Konfigurowanie szyfrowania zarządzanego przez klienta

Użyj klucza AWS KMS swojej organizacji, aby chronić obsługiwane pliki umów Acrobat Sign w spoczynku.

Adobe Acrobat Sign może używać klucza szyfrowania zarządzanego przez klienta do ochrony obsługiwanych plików umów w spoczynku. Ta konfiguracja, często nazywana Bring Your Own Key (BYOK), daje uprawnionym organizacjom większą kontrolę nad zarządzaniem kluczami przy zachowaniu obsługiwanych obiegów pracy umów Acrobat Sign. Administratorzy konta konfigurują BYOK za pomocą klucza zarządzanego przez klienta AWS Key Management Service (KMS), danych uwierzytelniających dostępu AWS i wartości czasu życia pamięci podręcznej.

Zanim zaczniesz

• BYOK musi zostać wdrożone dla konta przez firmę Adobe, zanim funkcje sterowania będą dostępne.
• Użyj klucza zarządzanego przez klienta AWS KMS. Azure Key Vault nie jest obsługiwany w tej wersji.
• Utwórz tożsamość AWS z minimalnymi wymaganymi uprawnieniami do używania klucza KMS.
• Potwierdź, że identyfikator klucza dostępu AWS, tajny klucz dostępu AWS i ARN klucza KMS są dostępne przed skonfigurowaniem ustawienia.
• Utrzymuj klucz zarządzany przez klienta i dane uwierzytelniające AWS w stanie aktywnym. Jeśli Acrobat Sign nie może uzyskać dostępu do klucza, użytkownicy mogą nie być w stanie wyświetlać, podpisywać, pobierać lub eksportować zaszyfrowanych umów.
• Przetestuj BYOK w kontrolowanej grupie przepływów pracy przed szerokim wdrożeniem.

Konfiguracja

Dostępność

• Rozwiązania Acrobat Sign: Obsługiwane
• Acrobat Sign for Government: Nieobsługiwane.
• Program Acrobat Standard i program Acrobat Pro: Nieobsługiwane.

Zakres konfiguracji

• Klucze szyfrowania klienta mogą być konfigurowane tylko na poziomie konta.
• Wartość domyślna: Wyłączone.

Wpływ na umowy w trakcie realizacji

• Włączenie BYOK dotyczy tylko umów utworzonych po konfiguracji.
• Istniejące wcześniej umowy nadal używają szyfrowania zarządzanego przez Adobe.

Aby uzyskać dostęp do tego ustawienia, przejdź do Ustawienia konta > Ustawienia zabezpieczeń > Szyfrowanie zarządzane przez klienta

Elementy sterujące

• Włącz szyfrowanie za pomocą klucza zarządzanego przez klienta
  • Po włączeniu umożliwia konfigurację klucza zarządzanego przez klienta.
  • Po wyłączeniu BYOK nie jest aktywne dla konta.
• Identyfikator klucza dostępu AWS
  • Identyfikuje podmiot AWS używany do dostępu do klucza KMS.
• Tajny klucz dostępu AWS
  • Uwierzytelnia dostęp do AWS KMS.
• ARN klucza KMS
  • Określa klucz zarządzany przez klienta używany do operacji szyfrowania.
• TTL (Time to Live)
  • Określa, jak długo trwają zmiany dostępności klucza.
  • Wartości wahają się od 5 do 60 minut; wartość domyślna to 60 minut.

Jak skonfigurować szyfrowanie zarządzane przez klienta (BYOK)

Krok 1 — Skonfiguruj wymagania wstępne AWS KMS.

Krok 2 — Skonfiguruj szyfrowanie zarządzane przez klienta w Adobe Acrobat Sign.

Musisz utworzyć zasady IAM, grupę użytkowników i użytkownika na swoim koncie AWS, które przyznają minimalne uprawnienia do używania CMK.

Krok 3 — walidacja konfiguracji.

Po zapisaniu konfiguracji program Acrobat Sign natychmiast weryfikuje poświadczenia, wykonując operację testową względem klucza CMK. W przypadku niepomyślnej walidacji zostanie wyświetlony jeden z następujących komunikatów o błędzie:

• Odmowa dostępu: Poświadczenia IAM nie mają uprawnień do używania określonego klucza KMS. Sprawdź, czy zasady IAM są dołączone i ograniczone do prawidłowego klucza ARN.
• Nie znaleziono klucza: ARN klucza KMS nie istnieje lub należy do innego konta AWS. Sprawdź ponownie ARN klucza.
• Klucz wyłączony: CMK jest obecnie wyłączony w AWS KMS. Włącz klucz w konsoli AWS KMS przed skonfigurowaniem BYOK.

Po pomyślnym zapisaniu wszystkie nowe umowy będą szyfrowane przy użyciu CMK.

Walidacja i typowe błędy

Podczas konfiguracji system weryfikuje dostęp do określonego klucza.

Następujące warunki mogą uniemożliwić pomyślną konfigurację:

• Identyfikator klucza dostępu lub tajny klucz dostępu jest nieprawidłowy.
• ARN klucza KMS nie istnieje lub jest niedostępny.
• Klucz jest wyłączony lub nieaktywny.

Konfiguracja musi zostać pomyślnie zakończona, zanim będzie można użyć klucza.

Jak działa to ustawienie

Gdy funkcja BYOK jest włączona, Acrobat Sign używa szyfrowania kopertowego do ochrony obsługiwanych plików umów w spoczynku. Zawartość pliku jest szyfrowana kluczem szyfrowania dokumentu. Ten klucz jest chroniony materiałem klucza specyficznym dla klienta, który jest zabezpieczony przy użyciu klucza AWS KMS klienta.

W przypadku nowo utworzonych obsługiwanych umów Acrobat Sign rejestruje stan BYOK konta i używa ścieżki klucza zarządzanego przez klienta dla obsługiwanych plików umów. Istniejące umowy utworzone przed włączeniem BYOK nadal używają szyfrowania zarządzanego przez Adobe, chyba że potwierdzono szyfrowanie wsteczne dla wersji.

BYOK dotyczy obsługiwanych plików umów w spoczynku. Nie zmienia szyfrowania podczas przesyłania, sposobu dostarczania wiadomości e-mail, uwierzytelniania odbiorców ani normalnego przetwarzania obiegu pracy umów.

Obsługiwana zawartość dla tej wersji obejmuje:

• Pliki PDF umów.
• Szablony.
• Miniatury.
• Pliki tymczasowe używane podczas obiegu pracy umów.

BYOK nie chroni następującej zawartości w tym wydaniu:

• Dane pól formularza.
• Indeksy wyszukiwania.
• Wrażliwe ustawienia.
• Zdjęcia weryfikacji dokumentu tożsamości.
• Dane w transporcie.

Aby zrozumieć, jak ta konfiguracja wpływa na zachowanie systemu, przejrzyj powiązaną dokumentację procesu: Poznaj zachowanie BYOK i dostęp do danych

Powiadomienia o błędach

Jeśli Acrobat Sign nie może uzyskać dostępu do klucza zarządzanego przez klienta lub wymaganych poświadczeń AWS, operacje umowy wymagające zaszyfrowanej zawartości mogą się nie powieść. Gdy wystąpi błąd dostępu do klucza BYOK, Acrobat Sign wysyła powiadomienie e-mail do głównych administratorów konta.

Powiadomienia mogą zostać wyzwolone, gdy:

• Klucz zarządzany przez klienta jest wyłączony.
• Klucz zarządzany przez klienta oczekuje na usunięcie.
• Klucz zarządzany przez klienta został usunięty.
• Klucz zarządzany przez klienta jest niedostępny.
• Poświadczenia AWS są nieprawidłowe, wyłączone, wygasłe lub nie mają już wymaganych uprawnień.

Powiadomienie wyjaśnia typ błędu i zalecane działania. Powiadomienia są wysyłane w skonfigurowanych odstępach czasowych przypomnienia do momentu przywrócenia dostępu.

Sprawdzone metody

• Użyj dedykowanego klucza zarządzanego przez klienta AWS KMS dla Acrobat Sign BYOK.
• Przyznaj tylko minimalne uprawnienia AWS KMS wymagane dla Acrobat Sign do szyfrowania i odszyfrowywania obsługiwanych plików umowy.
• Utrzymuj aktywność klucza KMS tak długo, jak zaszyfrowana zawartość umowy musi pozostać dostępna.
• Nie usuwaj klucza KMS, chyba że organizacja zamierza na stałe uniemożliwić dostęp do zawartości zaszyfrowanej tym kluczem.
• Rotuj poświadczenia AWS zgodnie z zasadami bezpieczeństwa organizacji, następnie zaktualizuj konfigurację BYOK przed wygaśnięciem starych poświadczeń.
• Użyj krótszego TTL, gdy szybkie odwołanie klucza jest ważniejsze niż minimalizowanie wywołań AWS KMS.
• Przetestuj typowe obiegi pracy przed szerokim wdrożeniem, szczególnie obiegi pracy, które używają szablonów, integracji, wysyłania dużych ilości danych lub zautomatyzowanych pobrań.
• Udokumentuj właściciela organizacji odpowiedzialnego za zarządzanie kluczami AWS KMS, aby administratorzy Acrobat Sign wiedzieli, z kim się skontaktować w przypadku awarii dostępu do klucza.

Ważne kwestie

• BYOK zabezpiecza obsługiwane pliki umów w spoczynku. Nie zapewnia szyfrowania typu end-to-end.
• Acrobat Sign nadal odszyfrowuje zawartość zgodnie z potrzebami w celu przetwarzania obsługiwanych obiegów pracy umów.
• BYOK działa tylko na poziomie konta. Konfiguracja na poziomie grupy nie jest obsługiwana.
• AWS KMS to jedyny obsługiwany dostawca kluczy klienta w tej wersji.
• Obsługa Azure Key Vault nie powinna być dokumentowana, chyba że została potwierdzona dla tej wersji.
• Istniejące umowy nie są uwzględniane, chyba że szyfrowanie z mocą wsteczną zostało potwierdzone dla tej wersji.
• Jeśli klucz AWS KMS lub poświadczenia staną się niedostępne, użytkownicy mogą nie być w stanie uzyskać dostępu, podpisać, pobrać lub wyeksportować zaszyfrowanych umów.
• Administratorzy konta otrzymują e-maile z powiadomieniami o awarii, gdy Acrobat Sign wykryje problem z dostępem do klucza zarządzanego przez klienta.
• E-maile z powiadomieniami o awarii CMK nie powinny zawierać poświadczeń AWS, materiału kluczowego ani ARN klucza KMS.
• Akcje wyłączania, obracania, przywracania, zawieszania i niszczenia nie powinny być dokumentowane jako działania skierowane do klienta, dopóki zespół scrumowy nie potwierdzi, że są one uwzględnione w wersji 17.1.2.