静态加密 - Amazon Inspector
对调查发现中的代码进行静态加密使用客户托管密钥进行代码加密的权限使用客户托管密钥配置加密
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

静态加密

默认情况下，Amazon Inspector 使用 Amazon 加密解决方案存储静态数据。Amazon Inspector 对以下内容等数据进行加密：

  • 使用收集的资源清单 Amazon Systems Manager。

  • 从 Amazon Elastic Container Registry 映像解析的资源清单

  • 使用 Amazon 自有的加密密钥生成安全调查结果 Amazon Key Management Service

您无法管理、使用或查看 Amazon 拥有的密钥。但是无需执行任何操作或更改任何计划即可保护用于加密数据的密钥。有关更多信息，请参阅 Amazon 拥有的密钥。

如果您禁用 Amazon Inspector，它将永久删除自己为您存储或维护的所有资源，例如收集的清单和安全调查发现。

注意

以下各节中的内容可能会很快发生变化。您可以预计，加密工作流程的各个方面以及对客户托管的 KMS 密钥进行加密的权限将得到更新。

对调查发现中的代码进行静态加密

要扫描 Amazon Inspector Lambda 代码，Amazon Inspector CodeGuru 会合作扫描您的代码中是否存在漏洞。检测到漏洞时，会 CodeGuru 提取包含该漏洞的代码片段并存储该代码，直到 Amazon Inspector 请求访问为止。默认情况下， CodeGuru 使用 Amazon 自有密钥对提取的代码进行加密，但是，您可以将 Amazon Inspector 配置为使用您自己的客户托管 Amazon KMS 密钥进行加密。

以下工作流程说明了 Amazon Inspector 如何使用您配置的密钥来加密代码：

  1. 您可以使用 Amazon Inspector UpdateEncryptionKeyAPI 向亚马逊 Inspector 提供 Amazon KMS 密钥。

  2. Amazon Inspector 会将有关您的 Amazon KMS 密钥的信息转发给。 CodeGuru CodeGuru 存储信息以备将来使用。

  3. CodeGuru 为您在 Amazon Ins Amazon KMS pector 中配置的密钥申请授权。

  4. CodeGuru 根据您的密钥创建加密的数据 Amazon KMS 密钥并将其存储。此数据密钥用于加密您存储的代码数据 CodeGuru。

  5. 每当 Amazon Inspector 通过代码扫描请求数据时，都会 CodeGuru 使用授权来解密加密的数据密钥，然后使用该密钥解密数据，以便可以检索数据。

禁用 Lambda 代码扫描后，授权将 CodeGuru 停用并删除关联的数据密钥。

使用客户托管密钥进行代码加密的权限

要使用加密，您需要制定允许访问 Amazon KMS 操作的策略，以及授予 Amazon Inspector 和通过条件键使用这些操作的 CodeGuru 权限的声明。

如果要设置、更新或重置账户的加密密钥，则需要使用 Amazon Inspector 管理员策略，例如 Amazon 托管策略：AmazonInspector2FullAccess。您还需要向只读用户授予以下权限，这些用户需要从调查发现中检索代码片段或与所选用于加密的密钥相关的数据。

对于 KMS，该策略必须允许执行以下操作：

  • kms:CreateGrant

  • kms:Decrypt

  • kms:DescribeKey

  • kms:GenerateDataKeyWithoutPlainText

  • kms:Encrypt

  • kms:RetireGrant

在确认您的策略中拥有正确的 Amazon KMS 权限后，您必须附上一份声明，允许 Amazon Inspector 和 CodeGuru 使用您的密钥进行加密。附上以下策略语句：

注意

将区域替换为您启用了 Amazon Inspector Lambda 代码扫描的 Amazon 区域。


{
            "Sid": "allow CodeGuru Security to request a grant for a Amazon KMS key",
        	"Effect": "Allow",
        	"Action": "kms:CreateGrant",
        	"Resource": "*",
        	"Condition": {
        		"ForAllValues:StringEquals": {
        			"kms:GrantOperations": [
        				"GenerateDataKey",
        				"GenerateDataKeyWithoutPlaintext",
        				"Encrypt",
        				"Decrypt",
        				"RetireGrant",
        				"DescribeKey"
        			]
        		},
        		"StringEquals": {
        			"kms:ViaService": [
        				"codeguru-security.Region.amazonaws.com"
        			]
        		}
        	}
        }, 
        {
        	"Sid": "allow Amazon Inspector and CodeGuru Security to use your Amazon KMS key",
        	"Effect": "Allow",
        	"Action": [
        		"kms:Encrypt",
        		"kms:Decrypt",
        		"kms:RetireGrant",
        		"kms:DescribeKey",
        		"kms:GenerateDataKeyWithoutPlaintext"
        	],
        	"Resource": "*",
        	"Condition": {
        		"StringEquals": {
        			"kms:ViaService": [
        				"inspector2.Region.amazonaws.com",
        				"codeguru-security.Region.amazonaws.com"
        			]
        		}
        	}
        }
注意

添加语句时，请确保语法有效。策略使用 JSON 格式。这意味着需要在语句之前或之后添加一个逗号，具体取决于在策略中添加语句的位置。如果将语句添加在最后，请在前一语句的右大括号后面添加一个逗号。如果将语句添加为第一个语句，或添加在两个现有语句之间，请在语句的右大括号后面添加一个逗号。

使用客户托管密钥配置加密

要使用客户托管密钥为您的账户配置加密，您必须是具有 使用客户托管密钥进行代码加密的权限 中列出的权限的 Amazon Inspector 管理员。此外，您还需要一个与您的发现位于同一 Amazon 区域的 Amazon KMS 密钥，或者一个多区域密钥。您可以使用账户中现有的对称密钥，也可以使用 Amazon 管理控制台创建对称客户托管密钥，或者。 Amazon KMS APIs有关更多信息，请参阅 Amazon KMS 用户指南中的创建对称加密 Amazon KMS 密钥。

注意

自 2025 年 6 月 13 日起，在代码片段 CloudTrail 期间登录的 Amazon KMS 请求中的服务主体将从 “codeguru-reviewer” 更改 encryption/decryption 为 “q”。

使用 Amazon Inspector API 配置加密

要设置加密密钥，请在以亚马逊 Inspector 管理员身份登录时UpdateEncryptionKey运行 Amazon Inspector API。在 API 请求中，使用kmsKeyId字段指定要使用的 Amazon KMS 密钥的 ARN。对于 scanType，请输入 CODE，对于 resourceType，请输入 AWS_LAMBDA_FUNCTION。

你可以使用 UpdateEncryptionKeyAPI 来查看 Amazon Inspector 正在使用哪个 Amazon KMS 密钥进行加密。

注意

如果您在未设置客户托管密钥GetEncryptionKey的情况下尝试使用，则操作会返回ResourceNotFoundException错误，这意味着正在使用 Amazon 自有密钥进行加密。

如果您删除密钥或更改其政策以拒绝访问 Amazon Inspector，否则 CodeGuru 您将无法访问您的代码漏洞发现，并且您的账户的 Lambda 代码扫描将失败。

您可以使用恢复使用 Amazon 自有密钥ResetEncryptionKey对作为 Amazon Inspector 调查结果一部分提取的代码进行加密。