Skip to main content

​
Panoramica

Per impostazione predefinita, Cognition crittografa tutti i dati dei clienti a riposo utilizzando chiavi gestite da Cognition. Per le organizzazioni che necessitano di un controllo diretto sulle proprie chiavi di crittografia, Devin supporta le chiavi gestite dal cliente (CMK) tramite AWS Key Management Service (KMS). Con le chiavi gestite dal cliente, fornisci la tua chiave AWS KMS e Cognition la utilizza per crittografare i dati archiviati nel tuo tenant dedicato, inclusi i dati di sessione e gli snapshot delle VM. In questo modo hai il pieno controllo del ciclo di vita della chiave, compresa la possibilità di ruotarla, disabilitarla o revocarne l’accesso in qualsiasi momento. Se la tua organizzazione richiede chiavi gestite dal cliente, puoi scegliere la distribuzione Enterprise Assured.
La distribuzione Enterprise Assured include tutto ciò che è incluso in Customer Dedicated Deployment e aggiunge le chiavi gestite dal cliente. Se sei interessato alla distribuzione Enterprise Assured, contatta il tuo Account Director. Per ulteriori informazioni sui modelli di distribuzione, vedi Distribuzione Enterprise.

​
Come funziona

In una distribuzione Enterprise Assured, Devin archivia i dati dei clienti in bucket Amazon S3 all’interno del tenant dedicato. Quando la CMK è abilitata:
  1. La tua chiave AWS KMS viene utilizzata per la crittografia lato server di tutti i dati scritti in questi bucket S3.
  2. L’infrastruttura di Cognition usa la chiave per crittografare i dati in fase di scrittura e decrittografarli in fase di lettura.
  3. Mantieni la proprietà della chiave nel tuo account AWS e puoi gestirne il ciclo di vita in modo indipendente.
Se non fornisci una chiave KMS, Cognition crea e gestisce una chiave di crittografia per tuo conto.

​
Prerequisiti

Prima di configurare CMK, assicurati di disporre di:
  • Una distribuzione Enterprise Assured con Cognition (CMK viene configurato al momento della creazione del tuo tenant dedicato e non può essere modificato in seguito)
  • Una chiave AWS KMS nella stessa regione AWS della distribuzione di Devin
  • Le autorizzazioni necessarie per modificare la policy della tua chiave KMS e creare alias di chiavi
Contatta il team Cognition che gestisce il tuo account per confermare la regione AWS del tuo tenant dedicato.

​
Configurazione

​
Passaggio 1: Crea o seleziona una chiave KMS

Utilizza una chiave AWS KMS simmetrica esistente oppure creane una nuova nella stessa regione del tuo tenant dedicato di Cognition. La chiave deve essere una chiave di crittografia simmetrica (il tipo di chiave predefinito in AWS KMS).

​
Passaggio 2: Aggiungere un alias della chiave

Aggiungi l’alias devin-customer-managed-key alla tua chiave KMS. L’infrastruttura di Cognition richiede questo alias esatto per individuare e utilizzare la chiave per la crittografia.
  1. Apri la console AWS KMS.
  2. Seleziona la tua chiave e vai alla scheda Aliases.
  3. Seleziona Create alias.
  4. Inserisci devin-customer-managed-key come nome dell’alias.
  5. Salva l’alias.

​
Passaggio 3: Configurare la policy della chiave

Aggiorna la policy della chiave KMS per consentire agli account AWS di Cognition di utilizzare la chiave per la crittografia e la decrittografia. Contatta il team account Cognition per ottenere gli ID degli account AWS per la tua distribuzione, quindi aggiungi la seguente istruzione alla policy della chiave:
  1. Apri la console AWS KMS.
  2. Seleziona la tua chiave e vai alla scheda Key policy.
  3. Seleziona Edit.
  4. Aggiungi l’istruzione sopra all’array Statement nella policy della chiave esistente.
  5. Salva la policy.

​
Passaggio 4: Fornisci l’ARN della chiave a Cognition

Invia l’ARN della tua chiave KMS al team Cognition che segue il tuo account. L’ARN ha il seguente formato:
Una volta che Cognition avrà ricevuto l’ARN della tua chiave, il team configurerà il tuo tenant dedicato per utilizzarla per la crittografia. Non è richiesta alcuna ulteriore azione da parte tua.
La chiave KMS deve essere specificata al momento della creazione del tuo tenant dedicato e non potrà essere modificata in seguito. Assicurati di fornire la chiave che intendi utilizzare per l’intera durata della distribuzione.

​
Gestione delle chiavi

​
Rotazione delle chiavi

AWS KMS supporta la rotazione automatica delle chiavi per le chiavi gestite dal cliente. Quando è abilitata, AWS genera automaticamente nuovo materiale crittografico per la chiave ogni anno, mantenendo quello precedente per decrittografare i dati cifrati in precedenza. Cognition consiglia di abilitare la rotazione automatica delle chiavi.

​
Revoca dell’accesso

Puoi revocare in qualsiasi momento l’accesso di Cognition alla tua chiave KMS rimuovendo l’istruzione della policy aggiunto nel Passaggio 3. Tieni presente che la revoca dell’accesso impedirà a Cognition di leggere o scrivere dati crittografati nel tuo tenant, compromettendo il funzionamento di Devin finché l’accesso non verrà ripristinato.
Disabilitare o eliminare la tua chiave KMS, oppure revocare l’accesso di Cognition, renderà illeggibili tutti i dati dei clienti crittografati nel tuo tenant. Assicurati di comprendere le implicazioni prima di apportare modifiche alla tua chiave o alla relativa policy.

​
Monitoraggio dell’utilizzo della chiave

Puoi monitorare ogni utilizzo della tua chiave KMS tramite AWS CloudTrail. CloudTrail registra ogni chiamata API effettuata alla tua chiave, incluse quelle provenienti dagli account di Cognition, fornendo una traccia di audit completa delle operazioni di crittografia e decrittografia.

​
Domande frequenti

La tua chiave KMS viene utilizzata per crittografare i dati dei clienti archiviati in Amazon S3 all’interno del tuo tenant dedicato, inclusi i dati di sessione e gli snapshot delle VM.
No. La tua chiave KMS deve trovarsi nella stessa regione AWS della tua distribuzione di Devin. Contatta il team Cognition che segue il tuo account per confermare la regione del tuo tenant.
Cognition creerà e gestirà una chiave di crittografia per tuo conto. Tutti i dati saranno comunque crittografati a riposo: la CMK ti offre semplicemente il controllo diretto della chiave.
No. CMK è disponibile nella distribuzione Enterprise Assured, che include tutte le funzionalità di Customer Dedicated Deployment e aggiunge CMK. Contatta il tuo Account Director se sei interessato alla distribuzione Enterprise Assured.
No. La chiave KMS viene specificata al momento della creazione del tuo tenant dedicato e non può essere modificata in seguito. Se devi utilizzare una chiave diversa, contatta il team Cognition che segue il tuo account prima che il tuo tenant venga sottoposto a provisioning. Puoi comunque effettuare la rotazione del materiale crittografico della chiave in AWS KMS senza modificare la chiave stessa.