2/*"
        }
    }
}

Nota

Per Region eAccountId, inserisci il tuo Regione AWS Account AWS ID.

Accesso principale IAM per le operazioni del Security Hub

Questa dichiarazione politica concede ai ruoli IAM specificati i permessi per eseguire operazioni chiave (descrivere, generare, decrittografare, ricrittografare ed elencare gli alias) quando si interagisce con Security Hub utilizzando V2 e V2. CreateConnector CreateTicket APIs La condizione garantisce che queste operazioni possano essere eseguite solo tramite il servizio Security Hub nella regione specificata.

{
    "Sid": "Allow permissions to access key through Security Hub",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::${AccountId}:role/${RoleName}"
    },
    "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt",
        "kms:ReEncrypt*"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": [
                "securityhub.${Region}.amazonaws.com"
            ]
        },
        StringLike": {
            "kms:EncryptionContext:aws:securityhub:providerName": "SERVICENOW"
        }
    }
}

{
    "Sid": "Allow read permissions to access key through Security Hub",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::${AccountId}:role/${RoleName}"
    },
    "Action": [
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": [
                "securityhub.${Region}.amazonaws.com"
            ]
        }
    }
}

Nota

PerRoleName, inserisci il nome del ruolo IAM che effettua chiamate a Security Hub. Per Region eAccountId, inserisci il tuo Account AWS ID Regione AWS AND.