Incident Manager でのデータ保護

- AWS 責任共有モデル、でのデータ保護に適用されます。 AWS Systems Manager Incident Manager。このモデルで説明されているように、 AWS は、すべてのを実行するグローバルインフラストラクチャを保護する責任があります。 AWS クラウド。お客様は、このインフラストラクチャでホストされているコンテンツの制御を維持する責任があります。また、のセキュリティ設定と管理タスクについても責任を負います。 AWS のサービス使用する。データプライバシーの詳細については、「データプライバシーFAQ」を参照してください。欧州でのデータ保護の詳細については、「」を参照してください。 AWS の責任共有モデルとGDPRブログ記事 AWS セキュリティブログ 。

データ保護の目的で、を保護することをお勧めします。 AWS アカウント認証情報とを使用して個々のユーザーをセットアップする AWS IAM Identity Center または AWS Identity and Access Management （IAM）。この方法により、それぞれのジョブを遂行するために必要な権限のみが各ユーザーに付与されます。また、次の方法でデータを保護することもお勧めします:

各アカウントで多要素認証 (MFA) を使用します。
SSL/TLS を使用してと通信する AWS リソースの使用料金を見積もることができます。1TLS.2 が必要で、1.3 TLS をお勧めします。
で APIとユーザーアクティビティのログ記録を設定する AWS CloudTrail。 CloudTrail 証跡を使用してキャプチャする方法については、「」を参照してください。 AWS アクティビティ、「」の「証 CloudTrail 跡の使用」を参照してください。 AWS CloudTrail ユーザーガイド 。
使用アイテム AWS 暗号化ソリューションと内のすべてのデフォルトのセキュリティコントロール AWS のサービス.
Amazon Macie などの高度なマネージドセキュリティサービスを使用します。これらは、Amazon S3 に保存されている機密データの検出と保護を支援します。
アクセス時に FIPS 140-3 検証済みの暗号化モジュールが必要な場合 AWS コマンドラインインターフェイスまたはを介してAPI、FIPSエンドポイントを使用します。利用可能なFIPSエンドポイントの詳細については、「連邦情報処理規格 (FIPS) 140-3」を参照してください。

お客様の E メールアドレスなどの極秘または機密情報は、タグ、または名前フィールドなどの自由形式のテキストフィールドに配置しないことを強くお勧めします。これは、Incident Manager または他のを使用する場合も同様です。 AWS のサービスコンソール、API、 AWS CLI、または AWS SDKs。名前に使用する自由記述のテキストフィールドやタグに入力したデータは、課金や診断ログに使用される場合があります。URL を外部サーバーに提供する場合は、そのサーバーへのリクエストを検証URLするために認証情報をに含めないことを強くお勧めします。

デフォルトでは、Incident Manager は SSL/ を使用して転送中のデータを暗号化しますTLS。

データ暗号化

Incident Manager がを使用する AWS Key Management Service (AWS KMS) Incident Manager リソースを暗号化するためのキー。の詳細については、「」を参照してください。 AWS KMS、「」を参照してください。 AWS KMS デベロッパーガイド。 AWS KMS は、安全で可用性の高いハードウェアとソフトウェアを組み合わせて、クラウド向けに拡張されたキー管理システムを提供します。Incident Manager は、指定したキーを使用してデータを暗号化し、を使用してメタデータを暗号化します。 AWS 所有キー。Incident Manager を使用するには、暗号化の設定を含むレプリケーションセットを設定する必要があります。Incident Manager を使用するには、データ暗号化が必要です。

を使用できます。 AWS 所有キーを使用してレプリケーションセットを暗号化するか、で作成した独自のカスタマーマネージドキーを使用できます。 AWS KMS レプリケーションセット内のリージョンを暗号化する。Incident Manager は対称暗号化のみをサポート AWS KMS 内で作成されたデータを暗号化するためのキー AWS KMS。 Incident Manager はをサポートしていません AWS KMS インポートされたキーマテリアルを持つキー、カスタムキーストア、ハッシュベースのメッセージ認証コード (HMAC）、またはその他のタイプのキー。カスタマーマネージドキーを使用する場合は、 AWS KMS コンソールまたは AWS KMS APIs は、カスタマーマネージドキーを一元的に作成し、Incident Manager がカスタマーマネージドキーを使用する方法を制御するキーポリシーを定義します。Incident Manager での暗号化にカスタマーマネージドキーを使用する場合、 AWS KMS カスタマーマネージドキーは、リソースと同じリージョンに存在する必要があります。Incident Manager でのデータ暗号化の設定の詳細については、「準備ウィザード」をご参照ください。

の使用には追加料金がかかります。 AWS KMS カスタマーマネージドキー。詳細については、「」を参照してくださいAWS KMS の概念 - のKMSキー AWS Key Management Service デベロッパーガイドと AWS KMS の料金

重要

カスタマーマネージドキー (CMK) を使用してレプリケーションセットと Incident Manager データを暗号化し、後でレプリケーションセットを削除する場合は、を無効化または削除する前にレプリケーションセットを削除してくださいCMK。

Incident Manager がカスタマーマネージドキーを使用してデータを暗号化できるようにするには、カスタマーマネージドキーのキーポリシーに次のポリシーステートメントを追加する必要があります。アカウントでのキーポリシーの設定と変更の詳細については、「でのキーポリシーの使用」を参照してください。 AWS KMS ()AWS Key Management Service デベロッパーガイド。このポリシーで、次の許可が付与されます。

Incident Manager が読み取り専用オペレーションを実行して、アカウント内の Incident Manager CMKのを検索できるようにします。
Incident Manager がを使用して許可CMKを作成し、キーを記述できるようにします。ただし、Incident Manager を使用するアクセス許可を持つアカウントのプリンシパルに代わって動作している場合に限ります。ポリシーステートメントで指定されたプリンシパルに、 KMS キーと Incident Manager を使用するアクセス許可がない場合、Incident Manager サービスからの呼び出しであっても、呼び出しは失敗します。


       {
       "Sid": "Allow CreateGrant through AWS Systems Manager Incident Manager",
       "Effect": "Allow",
       "Principal": {
         "AWS": "arn:aws:iam::111122223333:user/ssm-lead"
       },
       "Action": [
         "kms:CreateGrant",
         "kms:DescribeKey"
       ],
       "Resource": "*",
       "Condition": {
         "StringLike": {
           "kms:ViaService": [
             "ssm-incidents.amazonaws.com",
             "ssm-contacts.amazonaws.com"
           ]
         }
       }
      }

Principal 値を、レプリケーションセットを作成したIAMプリンシパルに置き換えます。

Incident Manager は、へのすべてのリクエストで暗号化コンテキストを使用します。 AWS KMS 暗号化オペレーション用。この暗号化コンテキストを使用して、Incident Manager がKMSキーを使用する CloudTrail ログイベントを識別できます。Incident Manager では、次の暗号化コンテキストが使用されます。

contactArn=ARN of the contact or escalation plan

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

セキュリティ

Identity and Access Management