Acerca de AWS Key Management Service (KMS)
El conector de AWS Key Management Service recopila metadatos de claves, alias, políticas, concesiones, etiquetas y el estado de rotación para que los controles puedan demostrar cómo se gobiernan las claves. Iru usasts:AssumeRole con un ID externo. La política en línea recomendada que aparece a continuación evita kms:Decrypt y otras operaciones criptográficas con datos (solo metadatos).
Cómo funciona
Iru se ejecuta en su propia cuenta de AWS. Para leer los metadatos de las claves de KMS en tu cuenta, creas un rol de IAM con confianzasts:AssumeRole (External ID del asistente) y permisos de solo lectura kms: adecuados para el inventario (evita las políticas que incluyen capacidades de escritura). Pega el ARN del rol de vuelta en Iru.
Omite AWSKeyManagementServicePowerUser para este caso de uso, ya que incluye capacidades de escritura. Usa el JSON en línea explícito de la ruta del asistente o la plantilla que aparece a continuación.
Referencias: Guía para desarrolladores de KMS, Políticas de IAM para KMS.
Requisitos previos
- Permisos de administrador de IAM para publicar roles.
- Las cadenas activas del conector (principal, ID externo).
Conectar AWS KMS a Iru
- Iru Compliance
- AWS
Empieza aquí: abre el asistente de la fuente y copia la política de confianza (y anota el ID externo). Cuando estés listo para crear el rol en AWS, cambia a la pestaña AWS y sigue Crear el rol de IAM en AWS. Cuando tengas el Role ARN, vuelve a la pestaña Iru Compliance y completa Enviar el ARN del rol en Iru a continuación.
Obtener la política de confianza de Iru
1
Abrir Sources
En Iru Compliance, en la barra de navegación izquierda, expande Cumplimiento y selecciona Fuentes.
2
Activar AWS KMS
Busca AWS KMS (usa Categoría o Buscar por nombre o descripción). En esa tarjeta, activa el interruptor. Deja abierta la pestaña del asistente Iru está solicitando acceso a servicios externos.
3
Copiar el JSON de la política de confianza
El asistente muestra el JSON de la política de confianza que debe usar tu rol de IAM (Principal y sts:ExternalId). A continuación se muestra un ejemplo de la estructura; copia el JSON activo de tu asistente para que la cuenta, el ARN del principal y el ID externo coincidan exactamente.
copy=false
4
Cambiar a AWS para crear el rol
Mantén abierta la pestaña del asistente de Iru como referencia y, a continuación, cambia a la pestaña AWS y sigue Crear el rol de IAM en AWS.
Enviar el ARN del rol en Iru
Termina primero la pestaña AWS (hasta Crear el rol de IAM en AWS) para tener el Role ARN del nuevo rol.
1
Pegar el ARN del rol de IAM
Vuelve a la pestaña del asistente de Iru. Pega el Role ARN donde el conector lo solicite.
2
Finalizar la conexión
Selecciona Submit Role. Cuando la conexión se realiza correctamente, el asistente muestra Conexión configurada.
3
Confirmar que la fuente está activa
Cierra la pestaña del navegador Iru está solicitando acceso a servicios externos y, a continuación, vuelve a Cumplimiento → Fuentes y confirma que la tarjeta de AWS KMS está Activo.
Solución de problemas
No se abre nada al activar la fuente
No se abre nada al activar la fuente
Revisa la configuración del bloqueador de ventanas emergentes para el sitio de Iru e inténtalo de nuevo.
AssumeRole denegado
AssumeRole denegado
Corrige las discrepancias del ID externo.
Detalles escasos de las CMK
Detalles escasos de las CMK
Las políticas de recursos de claves individuales pueden denegar
DescribeKey: ajusta las políticas de las claves si los auditores requieren visibilidad completa.Claves administradas por AWS
Claves administradas por AWS
Siempre aparecen en la lista, pero a veces se pueden inspeccionar menos que las claves administradas por el cliente; es lo esperado según el comportamiento de AWS.
Consideraciones
Las claves son regionales: el inventario abarca las regiones habilitadas.
Las claves son regionales; el inventario abarca las regiones habilitadas.
Funciona únicamente con metadatos de la API: ningún material de clave…
Funciona únicamente con metadatos de la API: ningún material de clave sale de KMS mediante llamadas de descifrado de este conector.
Artículos relacionados
Gestión de fuentes
Explora y gestiona todas las fuentes de Compliance.
Introducción a Compliance
Marcos, acciones y Artefactos.
Descripción general de Iru
Cómo encajan Endpoint, Compliance e Identity.
Gestión de artefactos
Sube, revisa y organiza la evidencia de fuentes y acciones.