Clés gérées par le client

Vue d’ensemble

Par défaut, Cognition chiffre toutes les données client au repos à l’aide de clés gérées par Cognition. Pour les organisations qui ont besoin d’un contrôle direct sur leurs clés de chiffrement, Devin prend en charge les clés gérées par le client (CMK) via AWS Key Management Service (KMS). Avec CMK, vous fournissez votre propre clé AWS KMS, que Cognition utilise pour chiffrer les données stockées dans votre tenant dédié, y compris les données de session et les snapshots de VM. Cela vous donne un contrôle total sur le cycle de vie de la clé, notamment la possibilité d’effectuer une rotation, de la désactiver ou de révoquer l’accès à tout moment. Si votre organisation a besoin de clés gérées par le client, vous pouvez choisir le déploiement Enterprise Assured.

Le déploiement Enterprise Assured inclut tout ce qui est compris dans Customer Dedicated Deployment et ajoute également CMK. Veuillez contacter votre directeur de compte si le déploiement Enterprise Assured vous intéresse. Pour plus d’informations sur les modèles de déploiement, consultez déploiement Enterprise.

Comment cela fonctionne

Dans un déploiement Enterprise Assured, Devin stocke les données des clients dans des buckets Amazon S3 au sein de votre tenant dédié. Lorsque la CMK est activée :

Votre clé AWS KMS est utilisée pour le chiffrement côté serveur de toutes les données écrites dans ces buckets S3.
L’infrastructure de Cognition utilise la clé pour chiffrer les données lors de l’écriture et les déchiffrer lors de la lecture.
Vous restez propriétaire de la clé dans votre propre compte AWS et pouvez gérer son cycle de vie indépendamment.

Si vous ne fournissez pas de clé KMS, Cognition crée et gère une clé de chiffrement en votre nom.

Prérequis

Avant de configurer CMK, assurez-vous de disposer des éléments suivants :

Un déploiement Enterprise Assured avec Cognition (CMK est configuré lors de la création de votre tenant dédié et ne peut plus être modifié par la suite)
Une clé AWS KMS dans la même région AWS que votre déploiement Devin
Les autorisations nécessaires pour modifier la politique de votre clé KMS et créer des alias de clé

Contactez votre équipe en charge de votre compte Cognition pour confirmer la région AWS de votre tenant dédié.

Configuration

Étape 1 : Créer ou sélectionner une clé KMS

Utilisez une clé AWS KMS symétrique existante ou créez-en une nouvelle dans la même région que votre tenant Cognition dédié. La clé doit être une clé de chiffrement symétrique (le type de clé par défaut dans AWS KMS).

Étape 2 : Ajouter un alias de clé

Ajoutez l’alias devin-customer-managed-key à votre clé KMS. L’infrastructure de Cognition requiert exactement cet alias pour localiser et utiliser la clé pour le chiffrement.

Console AWS
AWS CLI

Ouvrez la console AWS KMS.
Sélectionnez votre clé, puis accédez à l’onglet Aliases.
Sélectionnez Create alias.
Saisissez devin-customer-managed-key comme nom d’alias.
Enregistrez l’alias.

aws kms create-alias \
    --alias-name alias/devin-customer-managed-key \
    --target-key-id <your-key-id>

Étape 3 : Configurer la politique de clé

Mettez à jour votre politique de clé KMS afin d’autoriser les comptes AWS de Cognition à utiliser la clé pour le chiffrement et le déchiffrement. Contactez l’équipe en charge de votre compte Cognition pour obtenir les ID de compte AWS de votre déploiement, puis ajoutez la déclaration suivante à votre politique de clé :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::<cognition-account-id-1>:root",
                    "arn:aws:iam::<cognition-account-id-2>:root"
                ]
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        }
    ]
}

Console AWS
AWS CLI

Ouvrez la console AWS KMS.
Sélectionnez votre clé, puis accédez à l’onglet Key policy.
Sélectionnez Edit.
Ajoutez la déclaration ci-dessus au tableau Statement de votre politique de clé existante.
Enregistrez la politique.

# Commencez par récupérer votre politique de clé actuelle
aws kms get-key-policy \
    --key-id <your-key-id> \
    --policy-name default \
    --output text > key-policy.json

# Modifiez key-policy.json pour ajouter la déclaration ci-dessus,
# puis appliquez la politique mise à jour
aws kms put-key-policy \
    --key-id <your-key-id> \
    --policy-name default \
    --policy file://key-policy.json

Étape 4 : Fournir l’ARN de la clé à Cognition

Envoyez l’ARN de votre clé KMS à votre équipe en charge de votre compte Cognition. L’ARN se présente au format suivant :

arn:aws:kms:<region>:<your-account-id>:key/<key-id>

Une fois que Cognition aura reçu l’ARN de votre clé, la Team configurera votre tenant dédié pour le chiffrement. Aucune autre action n’est requise de votre part.

La clé KMS doit être spécifiée lors de la création de votre tenant dédié et ne peut pas être modifiée par la suite. Assurez-vous que la clé que vous fournissez est bien celle que vous comptez utiliser pendant toute la durée de vie du déploiement.

Gestion des clés

Rotation des clés

AWS KMS prend en charge la rotation automatique des clés pour les clés gérées par le client. Lorsqu’elle est activée, AWS crée automatiquement chaque année un nouveau matériel cryptographique pour votre clé, tout en conservant l’ancien afin de déchiffrer les données chiffrées précédemment. Cognition recommande d’activer la rotation automatique des clés.

Révocation de l’accès

Vous pouvez révoquer à tout moment l’accès de Cognition à votre clé KMS en supprimant la déclaration de stratégie ajoutée à l’Étape 3. Notez que la révocation de cet accès empêchera Cognition de lire ou d’écrire des données chiffrées dans votre tenant, ce qui perturbera le fonctionnement de Devin jusqu’au rétablissement de l’accès.

La désactivation ou la suppression de votre clé KMS, ou la révocation de l’accès de Cognition, rendra illisibles toutes les données client chiffrées de votre tenant. Assurez-vous de bien comprendre les implications avant d’apporter des modifications à votre clé ou à sa stratégie.

Suivi de l’utilisation de la clé

Vous pouvez suivre toute l’utilisation de votre clé KMS via AWS CloudTrail. CloudTrail enregistre chaque appel d’API effectué sur votre clé, y compris les appels provenant des comptes Cognition, ce qui fournit une piste d’audit complète des opérations de chiffrement et de déchiffrement.

FAQ

Quelles données sont chiffrées avec ma clé KMS ?

Votre clé KMS sert à chiffrer les données client stockées dans Amazon S3 dans votre tenant dédié, y compris les données de session et les snapshots de VM.

Puis-je utiliser une clé KMS d'une autre région AWS ?

Non. Votre clé KMS doit se trouver dans la même région AWS que votre déploiement Devin. Contactez l’équipe en charge de votre compte Cognition pour confirmer la région de votre tenant.

Que se passe-t-il si je ne fournis pas de clé KMS ?

Cognition créera et gérera une clé de chiffrement pour votre compte. Toutes les données restent chiffrées au repos — la CMK vous donne simplement un contrôle direct sur la clé.

La CMK est-elle disponible pour les déploiements Enterprise Cloud ?

Non. La CMK est disponible dans le déploiement Enterprise Assured, qui inclut tout ce qui est proposé dans Customer Dedicated Deployment et ajoute la CMK. Veuillez contacter votre directeur de compte si le déploiement Enterprise Assured vous intéresse.

Puis-je changer ma clé KMS après la configuration initiale ?

Non. La clé KMS est définie lors de la création de votre tenant dédié et ne peut pas être changée par la suite. Si vous devez utiliser une autre clé, contactez l’équipe en charge de votre compte Cognition avant le provisionnement de votre tenant. Vous pouvez toutefois effectuer une rotation du matériel cryptographique de la clé dans AWS KMS sans changer la clé elle-même.

Premiers pas

Déploiement

Gestion de l’environnement

Contrôles du Local Agent

Gestion de l’utilisation

Intégrations

Sécurité et Access

Cas d’usage et tutoriels

Clés gérées par le client

Vue d’ensemble

Comment cela fonctionne

Prérequis

Configuration

Étape 1 : Créer ou sélectionner une clé KMS

Étape 2 : Ajouter un alias de clé

Étape 3 : Configurer la politique de clé

Étape 4 : Fournir l’ARN de la clé à Cognition

Gestion des clés

Rotation des clés

Révocation de l’accès

Suivi de l’utilisation de la clé

FAQ

​Vue d’ensemble

​Comment cela fonctionne

​Prérequis

​Configuration

​Étape 1 : Créer ou sélectionner une clé KMS

​Étape 2 : Ajouter un alias de clé

​Étape 3 : Configurer la politique de clé

​Étape 4 : Fournir l’ARN de la clé à Cognition

​Gestion des clés

​Rotation des clés

​Révocation de l’accès

​Suivi de l’utilisation de la clé

​FAQ

Vue d’ensemble

Comment cela fonctionne

Prérequis

Configuration

Étape 1 : Créer ou sélectionner une clé KMS

Étape 2 : Ajouter un alias de clé

Étape 3 : Configurer la politique de clé

Étape 4 : Fournir l’ARN de la clé à Cognition

Gestion des clés

Rotation des clés

Révocation de l’accès

Suivi de l’utilisation de la clé

FAQ