Configurazione della crittografia tematica di Amazon SNS con crittografia lato server

Amazon SNS supporta la crittografia lato server (SSE) per proteggere il contenuto dei messaggi utilizzando (). AWS Key Management Service AWS KMS Segui le istruzioni riportate di seguito per abilitare SSE utilizzando la console Amazon SNS o CDK.

Opzione 1: abilita la crittografia utilizzando AWS Management Console

1. Accedi alla console Amazon SNS.

2. Vai alla pagina Argomenti, seleziona l'argomento e scegli Modifica.

3. Espandere la sezione Encryption (Crittografia) e procedere come segue:

   • Attiva la crittografia su Abilita.

   • Seleziona la modalità gestita AWS SNS Chiave (alias/aws/sns) come chiave di crittografia. Questa opzione è selezionata per impostazione predefinita.

4. Scegli Save changes (Salva modifiche).

Nota

• Chiave gestita da AWS Viene creato automaticamente se non esiste già.

• Se non vedi la chiave o non disponi di autorizzazioni sufficienti, chiedi all'amministratore kms:ListAliases ekms:DescribeKey.

Opzione 2: abilita la crittografia utilizzando AWS CDK

Per utilizzare il file gestito AWS SNS digita nella tua applicazione CDK, aggiungi il seguente frammento:

import software.amazon.awscdk.services.sns.*;
import software.amazon.awscdk.services.kms.*;
import software.amazon.awscdk.core.*;

public class SnsEncryptionExample extends Stack {
    public SnsEncryptionExample(final Construct scope, final String id) {
        super(scope, id);

        // Define the managed SNS key
        IKey snsKey = Alias.fromAliasName(this, "helloKey", "alias/aws/sns");

        // Create the SNS Topic with encryption enabled
        Topic.Builder.create(this, "MyEncryptedTopic")
            .masterKey(snsKey)
            .build();
    }
}

Informazioni aggiuntive

• Chiave KMS personalizzata: puoi specificare una chiave personalizzata, se necessario. Nella console Amazon SNS, seleziona la tua chiave KMS personalizzata dall'elenco o inserisci l'ARN.

• Autorizzazioni per chiavi KMS personalizzate: se utilizzi una chiave KMS personalizzata, includi quanto segue nella policy delle chiavi per consentire ad Amazon SNS di crittografare e decrittografare i messaggi:

{ 
    "Effect": "Allow", 
    "Principal": { 
        "Service": "sns.amazonaws.com" 
     },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "*",
    "Condition": {
        "ArnLike": { 
            "aws:SourceArn": "arn:aws:service:region:customer-account-id:resource-type/customer-resource-id" 
        },
        "StringEquals": { 
            "kms:EncryptionContext:aws:sns:topicArn": "arn:aws:sns:your_region:customer-account-id:your_sns_topic_name" 
        }
    }
}

Impatto sui consumatori

L'abilitazione di SSE non modifica il modo in cui gli abbonati utilizzano i messaggi. AWS gestisce la crittografia e la decrittografia in modo trasparente. I messaggi rimangono crittografati anche quando sono inattivi e vengono decrittografati automaticamente prima della consegna agli abbonati. Per una sicurezza ottimale, AWS consiglia di abilitare HTTPS per tutti gli endpoint per garantire la trasmissione sicura dei messaggi.