Kundenverwaltete Schlüssel

Überblick

Standardmäßig verschlüsselt Cognition alle gespeicherten Kundendaten mit von Cognition verwalteten Schlüsseln. Für Organisationen, die direkte Kontrolle über ihre Verschlüsselungsschlüssel benötigen, unterstützt Devin kundenverwaltete Schlüssel (CMK) über AWS Key Management Service (KMS). Mit CMK stellen Sie Ihren eigenen AWS-KMS-Schlüssel bereit, und Cognition verwendet ihn zur Verschlüsselung der in Ihrem dedizierten Tenant gespeicherten Daten — einschließlich Sitzungsdaten und VM-Snapshots. Dadurch haben Sie die volle Kontrolle über den Lebenszyklus des Schlüssels, einschließlich der Möglichkeit, ihn jederzeit zu rotieren, zu deaktivieren oder den Zugriff darauf zu entziehen. Wenn Ihre Organisation kundenverwaltete Schlüssel benötigt, können Sie das Enterprise Assured-Deployment wählen.

Das Enterprise Assured-Deployment umfasst alles aus Customer Dedicated Deployment und ergänzt CMK. Bitte wenden Sie sich an Ihren Account Director, wenn Sie am Enterprise Assured-Deployment interessiert sind. Weitere Informationen zu Deployment-Modellen finden Sie unter Enterprise Deployment.

So funktioniert es

In einem Enterprise Assured-Deployment speichert Devin Kundendaten in Amazon-S3-Buckets innerhalb Ihres dedizierten Tenants. Wenn CMK aktiviert ist:

Ihr AWS-KMS-Schlüssel wird für die serverseitige Verschlüsselung aller Daten verwendet, die in diese S3-Buckets geschrieben werden.
Die Cognition-Infrastruktur verwendet den Schlüssel, um Daten beim Schreiben zu verschlüsseln und beim Lesen zu entschlüsseln.
Der Schlüssel bleibt in Ihrem Besitz und in Ihrem eigenen AWS-Konto, sodass Sie seinen Lebenszyklus unabhängig verwalten können.

Wenn Sie keinen KMS-Schlüssel bereitstellen, erstellt und verwaltet Cognition in Ihrem Auftrag einen Verschlüsselungsschlüssel.

Voraussetzungen

Bevor Sie CMK einrichten, stellen Sie sicher, dass Sie über Folgendes verfügen:

Ein Enterprise Assured-Deployment mit Cognition (CMK wird bei der Erstellung Ihres dedizierten Tenants konfiguriert und lässt sich danach nicht mehr ändern)
Einen AWS-KMS-Schlüssel in derselben AWS-Region wie Ihr Devin-Deployment
Die erforderlichen Berechtigungen, um Ihre KMS-Schlüsselrichtlinie zu ändern und Schlüsselaliase zu erstellen

Wenden Sie sich an Ihr Cognition-Account-Team, um die AWS-Region Ihres dedizierten Tenants zu bestätigen.

Setup

Schritt 1: Einen KMS-Schlüssel erstellen oder auswählen

Verwenden Sie entweder einen vorhandenen symmetrischen AWS-KMS-Schlüssel oder erstellen Sie einen neuen in derselben Region wie Ihr dedizierter Cognition-Tenant. Der Schlüssel muss ein symmetrischer Verschlüsselungsschlüssel sein (der Standard-Schlüsseltyp in AWS KMS).

Schritt 2: Einen Schlüsselalias hinzufügen

Fügen Sie Ihrem KMS-Schlüssel den Alias devin-customer-managed-key hinzu. Die Infrastruktur von Cognition benötigt genau diesen Alias, um den Schlüssel für die Verschlüsselung zu finden und zu verwenden.

AWS-Konsole
AWS CLI

Öffnen Sie die AWS KMS-Konsole.
Wählen Sie Ihren Schlüssel aus und wechseln Sie zur Registerkarte Aliases.
Wählen Sie Create alias.
Geben Sie devin-customer-managed-key als Aliasnamen ein.
Speichern Sie den Alias.

aws kms create-alias \
    --alias-name alias/devin-customer-managed-key \
    --target-key-id <your-key-id>

Schritt 3: Schlüsselrichtlinie konfigurieren

Aktualisieren Sie Ihre KMS-Schlüsselrichtlinie, um den AWS-Konten von Cognition die Verwendung des Schlüssels zur Ver- und Entschlüsselung zu erlauben. Wenden Sie sich an Ihr Cognition-Account-Team, um die AWS-Konto-IDs für Ihre Bereitstellung zu erhalten, und fügen Sie anschließend Ihrer Schlüsselrichtlinie die folgende Richtlinienanweisung hinzu:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::<cognition-account-id-1>:root",
                    "arn:aws:iam::<cognition-account-id-2>:root"
                ]
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        }
    ]
}

AWS-Konsole
AWS CLI

Öffnen Sie die AWS KMS-Konsole.
Wählen Sie Ihren Schlüssel aus und wechseln Sie zur Registerkarte Schlüsselrichtlinie.
Wählen Sie Edit.
Fügen Sie die obige Richtlinienanweisung dem Statement-Array in Ihrer vorhandenen Schlüsselrichtlinie hinzu.
Speichern Sie die Richtlinie.

# Rufen Sie zunächst Ihre aktuelle Schlüsselrichtlinie ab
aws kms get-key-policy \
    --key-id <your-key-id> \
    --policy-name default \
    --output text > key-policy.json

# Bearbeiten Sie key-policy.json, um die obige Richtlinienanweisung hinzuzufügen,
# und übernehmen Sie anschließend die aktualisierte Richtlinie
aws kms put-key-policy \
    --key-id <your-key-id> \
    --policy-name default \
    --policy file://key-policy.json

Schritt 4: Teilen Sie Cognition die KMS-Schlüssel-ARN mit

Senden Sie die KMS-Schlüssel-ARN Ihres KMS-Schlüssels an Ihr Account-Team bei Cognition. Die ARN hat folgendes Format:

arn:aws:kms:<region>:<your-account-id>:key/<key-id>

Sobald Cognition die KMS-Schlüssel-ARN Ihres Schlüssels erhalten hat, konfiguriert das Team Ihren dedizierten Tenant so, dass dieser Schlüssel zur Verschlüsselung verwendet wird. Sie müssen nichts weiter tun.

Der KMS-Schlüssel muss bei der Erstellung Ihres dedizierten Tenants angegeben werden und lässt sich danach nicht mehr ändern. Stellen Sie sicher, dass Sie den Schlüssel bereitstellen, den Sie während der gesamten Lebensdauer der Bereitstellung verwenden möchten.

Schlüsselverwaltung

Schlüsselrotation

AWS KMS unterstützt die automatische Schlüsselrotation für vom Kunden verwaltete Schlüssel. Wenn sie aktiviert ist, erstellt AWS jedes Jahr automatisch neues kryptografisches Material für Ihren Schlüssel und behält das alte Material bei, um zuvor verschlüsselte Daten zu entschlüsseln. Cognition empfiehlt, die automatische Schlüsselrotation zu aktivieren.

Zugriff widerrufen

Sie können den Zugriff von Cognition auf Ihren KMS-Schlüssel jederzeit widerrufen, indem Sie die in Schritt 3 hinzugefügte Richtlinienanweisung entfernen. Beachten Sie, dass Cognition nach dem Widerruf des Zugriffs keine verschlüsselten Daten in Ihrem Tenant mehr lesen oder schreiben kann. Dadurch wird die Funktionalität von Devin beeinträchtigt, bis der Zugriff wiederhergestellt ist.

Wenn Sie Ihren KMS-Schlüssel deaktivieren oder löschen oder den Zugriff von Cognition widerrufen, werden alle verschlüsselten Kundendaten in Ihrem Tenant unlesbar. Vergewissern Sie sich, dass Sie die Auswirkungen verstehen, bevor Sie Änderungen an Ihrem Schlüssel oder dessen Richtlinie vornehmen.

Überwachung der Schlüsselnutzung

Sie können die gesamte Nutzung Ihres KMS-Schlüssels über AWS CloudTrail überwachen. CloudTrail protokolliert jeden API-Aufruf für Ihren Schlüssel, einschließlich Aufrufen aus den Konten von Cognition, und bietet damit einen vollständigen Audit-Trail aller Ver- und Entschlüsselungsvorgänge.

FAQs

Welche Daten werden mit meinem KMS-Schlüssel verschlüsselt?

Ihr KMS-Schlüssel wird verwendet, um Kundendaten zu verschlüsseln, die in Amazon S3 in Ihrem dedizierten Tenant gespeichert sind, einschließlich Sitzungsdaten und VM-Snapshots.

Kann ich einen KMS-Schlüssel aus einer anderen AWS-Region verwenden?

Nein. Ihr KMS-Schlüssel muss sich in derselben AWS-Region wie Ihr Devin-Deployment befinden. Wenden Sie sich an Ihr Cognition-Account-Team, um die Region Ihres Tenants zu bestätigen.

Was passiert, wenn ich keinen KMS-Schlüssel angebe?

Cognition erstellt und verwaltet in Ihrem Namen einen Verschlüsselungsschlüssel. Alle Daten bleiben im Ruhezustand verschlüsselt — mit CMK haben Sie lediglich direkte Kontrolle über den Schlüssel.

Ist CMK für Enterprise Cloud-Deployments verfügbar?

Nein. CMK ist im Enterprise Assured-Deployment verfügbar, das alles aus dem Customer Dedicated Deployment umfasst und CMK hinzufügt. Wenn Sie sich für das Enterprise Assured-Deployment interessieren, wenden Sie sich bitte an Ihren Account Director.

Kann ich meinen KMS-Schlüssel nach dem initialen Setup ändern?

Nein. Der KMS-Schlüssel wird bei der Erstellung Ihres dedizierten Tenants festgelegt und lässt sich danach nicht mehr ändern. Wenn Sie einen anderen Schlüssel verwenden möchten, wenden Sie sich an Ihr Cognition-Account-Team, bevor Ihr Tenant bereitgestellt wird. Das kryptografische Material des Schlüssels können Sie in AWS KMS jedoch weiterhin rotieren, ohne den Schlüssel selbst zu ändern.

Erste Schritte

Bereitstellung

Umgebungsverwaltung

Local-Agent-Steuerung

Nutzungsverwaltung

Integrationen

Sicherheit & Zugriff

Anwendungsfälle & Tutorials

Kundenverwaltete Schlüssel

Überblick

So funktioniert es

Voraussetzungen

Setup

Schritt 1: Einen KMS-Schlüssel erstellen oder auswählen

Schritt 2: Einen Schlüsselalias hinzufügen

Schritt 3: Schlüsselrichtlinie konfigurieren

Schritt 4: Teilen Sie Cognition die KMS-Schlüssel-ARN mit

Schlüsselverwaltung

Schlüsselrotation

Zugriff widerrufen

Überwachung der Schlüsselnutzung

FAQs

​Überblick

​So funktioniert es

​Voraussetzungen

​Setup

​Schritt 1: Einen KMS-Schlüssel erstellen oder auswählen

​Schritt 2: Einen Schlüsselalias hinzufügen

​Schritt 3: Schlüsselrichtlinie konfigurieren

​Schritt 4: Teilen Sie Cognition die KMS-Schlüssel-ARN mit

​Schlüsselverwaltung

​Schlüsselrotation

​Zugriff widerrufen

​Überwachung der Schlüsselnutzung

​FAQs

Überblick

So funktioniert es

Voraussetzungen

Setup

Schritt 1: Einen KMS-Schlüssel erstellen oder auswählen

Schritt 2: Einen Schlüsselalias hinzufügen

Schritt 3: Schlüsselrichtlinie konfigurieren

Schritt 4: Teilen Sie Cognition die KMS-Schlüssel-ARN mit

Schlüsselverwaltung

Schlüsselrotation

Zugriff widerrufen

Überwachung der Schlüsselnutzung

FAQs