データ暗号化のオプション

ファイルを Amazon S3 に保存 (保管) する一方で、トランスコーディングジョブで使用する入力ファイルや出力ファイルをすべて暗号化することによって、Elastic Transcoder のデータを保護できます。これには、入力ファイル、出力ファイル、サムネイル、キャプション、入力ウォーターマーク、または入力アルバムアートが含まれます。プレイリストとメタデータは暗号化されません。

パイプライン、Amazon S3 バケット、 AWS Key Management Service キーを含むジョブのすべてのリソースは、同じ AWS リージョンに存在する必要があります。

トピック

• 暗号化オプション

• Elastic Transcoder AWS KMS で を使用する

• HLS のコンテンツ保護

• デジタル著作権管理

暗号化オプション

Elastic Transcoder では、2 つの主要な暗号化オプションがサポートされています。

• Amazon S3 のサーバー側の暗号化: AWS がお客様の暗号化プロセスを管理します。例えば、Elastic Transcoder は Amazon S3 を呼び出し、Amazon S3 はデータを暗号化し、データセンター内のディスクに保存して、ダウンロードするときにデータを復号化します。

  デフォルトでは、Amazon S3 バケットは暗号化されたファイルと暗号化されていないファイルの両方を受け入れますが、暗号化されたファイルだけを受け入れるように Amazon S3 バケットを設定できます。Elastic Transcoder が Amazon S3 バケットにアクセスできる限り、アクセス権限を変更する必要がありません。

  Amazon S3 のサーバー側の暗号化の詳細については、「Amazon Simple Storage Service ユーザーガイド」の「サーバー側の暗号化を使用したデータの保護」を参照してください。AWS KMS キーの詳細については、「AWS Key Management Service デベロッパーガイド」の「AWS Key Management Service とは」を参照してください。

  注記

  AWS-KMS キーを使用するための追加料金は不要です。詳細については、「AWS Key Management Service の料金」を参照してください。

• お客様が用意したキーによるクライアント側の暗号化: Elastic Transcoder では、お客様が用意した暗号化キーを使用して、入力ファイル (お客様によって暗号化済みのもの) を復号することや、Amazon S3 に保存する前に出力ファイルを暗号化することができます。この場合、暗号化キーや関連ツールはお客様が管理してください。

  Elastic Transcoder でクライアントが提供するキーを使用してファイルをトランスコードする場合は、ジョブリクエストに、ファイルの暗号化に使用した AWS KMS暗号化キー、チェックサムとして使用するキーの MD5、および出力ファイルの暗号化時に Elastic Transcoder で使用する初期化ベクトル (またはランダムビットジェネレーターによって作成された一連のランダムビット) を含める必要があります。

  Elastic Transcoder は、KMS AWS KMS キーで暗号化されたお客様が用意したキーのみを使用でき、Elastic Transcoder には KMS キーを使用するためのアクセス許可を付与する必要があります。キーを暗号化するには、次の情報を含む暗号化呼び出しを使用して AWS KMS プログラムで を呼び出す必要があります。

  {
      "EncryptionContext": {
          "service" : "elastictranscoder.amazonaws.com"
      },
      "KeyId": "The ARN of the key associated with your pipeline",
      "Plaintext": blob that is your AES key
  }

  重要

  プライベート暗号化キーと暗号化されていないデータは AWS には保存されません。したがって、暗号化キーを安全に管理することが重要です。キーを紛失すると、データを復号できなくなります。

  キーを使用するためのアクセス許可を Elastic Transcoder に付与する方法については、「Elastic Transcoder AWS KMS で を使用する」を参照してください。

  データ暗号化の詳細については、AWS KMS API リファレンスと「データの暗号化と復号化」を参照してください。コンテキストについての詳細は、『AWS Key Management Service デベロッパー ガイド』の「暗号化コンテキスト」を参照してください。

  お客様が提供するキーの詳細については、『Amazon Simple Storage Service ユーザーガイド』の「お客様が用意した暗号化キーによるサーバー側の暗号化を使用したデータの保護」を参照してください。

Elastic Transcoder コンソールを使用してファイルの復号化と暗号化を行う際に必要な設定については、「(オプション) Output Encryption」を参照してください。Elastic Transcoder API を使用してファイルの復号化と暗号化を行う際に必要な設定については、暗号化要素から始まる ジョブを作成する API アクションを参照してください。

Elastic Transcoder AWS KMS で を使用する

Elastic Transcoder で AWS Key Management Service （AWS KMS) を使用して、データの暗号化に使用される暗号化キーを作成および管理できます。使用する Elastic Transcoder を設定する前に AWS KMS、以下が必要です。

• Elastic Transcoder のパイプライン

• Elastic Transcoder パイプラインに関連付けられた IAM ロール

• AWS KMS キー

• AWS KMS キーの ARN

次の手順は、既存のリソースを識別する方法または新しいリソースを作成する方法を示します。

Elastic Transcoder AWS KMS の使用準備

パイプラインを作成するには

• 「Elastic Transcoder でパイプラインを作成する」のステップを実行してください。

パイプラインに関連付けられた IAM ロールを特定する方法

1. にサインイン AWS Management Console し、https://console.aws.amazon.com/elastictranscoder/ で Elastic Transcoder コンソールを開きます。

2. ナビゲーションペインで、[Pipelines] (パイプライン) をクリックします。

3. パイプラインの名の横の拡大鏡アイコンをクリックします。

4. [Permissions] セクションをクリックして展開します。

5. IAM ロールの情報を書き留めます。Elastic Transcoder によって作成されたデフォルトのロールを使用している場合、ロールは Elastic_Transcoder_Default_Role になります。

AWS KMS キーを作成するには

1. IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

2. 「キーの作成」の手順を行います。

AWS KMS キーの ARN を識別するには

1. IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

2. ナビゲーションペインで、[Encryption Keys] をクリックします。

3. リージョンのドロップダウンリストで、キーとパイプラインがあるリージョンを選択します。

4. 使用するキーをクリックします。

5. ARN を書き留めます。

コンソールを使用して AWS KMS キーを作成できますが、暗号化および復号 APIs を使用して AWS KMS キーでデータを暗号化または復号する必要があります。詳細については、「データの暗号化と復号」を参照してください。

Elastic Transcoder と の接続 AWS KMS

パイプライン、IAM ロール、および AWS KMS キーを取得したら、使用するキーをパイプラインに伝え、使用できる IAM ロールをキーに伝える必要があります。

AWS KMS キーをパイプラインに追加するには

1. https://console.aws.amazon.com/elastictranscoder/ で Elastic Transcoder コンソールを開きます。

2. AWS KMS キーを使用するパイプラインを選択し、編集をクリックします。

3. [Encryption] セクションをクリックして展開し、[AWS KMS Key ARN] セクションで [Custom] を選択します。

4. AWS KMS キーの ARN を入力し、保存をクリックします。

IAM ロールを AWS KMS キーに追加するには

パイプラインに関連付けられた IAM ロールを使用して AWS KMS キーを作成しなかった場合は、次の手順で追加できます。

1. https://console.aws.amazon.com/kms で AWS KMS コンソールを開きます。

2. リージョンのドロップダウンリストで、キーとパイプラインを作成したときに選択したリージョンを選択します。

3. ナビゲーションペインで、[カスタマーマネージドキー] を選択します。

4. 右側の [カスタマー管理型のキー] で、使用するキーの名前を選択します。

5. [Key users (キーのユーザー)] セクションで、[Add (追加)] を選択します。

6. [Add key users (キーのユーザーを追加)] ページで、パイプラインに関連付けられたロールを検索し、検索結果からロールを選択して [Add (追加)] を選択します。

Elastic Transcoder パイプラインで AWS KMS キーを使用できるようになりました。