データ保護

AFT でのデータ保護には、AWS 責任共有モデルが適用されます。データ保護のため、セキュリティについては、次のベストプラクティスをお勧めします。

• AWS Control Tower で提供されるデータ保護ガイドラインに従ってください。詳細については、「AWS Control Tower のデータ保護」を参照してください。

• AFT デプロイ時に生成された Terraform 状態設定を保持します。詳細については、「AWS Control Tower Account Factory for Terraform (AFT) のデプロイ」を参照してください。

• 組織のセキュリティポリシーの指示に従って、機密性の高い認証情報を定期的にローテーションします。シークレットの例としては、Terraform トークン、git トークンなどがあります。

保管時の暗号化

AFT は、保管時に AWS Key Management Service キーで暗号化される Amazon S3 バケット、Amazon SNS トピック、Amazon SQS キュー、Amazon DynamoDB データベースを作成します。AFT で作成された KMS キーは、デフォルトで 1 年ごとのローテーションが有効になっています。Terraform の Terraform Cloud または Terraform Enterprise ディストリビューションを選択した場合、AFT には、機密性の高い Terraform トークン値を保存する AWS Systems Manager SecureString パラメータが含まれます。

AFT は、 で説明コンポーネントサービスされている AWS サービスを使用します。デフォルトでは、保管時に暗号化されます。詳細については、AFT の各コンポーネント AWS サービスの AWS ドキュメントを参照し、各サービスのデータ保護プラクティスについて説明します。

転送時の暗号化

AFT は、デフォルトで転送中の暗号化を使用する で説明コンポーネントサービスされている AWS サービスに依存します。詳細については、AFT の各コンポーネント AWS サービスの AWS ドキュメントを参照し、各サービスのデータ保護プラクティスについて説明します。

Terraform Cloud または Terraform Enterprise ディストリビューションの場合、AFT は Terraform 組織にアクセスするための HTTPS エンドポイント API を呼び出します。 AWS CodeStar 接続でサポートされているサードパーティーの VCS プロバイダーを選択した場合、AFT は HTTPS エンドポイント API を呼び出して VCS プロバイダー組織にアクセスします。