Skip to main content
Todos los proveedores de nube
  • Servicios web de Amazon
  • Google Cloud
  • Microsoft Azure
  • Todos los proveedores de nube
Se proporciona el idioma español mediante traducción automática para su comodidad. En caso de alguna inconsistencia, el inglés precede al español.

Configurar Cloud Volumes ONTAP para usar una clave administrada por el cliente en AWS

Colaboradores netapp-manini
PDF

Si deseas utilizar el cifrado de Amazon Web Services (AWS) con Cloud Volumes ONTAP, entonces necesitas configurar el AWS Key Management Service (KMS).

Una clave maestra de cliente (CMK) puede ser gestionada por AWS o por el cliente. Puede estar en la misma cuenta de AWS que la NetApp Console y Cloud Volumes ONTAP, o en una cuenta de AWS diferente (cuentas compartidas). AWS permite la gestión de claves solo a través de la consola de AWS. Para más información, consulta "Servicio de administración de claves de AWS".

Antes de empezar

  • Asegúrate de tener información sobre los roles de Identity and Access Management (IAM) del agente de NetApp Console para AWS.

  • Asegúrate de que haya una CMK activa.

Configura claves de KMS gestionadas por el cliente para una sola cuenta

Cuando el agente de Console y Cloud Volumes ONTAP están en la misma cuenta de AWS, sigue estos pasos:

Pasos

  1. Otorga el permiso de cifrado S3 al rol de IAM para el agente de la consola. Agrega la acción s3:PutEncryptionConfiguration a la política del rol de IAM:

    {
  "Sid": "cvoServicePolicy",
  "Effect": "Allow",
  "Action": [
    "s3:PutEncryptionConfiguration"
  ],
  "Resource": "*"
}

  2. Habilita el acceso del agente de la Console a la clave de cifrado gestionada por el cliente (CMEK). Utiliza uno de los siguientes métodos en la AWS Console:

Agrega el rol como usuario clave (recomendado)

  1. En la consola de AWS, ve a KMS > Claves gestionadas por el cliente y selecciona tu clave CMEK.

  2. En la sección Usuarios clave, selecciona Add.

  3. Selecciona la función de tu instancia de agente de Console, por ejemplo, occm-role, y haz clic en Add.

  4. Guarda tus cambios.

Actualiza la política de claves de KMS

  1. En la consola de AWS, ve a KMS y busca tu clave.

  2. Selecciona la pestaña Política de claves y selecciona Editar.

  3. Busca la instrucción que permite el acceso a la clave AllowUseOfTheKey y añade el Console agent role Amazon Resource Name (ARN) al array Principal. Reemplaza los marcadores de posición del siguiente ejemplo por tus valores:

    • YOUR-ACCOUNT-ID: Tu ID de cuenta de AWS de 12 dígitos

    • YOUR-AGENT-ROLE-NAME: el nombre del rol de IAM del agente de Console

      {
  "Sid": "AllowUseOfTheKey",
  "Effect": "Allow",
  "Principal": {
    "AWS": [
      "arn:aws:iam::`YOUR-ACCOUNT-ID`:role/`YOUR-AGENT-ROLE-NAME`"
    ]
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*",
    "kms:CreateGrant",
    "kms:DescribeKey",
    "kms:ListKeys"
  ],
  "Resource": "*"
}

  4. Guarda tus cambios.

Configura claves de KMS gestionadas por el cliente para cuentas compartidas

Cuando el agente de Console se ejecuta en una cuenta de AWS (Account A) y Cloud Volumes ONTAP está implementado en otra cuenta de AWS (Account B), sigue primero todos los pasos correspondientes a una sola cuenta para Account A y luego completa estos pasos.

Pasos

  1. Añade la acción s3:PutEncryptionConfiguration al rol asumido de la cuenta B. Esto es necesario porque la llamada de cifrado del bucket FabricPool se ejecuta bajo el rol asumido de la cuenta B. Este permiso cubre habilitar el cifrado predeterminado en el bucket S3 usado para el tiering.

    {
  "Sid": "cvoServicePolicy",
  "Effect": "Allow",
  "Action": [
    "s3:PutEncryptionConfiguration"
  ],
  "Resource": "*"
}

  2. Si la clave CMEK está almacenada en la cuenta B, el rol de agente de la cuenta A necesita acceso directo para usar esa clave. La política de claves KMS en la cuenta B concede ese acceso entre cuentas.

    1. En la consola de AWS de la cuenta B, ve a KMS > Claves gestionadas por el cliente y selecciona la clave CMEK utilizada para la implementación de Cloud Volumes ONTAP.

    2. Abre la pestaña Key policy y selecciona Edit.

    3. Agrega una declaración que otorgue al rol de IAM de la Cuenta A acceso a la clave:

      {
  "Sid": "Allow use of the key from the agent account",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::ACCOUNT-A-ID:role/`YOUR-AGENT-ROLE-NAME`"
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*",
    "kms:CreateGrant",
    "kms:DescribeKey",
    "kms:ListKeys",
    "kms:ListAliases"
  ],
  "Resource": "*"
}
      Nota La política de claves de la cuenta B controla si se puede confiar en que el rol de agente de la consola de la cuenta A utilice la clave. Esta declaración de política es obligatoria además de la política de IAM de la cuenta A.

  3. Actualiza la política de IAM del agente de la Console de la cuenta A para permitir llamadas a la API de KMS en las claves de la cuenta B.

    1. En la consola de AWS de la cuenta A, ve a IAM > Roles y selecciona el rol Console agent, por ejemplo, occm-role o NetAppCloudManagerRole.

    2. Añade o actualiza los permisos de KMS para las claves de la cuenta B:

      {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:List*",
        "kms:Describe*",
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:CreateGrant"
      ],
      "Resource": [
        "arn:aws:kms:*:ACCOUNT-B-ID:key/*",
        "arn:aws:kms:*:ACCOUNT-B-ID:alias/*"
      ]
    }
  ]
}
      Nota La política de claves de la cuenta B controla el acceso a la clave. La política de IAM de la cuenta A permite que el rol de agente de la Console realice llamadas a la API de KMS. Si falta la configuración en cualquiera de las dos cuentas, AWS restringe el acceso.

  4. Agrega la cuenta A como una cuenta externa de AWS permitida en el CMEK de la cuenta B.

    1. En la consola de AWS KMS de la cuenta B, abre la clave KMS en cuestión y busca la sección Other AWS accounts.

    2. Selecciona Add other AWS accounts e introduce el ID de la cuenta de AWS correspondiente a la Cuenta A.

      Esta captura de pantalla muestra el botón "Agregar otras cuentas de AWS" desde la consola de AWS KMS.

    Esta captura de pantalla muestra el cuadro de diálogo "Otras cuentas de AWS" de la consola de AWS KMS.

Temas relacionados