S3 バケットマップによるデータ機密性の視覚化

Amazon Macie コンソールでは、S3 バケットのヒートマップにより、Amazon Simple Storage Service (Amazon S3) データ資産全体のデータ機密性をインタラクティブに視覚的に表現できます。Macie が現在の の Amazon S3 データに対してこれまでに実行した機密データ自動検出アクティビティの結果をキャプチャします AWS リージョン。

ユーザーが組織の Macie 管理者である場合、マップにはメンバーアカウントが所有する S3 バケットの結果が含まれます。データは でグループ化され AWS アカウント 、アカウント ID でソートされます。例:

マップの各ページには、組織または Amazon S3 のデータ資産の規模に応じて、最大 99 のアカウントまたは 1,000 のバケットのデータが表示されます。

コンソールの左側のナビゲーションペインで、S3 バケット を選択します。ページの上部で、名前の変更を選択します。マップは、アカウントまたは組織で機密データの自動検出が現在有効になっている場合にのみ使用できます。作成して実行した機密データ検出ジョブの結果は含まれません。

S3 バケットマップ内のデータの解釈

S3 バケットマップでは、各四角形はバケットインベントリ内の S3 汎用バケットを表します。四角の色はバケットの現在の機密性スコアを表します。これは、Macie がバケット内で見つけた機密データの量と Macie がバケット内で分析したデータの量という 2 つの主要な指標の共通点を測定します。色相の濃さは、次の図に示すように、バケットのスコアがデータ機密性値の範囲内のどの部分に当てはまるかを表しています。

一般に、色と色相の濃さは次のように解釈できます。

• 青 — バケットの現在の機密性スコアが 1 ～ 49 の範囲であれば、バケットの四角形は青で、バケットの機密性ラベルは [低機密性] です。青の色相の濃さは、バケット内の一意のオブジェクトの総数に関連して、Macie がバケット内で分析した一意のオブジェクトの数を反映しています。色相が濃いほど、機密性スコアが低くなります。

• 色なし — バケットの現在の機密性スコアが 50 の場合、バケットの四角形は色付けされず、バケットの機密性ラベルは分析が未完了 です。さらに、四角形には破線が付いています。

• 赤 — バケットの現在の機密性スコアが51～100の場合、バケットの四角形は赤で、バケットの機密性ラベルは[高機密性] です。赤の色相の濃さは、Macie がバケット内で検出した機密データの量を反映しています。色相が暗いほど、機密性スコアが高いことを示します。

• グレー — バケットの現在の機密性スコアが -1 の場合、バケットの四角形は濃い灰色で、バケットの機密性ラベルは [分類エラー] です。色相の濃さは変化しません。

Macie が定義する機密性スコアとラベルの範囲の詳細については、S3 バケットの機密スコア を参照してください。

マップでは、S3 バケットの四角形にはシンボルも含まれている場合があります。このシンボルはエラー、問題、またはバケットの機密性の評価に影響する可能性のあるその他の考慮事項を示しています。シンボルは、バケットがパブリックアクセス可能であるといった、バケットのセキュリティに関する潜在的な問題を示す場合もあります。次の表は、Macie がこれらのケースを通知するために使用する記号の一覧です。

記号	定義	説明
	アクセスが拒否されました	Macie はバケットやバケットのオブジェクトにアクセスすることが許可されていません。そのため、Macie はバケット内のオブジェクトを分析できません。 この問題は通常、バケットに制限があるバケットポリシーが設定されているために発生します。この問題の対処方法については、Macie が S3 バケットおよびオブジェクトにアクセスすることを許可するを参照してください。
	パブリックアクセス可能	一般ユーザーは、バケットへの読み取りまたは書き込みのアクセス権を持っています。 この決定を行うために、Macie はアカウントとバケットのパブリックアクセスをブロックする設定や、バケットのバケットポリシーなど、各バケットのアカウントレベルとバケットレベルの設定を組み合わせて分析します。詳細については、「Macie が Amazon S3 データセキュリティをモニタリングする方法」を参照してください。
	分類不可	Macie はバケット内のどのオブジェクトも分析できません。バケットのすべてのオブジェクトには、Macie がサポートしていない Amazon S3 ストレージクラスが使用されているか、Macie がサポートしていないファイルまたはストレージ形式のファイル名拡張子が付いています。 Macie がオブジェクトを分析するには、オブジェクトはサポートされているストレージクラスを使用し、サポートされているファイルまたはストレージ形式のファイル名拡張子を有している必要があります。詳細については、「サポートされているストレージクラスとフォーマット」を参照してください。
	0 バイト	バケットには、Macie が分析するオブジェクトは保存されません。バケットが空か、バケット内のすべてのオブジェクトにゼロ (0) バイトのデータが含まれています。

S3 バケットマップを操作する

S3 バケット マップを確認すると、さまざまな方法でマップを操作して、個々のアカウントやバケットの追加データや詳細を確認したり評価したりできます。Amazon Macie コンソールにマップを表示し、そのマップが提供するさまざまな機能を使用するには、次の手順に従います。

S3 バケットマップを操作するには

1. Amazon Macie コンソール (https://console.aws.amazon.com/macie/) を開きます。

2. ナビゲーションペインで、S3 バケットを選択します。S3 バケットには、バケットインベントリのマップが表示されます。ページにインベントリが表形式で表示されている場合は、ページ上部の map を選択します。

   デフォルトでは、マップには、現在機密データの自動検出から除外されているバケットのデータが表示されません。ユーザーが組織の Macie 管理者である場合、機密データの自動検出が現在無効になっているアカウントのデータも表示されません。このデータを表示するには、フィルターボックスの下にある自動検出フィルタートークンによってモニタリングされる で X を選択します。

3. ページの上部で、必要に応じて、更新 を選択して、Amazon S3 から最新のバケットメタデータを取得します。

4. S3 バケット マップで、次のいずれかを実行します。

   • 特定の機密ラベルを持つバケットの数を確認するには、 AWS アカウント ID のすぐ下にある色付きのバッジを参照してください。バッジには、機密性ラベル別に分類された集計されたバケット数が表示されます。

     たとえば、赤のバッジは、アカウントが所有しており[高機密性] ラベルが付いているバケットの総数を示しています。これらのバケットの機密性スコアは 51 ～ 100 の範囲です。青のバッジは、そのアカウントが所有していて、低機密性 というラベルが付いたバケットの総数を示しています。これらのバケットの機密性スコアは 1 ～ 49 の範囲です。

   • バケットに関する情報のサブセットを確認するには、バケットの四角形にカーソルを合わせます。ポップオーバーにはバケットの名前と現在の機密性スコアが表示されます。

     ポップオーバーには、Macie がバケット内で分析できるオブジェクトの総数と、それらのオブジェクトの最新バージョンの合計ストレージサイズも表示されます。これらのオブジェクトは分類可能です。サポートされている Amazon S3 ストレージクラスを使用し、サポートされているファイルまたはストレージ形式のファイル名拡張子が付いています。詳細については、サポートされているストレージクラスとフォーマットを参照してください。

   • マップをフィルタリングし、フィールドに対して特定の値を持つバケットのみを表示するには、フィルターボックスにカーソルを置き、フィールドでフィルター条件を追加します。Macie は条件の基準を適用し、フィルターボックスの下に条件を表示します。結果をさらに絞り込むには、追加のフィールドでフィルター条件を追加します。詳細については、S3 バケットインベントリをフィルタリングするを参照してください。

   • 特定のアカウントが所有するバケットだけをドリルダウンして表示するには、そのアカウントのアカウント ID を選択します。Macie は、そのアカウントのみのデータをフィルタリングして表示する新しいタブを開きます。

5. 特定のバケットのすべての機密データ検出統計およびその他の情報を確認するには、バケットの四角形を選択し、詳細パネルを参照してください。その詳細については、「個々の S3 バケットのデータ機密情報の確認」を参照してください。

   ヒント

   詳細パネルでは、多くのフィールドをピボットしてドリルダウンできます。フィールドに対して同じ値を持つバケットを表示するには、フィールドで を選択します。フィールドに対して他の値を持つバケットを表示するには、フィールドで を選択します。