Cloud Firewall:ログの暗号化

制限事項

初めてデータ暗号化設定を構成するときは、データ暗号化メカニズムを選択できます。 設定後、データ暗号化メカニズムを変更したり、暗号化アルゴリズムや暗号化タイプを変更したりすることはできません。 データ暗号化を有効または無効にするには、enableパラメーターのみを設定できます。 Logstoreを更新するたびに、encrypt_confパラメーターの完全な設定を追加する必要があります。

たとえば、Simple Log serviceが提供するサービスキーを使用して暗号化を初めて選択した場合、BYOKキーを使用して暗号化に切り替えることはできません。

サービスキーを使用した暗号化

CreateLogStoreを呼び出してLogstoreを作成する場合、またはUpdateLogStoreを呼び出してLogstoreを変更する場合は、encrypt_confパラメーターを追加して暗号化設定を構成します。 詳細については、「CreateLogStore」または「UpdateLogStore」をご参照ください。

次の表に、encrypt_confパラメーターのフィールドを示します。 user_cmk_infoフィールドを指定しないでください。

BYOKキーを使用した暗号化

前提条件

キー管理サービス (KMS) が有効化されています。 詳細については、「専用KMSインスタンスの購入」をご参照ください。

手順1: Simple Log ServiceによるKMSへのアクセス許可

BYOKキーを使用してデータを暗号化する前に、Simple Log ServiceにKMSへのアクセスを許可する必要があります。

1. RAMコンソールにログインします。

2. RAMロールを作成します。 詳細については、「手順1: RAMロールの作成」をご参照ください。

3. RAMロールの信頼ポリシーを変更します。 詳細については、「RAMロールの信頼ポリシーの編集」をご参照ください。

   {
       "Statement": [
           {
               "Action": "sts:AssumeRole",
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "log.aliyuncs.com"
                   ]
               }
           }
       ],
       "Version": "1"
   }

4. AliyunKMSReadOnlyAccessおよびAliyunKMSCryptoUserAccess権限をRAMロールに付与します。 詳細については、「RAMロールへの権限の付与」をご参照ください。

   

5. RAMユーザーを使用してBYOKキーを使用してデータを暗号化する前に、PassRole権限をRAMユーザーに付与する必要があります。 RAMユーザーにPassRole権限を付与するには、カスタムポリシーを作成し、そのポリシーをRAMユーザーにアタッチします。 詳細については、「カスタムポリシーの作成」および「RAMユーザーへの権限付与」をご参照ください。

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "ram:PassRole",
               "Resource": "acs:ram::*"   # The Alibaba Cloud Resource Name (ARN) of the RAM role. For more information, see How do I obtain the ARN of a RAM role? 
           }
       ]
   }

手順2: Logstoreのデータ暗号化の設定

ログ分析機能を有効にすると、システムは専用プロジェクトと専用ログストアを自動的に作成します。 UpdateLogStore操作を呼び出してデータを暗号化し、encrypt_confパラメーターを追加して暗号化設定を構成する必要があります。

UpdateLogStore操作を呼び出す前に、GetLogStore操作を呼び出して、Logstoreの元の設定を取得する必要があります。 設定を変更した後、変更後の設定をUpdateLogStore操作に追加します。

次の表に、encrypt_confパラメーターのフィールドを示します。 user_cmk_infoパラメーターを設定する必要があります。

EncryptUserCmkConfのデータ構造

encrypt_conf = {
    "enable" : True, # Specifies whether data encryption is enabled. 
    "encrypt_type" : "default"# The encryption algorithm. Valid values: default and m4. 
    "user_cmk_info" : # Optional parameter. If you configure this parameter, the BYOK key is used. If you do not configure this parameter, the service key is used. 
    {
          "cmk_key_id" : "" # The ID of the CMK to which the BYOK key belongs, for example, f5136b95-2420-ab31-xxxxxxxxx. 
          "arn" :  "" # The ARN of the RAM role. For more information, see How do I obtain the ARN of a RAM role? 
          "region_id" : "" # The ID of the region where the CMK resides. 
    }
}

関連ドキュメント

詳細については、Simple Log Serviceの次の操作を参照してください。

• CreateLogStore

• UpdateLogStore

• GetLogStore