Vai al contenuto principale

​
Panoramica

Per impostazione predefinita, Cognition crittografa tutti i dati dei clienti archiviati utilizzando chiavi gestite da Cognition. Per le organizzazioni che necessitano di un controllo diretto sulle proprie chiavi di crittografia, Devin supporta le chiavi gestite dal cliente (CMK) tramite AWS Key Management Service (KMS). Con le chiavi gestite dal cliente, fornisci la tua chiave AWS KMS e Cognition la utilizza per crittografare i dati archiviati nel tuo tenant dedicato, inclusi i dati di sessione e gli snapshot delle VM. In questo modo hai il pieno controllo del ciclo di vita della chiave, compresa la possibilità di ruotarla, disabilitarla o revocarne l’accesso in qualsiasi momento.
Le chiavi gestite dal cliente sono disponibili esclusivamente per le distribuzioni Enterprise Dedicated e devono essere configurate durante la configurazione iniziale della distribuzione. Per ulteriori informazioni sui modelli di distribuzione, vedi Distribuzione Enterprise.

​
Come funziona

In una distribuzione Enterprise Dedicated, Devin archivia i dati dei clienti in bucket Amazon S3 all’interno del tenant dedicato. Quando la CMK è abilitata:
  1. La tua chiave AWS KMS viene utilizzata per la crittografia lato server di tutti i dati scritti in questi bucket S3.
  2. L’infrastruttura di Cognition usa la chiave per crittografare i dati in fase di scrittura e decrittografarli in fase di lettura.
  3. Mantieni la proprietà della chiave nel tuo account AWS e puoi gestirne il ciclo di vita in modo indipendente.
Se non fornisci una chiave KMS, Cognition crea e gestisce una chiave di crittografia per tuo conto.

​
Prerequisiti

Prima di configurare CMK, assicurati di disporre di:
  • Una distribuzione Enterprise Dedicated con Cognition (CMK deve essere configurato durante la distribuzione iniziale)
  • Una chiave AWS KMS nella stessa regione AWS della distribuzione di Devin
  • Le autorizzazioni necessarie per modificare la policy della tua chiave KMS e creare alias di chiavi
Contatta il team Cognition che gestisce il tuo account per confermare la regione AWS del tuo tenant dedicato.

​
Configurazione

​
Passaggio 1: Crea o seleziona una chiave KMS

Utilizza una chiave AWS KMS simmetrica esistente oppure creane una nuova nella stessa regione del tuo tenant dedicato di Cognition. La chiave deve essere una chiave di crittografia simmetrica (il tipo di chiave predefinito in AWS KMS).

​
Passaggio 2: Aggiungere un alias della chiave

Aggiungi l’alias devin-customer-managed-key alla tua chiave KMS. L’infrastruttura di Cognition richiede questo alias esatto per individuare e utilizzare la chiave per la crittografia.
  1. Apri la console AWS KMS.
  2. Seleziona la tua chiave e vai alla scheda Aliases.
  3. Seleziona Create alias.
  4. Inserisci devin-customer-managed-key come nome dell’alias.
  5. Salva l’alias.

​
Passaggio 3: Configurare la policy della chiave

Aggiorna la policy della chiave KMS per consentire agli account AWS di Cognition di utilizzare la chiave per la crittografia e la decrittografia. Aggiungi la seguente istruzione alla policy della chiave: 
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::272506498303:root",
                    "arn:aws:iam::063509147090:root"
                ]
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        }
    ]
}
  1. Apri la console AWS KMS.
  2. Seleziona la tua chiave e vai alla scheda Key policy.
  3. Seleziona Edit.
  4. Aggiungi l’istruzione sopra all’array Statement nella policy della chiave esistente.
  5. Salva la policy.

​
Passaggio 4: Fornisci l’ARN della chiave a Cognition

Invia l’ARN della tua chiave KMS al team Cognition che segue il tuo account. L’ARN ha il seguente formato: 
arn:aws:kms:<region>:<your-account-id>:key/<key-id>
Una volta che Cognition avrà ricevuto l’ARN della tua chiave, il team configurerà il tuo tenant dedicato per utilizzarla per la crittografia. Non è richiesta alcuna ulteriore azione da parte tua.

​
Gestione delle chiavi

​
Rotazione delle chiavi

AWS KMS supporta la rotazione automatica delle chiavi per le chiavi gestite dal cliente. Quando è abilitata, AWS genera automaticamente nuovo materiale crittografico per la chiave ogni anno, mantenendo quello precedente per decrittografare i dati cifrati in precedenza. Cognition consiglia di abilitare la rotazione automatica delle chiavi.

​
Revoca dell’accesso

Puoi revocare in qualsiasi momento l’accesso di Cognition alla tua chiave KMS rimuovendo l’istruzione della policy aggiunto nel Passaggio 3. Tieni presente che la revoca dell’accesso impedirà a Cognition di leggere o scrivere dati crittografati nel tuo tenant, compromettendo il funzionamento di Devin finché l’accesso non verrà ripristinato.
Disabilitare o eliminare la tua chiave KMS, oppure revocare l’accesso di Cognition, renderà illeggibili tutti i dati dei clienti crittografati nel tuo tenant. Assicurati di comprendere le implicazioni prima di apportare modifiche alla tua chiave o alla relativa policy.

​
Monitoraggio dell’utilizzo della chiave

Puoi monitorare ogni utilizzo della tua chiave KMS tramite AWS CloudTrail. CloudTrail registra ogni chiamata API effettuata alla tua chiave, incluse quelle provenienti dagli account di Cognition, fornendo una traccia di audit completa delle operazioni di crittografia e decrittografia.

​
Domande frequenti

La tua chiave KMS viene utilizzata per crittografare i dati dei clienti archiviati in Amazon S3 all’interno del tuo tenant dedicato, inclusi i dati di sessione e gli snapshot delle VM.
No. La tua chiave KMS deve trovarsi nella stessa regione AWS della tua distribuzione di Devin. Contatta il team Cognition che segue il tuo account per confermare la regione del tuo tenant.
Cognition creerà e gestirà una chiave di crittografia per tuo conto. Tutti i dati saranno comunque crittografati a riposo: la CMK ti offre semplicemente il controllo diretto della chiave.
No. Al momento, la CMK è disponibile solo per le distribuzioni Enterprise Dedicated.
Sì. Contatta il team Cognition che segue il tuo account per aggiornare l’ARN della chiave KMS per il tuo tenant. I dati già crittografati rimarranno crittografati con la chiave originale, a meno che non vengano crittografati nuovamente.