Protezione dei dati in AWS Certificate Manager

Il modello di responsabilità AWS condivisa modello di di si applica alla protezione dei dati in AWS Certificate Manager. Come descritto in questo modello, AWS è responsabile della protezione dell'infrastruttura globale che gestisce tutti i Cloud AWS. L'utente è responsabile del controllo dei contenuti ospitati su questa infrastruttura. L'utente è inoltre responsabile della configurazione della protezione e delle attività di gestione per i Servizi AWS utilizzati. Per ulteriori informazioni sulla privacy dei dati, vedi le Domande frequenti sulla privacy dei dati. Per informazioni sulla protezione dei dati in Europa, consulta il post del blog relativo al Modello di responsabilità condivisa AWS e GDPR nel Blog sulla sicurezza AWS .

Ai fini della protezione dei dati, consigliamo di proteggere Account AWS le credenziali e configurare i singoli utenti con AWS IAM Identity Center or AWS Identity and Access Management (IAM). In tal modo, a ogni utente verranno assegnate solo le autorizzazioni necessarie per svolgere i suoi compiti. Ti suggeriamo, inoltre, di proteggere i dati nei seguenti modi:

• Utilizza l'autenticazione a più fattori (MFA) con ogni account.

• Usa SSL/TLS per comunicare con le risorse. AWS È richiesto TLS 1.2 ed è consigliato TLS 1.3.

• Configura l'API e la registrazione delle attività degli utenti con. AWS CloudTrail

• Utilizza soluzioni di AWS crittografia, insieme a tutti i controlli di sicurezza predefiniti all'interno Servizi AWS.

• Utilizza i servizi di sicurezza gestiti avanzati, come Amazon Macie, che aiutano a individuare e proteggere i dati sensibili archiviati in Amazon S3.

• Se hai bisogno di moduli crittografici convalidati FIPS 140-2 per l'accesso AWS tramite un'interfaccia a riga di comando o un'API, utilizza un endpoint FIPS. Per ulteriori informazioni sugli endpoint FIPS disponibili, consulta il Federal Information Processing Standard (FIPS) 140-2.

Ti consigliamo vivamente di non inserire mai informazioni riservate o sensibili, ad esempio gli indirizzi e-mail dei clienti, nei tag o nei campi di testo in formato libero, ad esempio nel campo Nome. Ciò include quando lavori con ACM o altri utenti Servizi AWS utilizzando la console, l'API o gli SDK. AWS CLI AWS I dati inseriti nei tag o nei campi di testo in formato libero utilizzati per i nomi possono essere utilizzati per i la fatturazione o i log di diagnostica. Quando fornisci un URL a un server esterno, ti suggeriamo vivamente di non includere informazioni sulle credenziali nell'URL per convalidare la tua richiesta al server.

Sicurezza per le chiavi private dei certificati

Quando richiedi un certificato pubblico, AWS Certificate Manager (ACM) genera una coppia di chiavi pubblica/privata. Per i certificati importati viene generata la coppia di chiavi di accesso. La chiave di accesso pubblica diventa parte del certificato. ACM archivia il certificato e la chiave privata corrispondente e utilizza AWS Key Management Service (AWS KMS) per proteggere la chiave privata. Il processo avviene in questo modo:

1. La prima volta che richiedi o importi un certificato in una AWS regione, ACM ne crea uno gestito AWS KMS key con l'alias aws/acm. Questa chiave KMS è unica in ogni account e in ogni regione. AWS AWS

2. ACM utilizza questa chiave KMS per crittografare la chiave di accesso privata del certificato. ACM archivia solo una versione crittografata della chiave di accesso privata (ACM non archivia la chiave di accesso privata sotto forma di testo crittografato). ACM utilizza la stessa chiave KMS per crittografare le chiavi private di tutti i certificati in un AWS account specifico e in una regione specifica. AWS

3. Quando si associa il certificato a un servizio integrato con AWS Certificate Manager, ACM invia il certificato e la chiave privata crittografata al servizio. Viene inoltre creata una concessione AWS KMS che consente al servizio di utilizzare la chiave KMS per decrittografare la chiave privata del certificato. Per ulteriori informazioni sulle autorizzazioni, consulta Utilizzo delle autorizzazioni nella guida per gli sviluppatori di AWS Key Management Service . Per ulteriori informazioni sui servizi supportati da ACM, consultare Servizi integrati con AWS Certificate Manager.

   Nota

   Hai il controllo sulla concessione creata automaticamente. AWS KMS Se si elimina questa concessione per qualsiasi motivo, si perde la funzionalità ACM per il servizio integrato.

4. I servizi integrati utilizzano la chiave KMS per decrittografare la chiave privata. In seguito il servizio utilizza il certificato e la chiave di accesso privata decrittografata (testo non crittografato) per stabilire canali di comunicazione sicura (sessioni SSL/TLS) con i suoi client.

5. Quando il certificato viene disassociato da un servizio integrato, l'autorizzazione concessa nella fase 3 viene ritirata. Ciò significa che il servizio non può più utilizzare la chiave KMS per decrittografare la chiave di accesso privata.