Datenschutz und Verschlüsselung

Das AWS Modell der mit gilt für den Datenschutz in AWS Transfer Family (Transfer Family). Wie in diesem Modell beschrieben, AWS ist es für den Schutz der globalen Infrastruktur verantwortlich, auf der die gesamte AWS Cloud betrieben wird. Sie sind dafür verantwortlich, die Kontrolle über Ihre in dieser Infrastruktur gehosteten Inhalte zu behalten. Dieser Inhalt umfasst die Sicherheitskonfiguration und die Verwaltungsaufgaben für die AWS Dienste, die Sie verwenden. Weitere Informationen zum Datenschutz finden Sie unter Häufig gestellte Fragen zum Datenschutz. Informationen zum Datenschutz in Europa finden Sie im AWS Sicherheitsblog im Modell der AWS gemeinsamen Verantwortung und im DSGVO-Blogbeitrag.

Aus Datenschutzgründen empfehlen wir Ihnen, Ihre AWS Kontoanmeldeinformationen zu schützen und individuelle Benutzerkonten mit einzurichten AWS IAM Identity Center. So erhält jeder Benutzer nur die Berechtigungen, die zum Durchführen seiner Aufgaben erforderlich sind. Außerdem sollten Sie die Daten mit folgenden Methoden schützen:

• Verwenden Sie für jedes Konto die Multi-Faktor-Authentifizierung (MFA).

• Wird verwendet SSL/TLS , um mit AWS Ressourcen zu kommunizieren. Wir unterstützen TLS 1.2.

• Richten Sie die API und die Protokollierung von Benutzeraktivitäten mit ein AWS CloudTrail.

• Verwenden Sie AWS Verschlüsselungslösungen zusammen mit allen Standardsicherheitskontrollen innerhalb der AWS Dienste.

• Verwenden Sie erweiterte verwaltete Sicherheitsservices wie Amazon Macie, die dabei helfen, in Amazon S3 gespeicherte persönliche Daten zu erkennen und zu sichern.

• Wenn Sie für den Zugriff auf AWS über eine Befehlszeilenschnittstelle oder über eine API FIPS 140-2-validierte kryptografische Module benötigen, verwenden Sie einen FIPS-Endpunkt. Weitere Informationen über verfügbare FIPS-Endpunkte finden Sie unter Federal Information Processing Standard (FIPS) 140-2.

Wir empfehlen dringend, in Freitextfeldern wie z. B. im Feld Name keine sensiblen, identifizierenden Informationen wie Kontonummern von Kunden einzugeben. Dies gilt auch, wenn Sie mit Transfer Family oder anderen AWS Diensten über die Konsole AWS CLI, API oder arbeiten AWS SDKs. Alle Konfigurationsdaten, die Sie in die Transfer Family Family-Dienstkonfiguration oder in die Konfigurationen anderer Dienste eingeben, werden möglicherweise zur Aufnahme in Diagnoseprotokolle aufgenommen. Wenn Sie eine URL für einen externen Server bereitstellen, schließen Sie keine Anmeldeinformationen zur Validierung Ihrer Anforderung an den betreffenden Server in die URL ein.

Im Gegensatz dazu werden Daten aus Upload- und Download-Vorgängen zu und von Transfer Family Family-Servern als vollständig privat behandelt und existieren nie außerhalb verschlüsselter Kanäle, wie z. B. einer SFTP- oder FTPS-Verbindung. Diese Daten sind immer nur autorisierten Personen zugänglich.

Datenverschlüsselung in Transfer Family

AWS Transfer Family verwendet die Standardverschlüsselungsoptionen, die Sie für Ihren Amazon S3 S3-Bucket festgelegt haben, um Ihre Daten zu verschlüsseln. Wenn Sie die Standardverschlüsselung für einen Bucket aktivieren, werden alle Objekte verschlüsselt, wenn sie im Bucket gespeichert werden. Die Objekte werden mithilfe serverseitiger Verschlüsselung entweder mit von Amazon S3 verwalteten Schlüsseln (SSE-S3) oder () verwalteten Schlüsseln AWS Key Management Service (SSE-KMS AWS KMS) verschlüsselt. Informationen zur serverseitigen Verschlüsselung finden Sie unter Schützen von Daten mithilfe serverseitiger Verschlüsselung im Amazon Simple Storage Service-Benutzerhandbuch.

Die folgenden Schritte zeigen Ihnen, wie Sie Daten in verschlüsseln. AWS Transfer Family

Um die Verschlüsselung in zuzulassen AWS Transfer Family

1. Aktivieren Sie die Standardverschlüsselung für Ihren Amazon S3 S3-Bucket. Anweisungen finden Sie unter Amazon S3 S3-Standardverschlüsselung für S3-Buckets im Amazon Simple Storage Service-Benutzerhandbuch.

2. Aktualisieren Sie die AWS Identity and Access Management (IAM) -Rollenrichtlinie, die dem Benutzer zugewiesen ist, um die erforderlichen AWS Key Management Service (AWS KMS) Berechtigungen zu gewähren.

3. Wenn Sie eine Sitzungsrichtlinie für den Benutzer verwenden, muss die Sitzungsrichtlinie die erforderlichen AWS KMS Berechtigungen gewähren.

Das folgende Beispiel zeigt eine IAM-Richtlinie, die die Mindestberechtigungen gewährt, die bei der Verwendung AWS Transfer Family mit einem Amazon S3 S3-Bucket erforderlich sind, der für die AWS KMS Verschlüsselung aktiviert ist. Nehmen Sie diese Beispielrichtlinie sowohl in die Benutzer-IAM-Rollenrichtlinie als auch in die Sitzungsrichtlinie auf, falls Sie eine verwenden.

{
   "Sid": "Stmt1544140969635",
   "Action": [
      "kms:Decrypt",
      "kms:Encrypt",
      "kms:GenerateDataKey",
      "kms:GetPublicKey",
      "kms:ListKeyPolicies"
   ],
   "Effect": "Allow",
   "Resource": "arn:aws:kms:region:account-id:key/kms-key-id"
}

Anmerkung

Die KMS-Schlüssel-ID, die Sie in dieser Richtlinie angeben, muss mit der in Schritt 1 für die Standardverschlüsselung angegebenen identisch sein.

Root oder die IAM-Rolle, die für den Benutzer verwendet wird, muss in der AWS KMS Schlüsselrichtlinie zulässig sein. Informationen zur AWS KMS Schlüsselrichtlinie finden Sie unter Verwenden von Schlüsselrichtlinien in AWS KMS im AWS Key Management Service Entwicklerhandbuch.

AWS Transfer Family Verschlüsselung im Ruhezustand

Da AWS Transfer Family es sich um einen Dateiübertragungsdienst handelt, werden Ihre Speicherdaten im Ruhezustand nicht verwaltet. Die Speicherdienste und -systeme, die AWS Transfer Family unterstützt werden, sind für den Schutz der Daten in diesem Zustand verantwortlich. Es gibt jedoch einige dienstbezogene Daten, die im Ruhezustand AWS Transfer Family verwaltet werden.

Was ist verschlüsselt?

Die einzigen Daten, die im Ruhezustand AWS Transfer Family verarbeitet werden, beziehen sich auf die Details, die für den Betrieb Ihrer Dateiübertragungsserver und die Verarbeitung von Übertragungen erforderlich sind. AWS Transfer Family speichert die folgenden Daten mit vollständiger Verschlüsselung im Ruhezustand in Amazon DynamoDB:

• Serverkonfigurationen (z. B. Servereinstellungen, Protokollkonfigurationen und Endpunktdetails).

• Benutzerauthentifizierungsdaten, einschließlich öffentlicher SSH-Schlüssel und Benutzermetadaten.

• Einzelheiten zur Workflow-Ausführung und Schrittkonfigurationen.

• Konnektorkonfigurationen und Authentifizierungsdaten für Systeme von Drittanbietern. Diese Anmeldeinformationen werden mit AWS Transfer Family verwalteten Verschlüsselungsschlüsseln verschlüsselt.

Schlüsselverwaltung

Sie können die Verschlüsselungsschlüssel nicht verwalten, die zum Speichern von Informationen in DynamoDB AWS Transfer Family verwendet werden, die sich auf den Betrieb Ihrer Server und die Verarbeitung von Übertragungen beziehen. Zu diesen Informationen gehören Ihre Serverkonfigurationen, Benutzerauthentifizierungsdaten, Workflow-Details und Connector-Anmeldeinformationen.

Was ist nicht verschlüsselt?

AWS Transfer Family Es hat zwar keine Kontrolle darüber, wie Ihre Speicherdaten im Ruhezustand verschlüsselt werden, wir empfehlen jedoch, Ihre Speicherorte mit der höchsten Sicherheitsstufe zu konfigurieren, die sie unterstützen. Sie können Objekte beispielsweise mit von Amazon S3 verwalteten Verschlüsselungsschlüsseln (SSE-S3) oder Schlüsseln (SSE-KMS) AWS KMS verschlüsseln.

Erfahren Sie mehr darüber, wie AWS Speicherdienste Daten im Ruhezustand verschlüsseln:

• Amazon S3

• Amazon EFS