Skip to main content
Cloud Manager 3.8
Uma versão mais recente deste produto está disponível.
O português é fornecido por meio de tradução automática para sua conveniência. O inglês precede o português em caso de inconsistências.

Configurando o AWS KMS

Colaboradores
PDFs

Se você quiser usar a criptografia da Amazon com o Cloud Volumes ONTAP, precisará configurar o Serviço de Gerenciamento de chaves da AWS (KMS).

Passos

  1. Certifique-se de que existe uma chave mestra do cliente (CMK) ativa.

    O CMK pode ser um CMK gerenciado pela AWS ou um CMK gerenciado pelo cliente. Ele pode estar na mesma conta da AWS que o Cloud Manager e o Cloud Volumes ONTAP ou em uma conta diferente da AWS.

    "Documentação da AWS: Chaves mestras do cliente (CMKs)"

  2. Modifique a política de chave para cada CMK adicionando a função IAM que fornece permissões ao Cloud Manager como um usuário chave.

    Adicionar a função do IAM como um usuário-chave dá permissões ao Cloud Manager para usar o CMK com Cloud Volumes ONTAP.

    "Documentação da AWS: Editando chaves"

  3. Se o CMK estiver em uma conta AWS diferente, execute as seguintes etapas:

    1. Vá para o console do KMS a partir da conta onde o CMK reside.

    2. Selecione a tecla .

    3. No painel General Configuration (Configuração geral), copie o ARN da chave.

      Você precisará fornecer o ARN ao Cloud Manager ao criar o sistema Cloud Volumes ONTAP.

    4. No painel outras contas da AWS, adicione a conta da AWS que fornece permissões ao Cloud Manager.

      Na maioria dos casos, essa é a conta na qual reside o Cloud Manager. Se o Cloud Manager não fosse instalado na AWS, seria a conta para a qual você forneceu as chaves de acesso da AWS ao Cloud Manager.

      Esta captura de tela mostra o botão "Adicionar outras contas da AWS" no console do AWS KMS.

      Esta captura de tela mostra a caixa de diálogo "outras contas da AWS" no console do AWS KMS.

    5. Agora mude para a conta da AWS que fornece permissões ao Cloud Manager e abra o console do IAM.

    6. Crie uma política do IAM que inclua as permissões listadas abaixo.

    7. Anexe a política à função do IAM ou ao usuário do IAM que fornece permissões ao Cloud Manager.

      A política a seguir fornece as permissões que o Cloud Manager precisa para usar o CMK da conta externa da AWS. Certifique-se de modificar a região e o ID da conta nas seções "recurso".

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowUseOfTheKey",
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:externalaccountid:key/externalkeyid"
            ]
        },
        {
            "Sid": "AllowAttachmentOfPersistentResources",
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:ListGrants",
                "kms:RevokeGrant"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:externalaccountid:key/externalaccountid"
            ],
            "Condition": {
                "Bool": {
                    "kms:GrantIsForAWSResource": true
                }
            }
        }
    ]
}

    +
    Para obter detalhes adicionais sobre esse processo, "Documentação da AWS: Permitindo que contas externas da AWS acessem um CMK"consulte .