Настройка управляемого клиентом шифрования

Используйте ключ AWS KMS вашей организации для защиты поддерживаемых файлов соглашений Acrobat Sign в состоянии покоя.

Adobe Acrobat Sign может использовать управляемый клиентом ключ шифрования для защиты поддерживаемых файлов соглашений в состоянии покоя. Эта конфигурация, часто называемая BYOK («Принеси свой ключ»), предоставляет подходящим организациям больше возможностей управления ключами, сохраняя при этом поддерживаемые рабочие процессы соглашений Acrobat Sign. Администраторы учетной записи настраивают BYOK с помощью управляемого клиентом ключа AWS Key Management Service (KMS), учетных данных доступа AWS и значения времени жизни кэша.

Перед началом работы

• Adobe должна развернуть BYOK для вашей учетной записи до того, как элементы управления станут доступными.
• Используйте управляемый клиентом ключ AWS KMS. Azure Key Vault не поддерживается в этом выпуске.
• Создайте удостоверение AWS с минимально необходимыми разрешениями для использования ключа KMS.
• Убедитесь, что идентификатор ключа доступа AWS, секретный ключ доступа AWS и ARN ключа KMS доступны перед настройкой параметра.
• Поддерживайте управляемый клиентом ключ и учетные данные AWS в активном состоянии. Если Acrobat Sign не сможет получить доступ к ключу, пользователи не смогут просматривать, подписывать, загружать или экспортировать зашифрованные соглашения.
• Протестируйте BYOK в контролируемой группе рабочих процессов перед широким использованием.

Конфигурация

Доступность

• Acrobat Sign Solutions: поддерживается
• Acrobat Sign for Government: не поддерживается.
• Acrobat Standard и Acrobat Pro: не поддерживается.

Диапазон настроек

• Ключи шифрования клиента можно настроить только на уровне учетной записи.
• Значение по умолчанию: отключено.

Влияние на соглашения в процессе

• Включение BYOK применяется только к соглашениям, созданным после настройки.
• Уже существующие соглашения продолжают использовать шифрование, управляемое Adobe.

Чтобы получить доступ к этому параметру, перейдите в Параметры учетной записи > Параметры безопасности > Управляемое клиентом шифрование

Элементы управления

• Включить шифрование с ключом, управляемым клиентом
  • При включении позволяет настроить управляемый клиентом ключ.
  • При отключении BYOK не активен для учетной записи.
• Идентификатор ключа доступа AWS
  • Определяет принципала AWS, используемого для доступа к ключу KMS.
• Секретный ключ доступа AWS
  • Аутентифицирует доступ к AWS KMS.
• Имя ресурса Amazon (ARN) ключа KMS
  • Указывает управляемый клиентом ключ, используемый для операций шифрования.
• TTL (время жизни)
  • Определяет, как долго изменения доступности ключа вступают в силу.
  • Значения варьируются от 5 до 60 минут; значение по умолчанию составляет 60 минут.

Как настроить управляемое клиентом шифрование (BYOK)

Шаг 1. Подготовьте необходимые ресурсы для AWS KMS.

Шаг 2 — настройка управляемого клиентом шифрования в Acrobat Sign.

Необходимо создать политику IAM, группу пользователей и пользователя в вашей учетной записи AWS, которые предоставляют минимальные разрешения для использования вашего CMK.

Шаг 3 — проверка конфигурации

При сохранении конфигурации Acrobat Sign сразу же проверяет ваши учетные данные, выполняя тестовую операцию с вашим CMK. Если проверка не удастся, вы увидите одно из следующих сообщений об ошибке:

• Доступ запрещен: учетные данные IAM не имеют разрешения на использование указанного ключа KMS. Убедитесь, что политика IAM подключена и настроена для правильного ARN ключа.
• Ключ не найден: ARN ключа KMS не существует или принадлежит другой учетной записи AWS. Дважды проверьте ARN ключа.
• Ключ отключен: CMK в настоящее время отключен в AWS KMS. Включите ключ в консоли AWS KMS перед настройкой BYOK.

После успешного сохранения все новые соглашения будут зашифрованы с использованием вашего CMK.

Проверка и распространенные ошибки

Во время настройки система проверяет доступ к указанному ключу.

Следующие условия могут препятствовать успешной настройке:

• Идентификатор ключа доступа или секретный ключ доступа недействителен.
• ARN ключа KMS не существует или недоступен.
• Ключ отключен или неактивен.

Конфигурация должна быть успешно завершена, прежде чем ключ можно будет использовать.

Работа настройки

Когда BYOK включен, Acrobat Sign использует конвертное шифрование для защиты поддерживаемых файлов соглашений в состоянии покоя. Содержимое файла шифруется с помощью ключа шифрования документа. Этот ключ защищен специфичным для клиента материалом ключа, который, в свою очередь, зашифрован ключом AWS KMS клиента.

Для вновь созданных поддерживаемых соглашений Acrobat Sign записывает состояние BYOK учетной записи и использует путь ключа, управляемого клиентом, для поддерживаемых файлов соглашений. Существующие соглашения, созданные до включения BYOK, продолжают использовать шифрование, управляемое Adobe, если только для выпуска не подтверждено ретроактивное шифрование.

BYOK применяется к поддерживаемым файлам соглашений в состоянии покоя. Это не затрагивает шифрование данных при передаче, порядок доставки электронных писем, аутентификацию получателей или стандартный процесс обработки соглашений.

Поддерживаемый контент для данного выпуска включает:

• PDF-файлы соглашений.
• Шаблоны.
• Миниатюры.
• Временные файлы, используемые в рабочих процессах соглашений.

BYOK не защищает следующий контент в данном выпуске:

• Данные полей форм.
• Индексы поиска.
• Конфиденциальные настройки.
• Изображения для проверки удостоверения личности.
• Данные в пути.

Чтобы понять, как эта конфигурация влияет на поведение системы, ознакомьтесь с соответствующей документацией по процессам Принципы работы BYOK и доступ к данным.

Уведомления о сбоях

Если Acrobat Sign не может получить доступ к ключу, управляемому клиентом, или к необходимым учетным данным AWS, операции соглашения, требующие зашифрованного контента, могут завершиться неудачей. При сбое доступа к ключу BYOK Acrobat Sign отправляет уведомление по электронной почте активным администраторам учетной записи.

Уведомления могут отправляться в следующих случаях:

• Управляемый клиентом ключ отключен.
• Управляемый клиентом ключ ожидает удаления.
• Управляемый клиентом ключ удален.
• Управляемый клиентом ключ недоступен.
• Учетные данные AWS недействительны, отключены, истекли или больше не имеют требуемых разрешений.

Уведомление объясняет тип сбоя и рекомендуемые действия. Уведомления продолжают поступать с настроенным интервалом напоминаний до восстановления доступа.

Рекомендации

• Используйте выделенный управляемый клиентом ключ AWS KMS для Acrobat Sign BYOK.
• Предоставляйте Acrobat Sign только минимальные разрешения AWS KMS, необходимые для шифрования и расшифровки поддерживаемых файлов соглашений.
• Поддерживайте активность ключа KMS до тех пор, пока зашифрованный контент соглашения должен оставаться доступным.
• Не удаляйте ключ KMS, если ваша организация не намерена навсегда заблокировать доступ к контенту, зашифрованному этим ключом.
• Меняйте учетные данные AWS согласно политике безопасности вашей организации, затем обновляйте конфигурацию BYOK до истечения срока действия старых учетных данных.
• Используйте меньшее значение TTL, если быстрый отзыв ключей важнее минимизации количества вызовов AWS KMS.
• Протестируйте типичные рабочие процессы перед широким внедрением, особенно процессы, использующие шаблоны, интеграции, массовую отправку или автоматическую загрузку.
• Задокументируйте владельца ключей управления AWS KMS в вашей организации, чтобы администраторы Acrobat Sign знали, к кому обращаться при сбое доступа к ключу.

Важная информация

• BYOK защищает поддерживаемые файлы соглашений в состоянии покоя. Это не обеспечивает сквозного шифрования.
• Acrobat Sign по-прежнему расшифровывает контент по мере необходимости для выполнения поддерживаемых рабочих процессов соглашений.
• BYOK работает только на уровне учетной записи. Конфигурация на уровне группы не поддерживается.
• AWS KMS — единственный поддерживаемый поставщик пользовательских ключей для этого выпуска.
• Поддержку Azure Key Vault не следует документировать, если она не подтверждена для выпуска.
• Существующие соглашения не включены, если ретроактивное шифрование не подтверждено для выпуска.
• Если ключ AWS KMS или учетные данные станут недоступными, пользователи могут не иметь возможности получать доступ, подписывать, загружать или экспортировать зашифрованные соглашения.
• Администраторы учетной записи получают уведомления о сбоях по электронной почте, когда Acrobat Sign обнаруживает проблему доступа к управляемому клиентом ключу.
• Электронные письма с уведомлениями о сбоях CMK не должны включать учетные данные AWS, ключевой материал или ARN ключа KMS.
• Действия отключения, ротации, отката, приостановки и уничтожения не должны документироваться как действия, доступные клиенту, пока команда разработки не подтвердит их включение в версию 17.1.2.