でのデータ保護 AWS Service Catalog

責任 AWS 共有モデル、 でのデータ保護に適用されます AWS Service Catalog。このモデルで説明されているように、 AWS はすべての を実行するグローバルインフラストラクチャを保護する責任があります AWS クラウド。お客様は、このインフラストラクチャでホストされているコンテンツに対する管理を維持する責任があります。また、使用する AWS のサービス のセキュリティ設定と管理タスクもユーザーの責任となります。データプライバシーの詳細については、データプライバシーのよくある質問を参照してください。欧州でのデータ保護の詳細については、AWS セキュリティブログに投稿されたAWS 責任共有モデルおよび GDPRのブログ記事を参照してください。

データ保護の目的で、 認証情報を保護し AWS アカウント 、 AWS IAM Identity Center または AWS Identity and Access Management (IAM) を使用して個々のユーザーを設定することをお勧めします。この方法により、それぞれのジョブを遂行するために必要な権限のみが各ユーザーに付与されます。また、次の方法でデータを保護することもお勧めします:

• 各アカウントで多要素認証 (MFA) を使用します。

• SSL/TLS を使用して AWS リソースと通信します。TLS 1.2 は必須であり TLS 1.3 がお勧めです。

• で API とユーザーアクティビティのログ記録を設定します AWS CloudTrail。

• AWS 暗号化ソリューションと、 内のすべてのデフォルトのセキュリティコントロールを使用します AWS のサービス。

• Amazon Macie などの高度なマネージドセキュリティサービスを使用します。これらは、Amazon S3 に保存されている機密データの検出と保護を支援します。

• コマンドラインインターフェイスまたは API AWS を介して にアクセスするときに FIPS 140-2 検証済みの暗号化モジュールが必要な場合は、FIPS エンドポイントを使用します。利用可能な FIPS エンドポイントの詳細については、「連邦情報処理規格 (FIPS) 140-2」を参照してください。

お客様の E メールアドレスなどの極秘または機密情報は、タグ、または名前フィールドなどの自由形式のテキストフィールドに配置しないことを強くお勧めします。これは、コンソール、API、 AWS Service Catalog または SDK を使用して AWS CLIまたは他の AWS のサービス を操作する場合も同様です。 AWS SDKs 名前に使用する自由記述のテキストフィールドやタグに入力したデータは、課金や診断ログに使用される場合があります。外部サーバーへの URL を提供する場合は、そのサーバーへのリクエストを検証するための認証情報を URL に含めないように強くお勧めします。

暗号化によるデータの保護

保管中の暗号化

AWS Service Catalog は、Amazon が管理するキーを使用して保管時に暗号化された Amazon S3 バケットと Amazon DynamoDB データベースを使用します。詳細については、Amazon S3 および Amazon DynamoDB で提供される保管時の暗号化に関する情報を参照してください。

転送中の暗号化

AWS Service Catalog は、Transport Layer Security (TLS) と、発信者と の間で転送中の情報のクライアント側の暗号化を使用します AWS。

VPC エンドポイントを作成することで、Amazon Virtual Private Cloud (Amazon VPC) から AWS Service Catalog APIs にプライベートにアクセスできます。VPC エンドポイントでは、VPC と 間のルーティング AWS Service Catalog は AWS 、インターネットゲートウェイ、NAT ゲートウェイ、または VPN 接続を必要とせずにネットワークによって処理されます。

で使用される最新世代の VPC エンドポイント AWS Service Catalog は AWS PrivateLink、 AWS VPC 内のプライベート IPs で Elastic Network Interface を使用するサービス間の AWS プライベート接続を可能にするテクノロジーである VPCs を利用しています。