将审计报告与您的私有 CA 一起使用

创建审计报告（控制台）

1. 登录您的 Amazon 帐户并在https://console.aws.amazon.com/acm-pca/家中打开主 Amazon 私有 CA 机。

2. 在私有证书颁发机构页面，从列表中选择您的私有 CA。

3. 从操作菜单中，选择生成审计报告。

4. 在审计报告目标下，对于创建新的 S3 桶？，选择是并键入唯一桶名称，或选择否并从列表中选择现有的桶。

   如果您选择 “是”，则 Amazon 私有 CA 会创建默认策略并将其附加到您的存储桶。默认策略包括aws:SourceAccount条件密钥，该密钥限制对特定 Amazon 账户的访问权限。如果您想进一步限制访问权限，则可以在策略中添加其他条件密钥，如前面的示例所示。

   如果您选择否，则必须先将策略附加到桶，然后才能生成审计报告。使用 为审计报告准备一个 Amazon S3 存储桶 中所述的策略模式。有关附加策略的信息，请参阅使用 Amazon S3 控制台添加存储桶策略。

5. 在输出格式下，为 JavaScript 对象表示法选择 JSON，为逗号分隔值选择 CSV。

6. 选择 Generate audit report (生成审核报告)。

创建审计报告 (Amazon CLI)

1. 如果您没有 S3 桶可用，则请创建一个。

2. 将策略附加到您的桶。使用 为审计报告准备一个 Amazon S3 存储桶 中所述的策略模式。有关附加策略的信息，请参阅使用 Amazon S3 控制台添加桶策略

3. 使用 create-certificate-authority-audit-repor t 命令创建审计报告并将其放入准备好的 S3 存储桶中。

   $ aws acm-pca create-certificate-authority-audit-report \
   --certificate-authority-arn arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566 \
   --s3-bucket-name amzn-s3-demo-bucket \
   --audit-report-response-format JSON 

配置自动加密

完成以下步骤以启用 S3 服务器端加密。

1. 打开 Amazon S3 控制台，网址为 https://console.aws.amazon.com/s3/。

2. 在 Buckets 表中，选择用于存放您的 Amazon 私有 CA 资产的存储桶。

3. 在存储桶页面上，选择属性选项卡。

4. 选择默认加密卡。

5. 请选择启用。

6. 选择 Amazon S3 密钥（SSE-S3）。

7. 选择保存更改。

配置自定义加密

完成以下步骤以启用使用自定义密钥的加密。

1. 打开 Amazon S3 控制台，网址为 https://console.aws.amazon.com/s3/。

2. 在 Buckets 表中，选择用于存放您的 Amazon 私有 CA 资产的存储桶。

3. 在存储桶页面上，选择属性选项卡。

4. 选择默认加密卡。

5. 请选择启用。

6. 选择Amazon Key Management Service 密钥 (SSE-KMS)。

7. 选择 “从 Amazon KMS 密钥中选择” 或 “输入 Amazon KMS key ARN”。

8. 选择保存更改。

9. （可选）如果您还没有 KMS 密钥，请使用以下 Amazon CLI create-key 命令创建一个：

   $ aws kms create-key

   输出包含 KMS 密钥的密钥 ID 和 Amazon 资源名称（ARN）。下面是一个示例输出：

   {
       "KeyMetadata": {
           "KeyId": "01234567-89ab-cdef-0123-456789abcdef",
           "Description": "",
           "Enabled": true,
           "KeyUsage": "ENCRYPT_DECRYPT",
           "KeyState": "Enabled",
           "CreationDate": 1478910250.94,
           "Arn": "arn:aws:kms:us-west-2:123456789012:key/01234567-89ab-cdef-0123-456789abcdef",
           "AWSAccountId": "123456789012"
       }
   }

10. 使用以下步骤，您可以向 Amazon 私有 CA 服务主体授予使用 KMS 密钥的权限。默认情况下，所有 KMS 密钥均为私有；只有资源拥有者可以使用 KMS 密钥加密和解密数据。但是，资源拥有者可以将 KMS 密钥的访问权限授予其他用户和资源。该服务主体必须位于存储 KMS 密钥的相同区域内。

    1. 首先，policy.json使用以下get-key-policy命令保存 KMS 密钥的默认策略：

       $ aws kms get-key-policy --key-id key-id --policy-name default --output text > ./policy.json

    2. 在文本编辑器中打开 policy.json 文件。选择以下策略声明之一，并将其添加到现有策略中。

       如果您的 Amazon S3 桶密钥已启用，则请使用以下语句：

       {
          "Sid":"Allow ACM-PCA use of the key",
          "Effect":"Allow",
          "Principal":{
             "Service":"acm-pca.amazonaws.com"
          },
          "Action":[
             "kms:GenerateDataKey",
             "kms:Decrypt"
          ],
          "Resource":"*",
          "Condition":{
             "StringLike":{
                "kms:EncryptionContext:aws:s3:arn":"arn:aws:s3:::bucket-name"
             }
          }
       }

       如果您的 Amazon S3 桶密钥已禁用，则请使用以下语句：

       {
          "Sid":"Allow ACM-PCA use of the key",
          "Effect":"Allow",
          "Principal":{
             "Service":"acm-pca.amazonaws.com"
          },
          "Action":[
             "kms:GenerateDataKey",
             "kms:Decrypt"
          ],
          "Resource":"*",
          "Condition":{
             "StringLike":{
                "kms:EncryptionContext:aws:s3:arn":[
                   "arn:aws:s3:::bucket-name/acm-pca-permission-test-key",
                   "arn:aws:s3:::bucket-name/acm-pca-permission-test-key-private",
                   "arn:aws:s3:::bucket-name/audit-report/*",
                   "arn:aws:s3:::bucket-name/crl/*"
                ]
             }
          }
       }

    3. 最后，使用以下put-key-policy命令应用更新的策略：

       $ aws kms put-key-policy --key-id key_id --policy-name default --policy file://policy.json