Proteção de dados no AWS Proton

O AWS Proton está em conformidade com o AWS modelo de responsabilidade compartilhada, que inclui regulamentos e diretrizes de proteção de dados. O AWS é responsável por proteger a infraestrutura global que executa todos os Serviços da AWS. O AWS mantém controle dos dados hospedados nessa infraestrutura, incluindo os controles de configuração de segurança para lidar com o conteúdo e com os dados pessoais do cliente. Os clientes do AWS e os parceiros do APN, atuando como controladores ou processadores de dados, são responsáveis por todos os dados pessoais que colocam na Nuvem AWS.

Para fins de proteção de dados, recomendamos proteger as credenciais da sua Conta da AWS e configurar contas de usuário individuais com o AWS Identity and Access Management (IAM), de modo que cada usuário receba somente as permissões necessárias para cumprir suas funções. Recomendamos também que você proteja seus dados das seguintes formas:

• Use uma autenticação multifator (MFA) com cada conta.

• Use SSL/TLS para se comunicar com os recursos da AWS. Recomendamos TLS 1.2 ou posterior.

• Configure o registro em log das atividades da API e do usuário com o AWS CloudTrail.

• Use as soluções de criptografia da AWS, juntamente com todos os controles de segurança padrão dos Serviços da AWS.

É altamente recomendável que você nunca coloque informações de identificação confidenciais, como números de conta dos seus clientes, em campos de texto de formato livre, como um campo Nome. Isso inclui trabalhar com a AWS Proton ou outros Serviços da AWS usando o console, a API, a AWS CLI ou os AWS SDKs. Todos os dados inseridos em campos de texto de formato livre para identificadores de recursos ou itens similares relacionados ao gerenciamento de recursos do AWS poderão ser selecionados para inclusão em logs de diagnóstico. Ao fornecer um URL para um servidor externo, não inclua informações de credenciais no URL para validar a solicitação a esse servidor.

Para obter mais informações sobre proteção de dados, consulte a publicação Modelo de responsabilidade compartilhada da AWS e do GDPR no Blog de segurança da AWS.

Criptografia do lado do servidor em repouso

Se você optar por criptografar dados confidenciais em seus pacotes de modelos em repouso no bucket do S3 em que você armazena seus pacotes de modelos, deverá usar uma chave SSE-S3 ou SSE-KMS para permitir que o AWS Proton recupere os pacotes de modelos para que eles possam ser anexados a um modelo do AWS Proton registrado.

Criptografia em trânsito

Todas as comunicações de serviço para serviço são criptografadas em trânsito usando SSL/TLS.

Gerenciamento de chaves de criptografia do AWS Proton

Dentro do AWS Proton, todos os dados do cliente são criptografados por padrão usando uma chave própria do AWS Proton. Se você fornecer uma chave do AWS KMS gerenciada e de propriedade do cliente, todos os dados do cliente serão criptografados usando a chave fornecida pelo cliente, conforme descrito nos parágrafos a seguir.

Ao criar um modelo do AWS Proton, você especifica sua chave e o AWS Proton usa suas credenciais para criar uma concessão que permite ao AWS Proton usar sua chave.

Se você retirar manualmente a concessão ou desativar ou excluir a chave especificada, o AWS Proton não conseguirá ler os dados que foram criptografados pela chave especificada e cuja saída é ValidationException.

Contexto de criptografia do AWS Proton

O AWS Proton suporta cabeçalhos de contexto de criptografia. Um contexto de criptografia é um conjunto opcional de pares chave-valor que pode conter informações contextuais adicionais sobre os dados. Para obter informações gerais sobre o contexto de criptografia, consulte Conceitos do AWS Key Management Service: contexto de criptografia no Guia do desenvolvedor do AWS Key Management Service.

Um contexto de criptografia é um conjunto de pares de chave-valor que contêm dados arbitrários não secretos. Quando inclui um contexto de criptografia em uma solicitação para criptografar dados, o AWS KMS vincula de forma criptográfica o contexto de criptografia aos dados criptografados. Para descriptografar os dados, você deve passar o mesmo contexto de criptografia.

Os clientes podem usar o contexto de criptografia para identificar o uso da chave gerenciada pelo cliente em registros de auditoria e logs. Ele também aparece em texto simples em logs, como o AWS CloudTrail e o Amazon CloudWatch Logs.

O AWS Proton não aceita nenhum contexto de criptografia especificado pelo cliente ou externamente.

O AWS Proton adiciona o seguinte como contexto de criptografia.

{
  "aws:proton:template": "<proton-template-arn>",
  "aws:proton:resource": "<proton-resource-arn>" 
}

O primeiro contexto de criptografia identifica o modelo do AWS Proton ao qual o recurso está associado e também serve como uma restrição para permissões e concessões de chaves gerenciadas pelo cliente.

O segundo contexto de criptografia identifica o recurso do AWS Proton que está criptografado.

Os exemplos a seguir mostram o uso do contexto de criptografia do AWS Proton.

Desenvolvedor criando uma instância de serviço.

{
  "aws:proton:template": "arn:aws:proton:region_id:123456789012:service-template/my-template",
  "aws:proton:resource": "arn:aws:proton:region_id:123456789012:service/my-service/service-instance/my-service-instance" 
}

Um administrador criando um modelo.

{
  "aws:proton:template": "arn:aws:proton:region_id:123456789012:service-template/my-template",
  "aws:proton:resource": "arn:aws:proton:region_id:123456789012:service-template/my-template"
}