でのデータ保護 AWS Private Certificate Authority

責任 AWS 共有モデル、 でのデータ保護に適用されます AWS Private Certificate Authority。このモデルで説明されているように、 AWS はすべての を実行するグローバルインフラストラクチャを保護する責任があります AWS クラウド。お客様は、このインフラストラクチャでホストされているコンテンツに対する管理を維持する責任があります。また、使用する AWS のサービス のセキュリティ設定と管理タスクもユーザーの責任となります。データプライバシーの詳細については、「データプライバシーFAQ」を参照してください。欧州でのデータ保護の詳細については、 AWS セキュリティブログのAWS 「責任共有モデルとGDPR」ブログ記事を参照してください。

データ保護の目的で、認証情報を保護し AWS アカウント 、 AWS IAM Identity Center または AWS Identity and Access Management （IAM) を使用して個々のユーザーを設定することをお勧めします。この方法により、それぞれのジョブを遂行するために必要な権限のみが各ユーザーに付与されます。また、次の方法でデータを保護することもお勧めします:

• 各アカウントで多要素認証 (MFA) を使用します。

• SSL/TLS を使用して AWS リソースと通信します。TLS 1.2 が必要で、TLS 1.3 をお勧めします。

• で API およびユーザーアクティビティのログ記録を設定します AWS CloudTrail。 CloudTrail 証跡を使用して AWS アクティビティをキャプチャする方法については、「 AWS CloudTrail ユーザーガイド」の CloudTrail 証跡の使用」を参照してください。

• AWS 暗号化ソリューションと、 内のすべてのデフォルトのセキュリティコントロールを使用します AWS のサービス。

• Amazon Macie などの高度なマネージドセキュリティサービスを使用します。これらは、Amazon S3 に保存されている機密データの検出と保護を支援します。

• コマンドラインインターフェイスまたは FIPS AWS 経由で にアクセスするときに API 140-3 検証済みの暗号化モジュールが必要な場合は、FIPS エンドポイントを使用します。使用可能な FIPS エンドポイントの詳細については、「連邦情報処理規格 (FIPS) 140-3」を参照してください。

お客様の E メールアドレスなどの機密情報は、タグ、または [名前] フィールドなどの自由形式のテキストフィールドに配置しないことを強くお勧めします。これは、コンソール、API、 AWS Private CA または AWS SDKs を使用して AWS CLIまたは他の AWS のサービス を使用する場合も同様です。名前に使用する自由記述のテキストフィールドやタグに入力したデータは、課金や診断ログに使用される場合があります。URL を外部サーバーに提供する場合は、そのサーバーへのリクエストを検証するためにURL に認証情報を含めないことを強くお勧めします。

AWS Private CA プライベートキーのストレージとセキュリティのコンプライアンス

プライベート CAs のプライベートキーは、 AWS マネージドハードウェアセキュリティモジュール (HSMs) に保存されます。HSMs は、暗号化モジュールの FIPS PUB 140-2 Level 3 セキュリティ要件に準拠しています。

AWS Private CA Connector for Active Directory のデータ暗号化

AWS Private CA Connector for AD は、コネクタ、テンプレート、ディレクトリ登録、サービスプリンシパル名、およびテンプレートグループのアクセスコントロールエントリに関する顧客設定データを保存します。データは転送中および保管時に暗号化されます。Connector for AD を介して発行された証明書に関する情報は、 AWS Private CA API の GetCertificate アクションを使用して検出できます。発行された証明書に関する情報、または証明書をリクエストするクライアントまたはマシンに関する情報は、 によって保存されません AWS。