Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Datenschutz bei Amazon CloudFront
Das Modell der AWS https://aws.amazon.com/compliance/shared-responsibility-model/
Aus Datenschutzgründen empfehlen wir, AWS-Konto Anmeldeinformationen zu schützen und einzelne Benutzer mit AWS IAM Identity Center oder AWS Identity and Access Management (IAM) einzurichten. So erhält jeder Benutzer nur die Berechtigungen, die zum Durchführen seiner Aufgaben erforderlich sind. Außerdem empfehlen wir, die Daten mit folgenden Methoden schützen:
-
Verwenden Sie für jedes Konto die Multi-Faktor-Authentifizierung (MFA).
-
Wird verwendet SSL/TLS , um mit AWS Ressourcen zu kommunizieren. Wir benötigen TLS 1.2 und empfehlen TLS 1.3.
-
Richten Sie die API und die Protokollierung von Benutzeraktivitäten mit ein AWS CloudTrail. Informationen zur Verwendung von CloudTrail Pfaden zur Erfassung von AWS Aktivitäten findest du unter Arbeiten mit CloudTrail Pfaden im AWS CloudTrail Benutzerhandbuch.
-
Verwenden Sie AWS Verschlüsselungslösungen zusammen mit allen darin enthaltenen Standardsicherheitskontrollen AWS-Services.
-
Verwenden Sie erweiterte verwaltete Sicherheitsservices wie Amazon Macie, die dabei helfen, in Amazon S3 gespeicherte persönliche Daten zu erkennen und zu schützen.
-
Wenn Sie für den Zugriff AWS über eine Befehlszeilenschnittstelle oder eine API FIPS 140-3-validierte kryptografische Module benötigen, verwenden Sie einen FIPS-Endpunkt. Weitere Informationen über verfügbare FIPS-Endpunkte finden Sie unter Federal Information Processing Standard (FIPS) 140-3
.
Wir empfehlen dringend, in Freitextfeldern, z. B. im Feld Name, keine vertraulichen oder sensiblen Informationen wie die E-Mail-Adressen Ihrer Kunden einzugeben. Dies gilt auch, wenn Sie mit der Konsole, der API CloudFront oder den SDKs arbeiten oder diese auf andere Weise AWS-Services verwenden. AWS CLI AWS Alle Daten, die Sie in Tags oder Freitextfelder eingeben, die für Namen verwendet werden, können für Abrechnungs- oder Diagnoseprotokolle verwendet werden. Wenn Sie eine URL für einen externen Server bereitstellen, empfehlen wir dringend, keine Anmeldeinformationen zur Validierung Ihrer Anforderung an den betreffenden Server in die URL einzuschließen.
Amazon CloudFront bietet mehrere Optionen, mit denen Sie die bereitgestellten Inhalte sichern können:
-
Konfigurieren von HTTPS-Verbindungen.
-
Konfigurieren Sie die Verschlüsselung auf Feldebene, um während der Übertragung zusätzliche Sicherheit für bestimmte Daten zu bieten.
-
Beschränken des Zugriffs auf Inhalte, sodass nur bestimmte Personen oder Personen eines bestimmten Bereichs diese sehen können.
Die folgenden Themen erläutern die Optionen im Detail.
Themen
Verschlüsselung während der Übertragung
Um Ihre Daten während der Übertragung zu verschlüsseln, konfigurieren Sie Amazon CloudFront so, dass Zuschauer HTTPS verwenden müssen, um Ihre Dateien anzufordern, sodass Verbindungen bei der CloudFront Kommunikation mit Zuschauern verschlüsselt werden. Sie können auch so konfigurieren CloudFront , dass HTTPS verwendet wird, um Dateien von Ihrem Absender abzurufen, sodass Verbindungen bei der CloudFront Kommunikation mit Ihrem Absender verschlüsselt werden.
Weitere Informationen finden Sie unter Verwenden Sie HTTPS mit CloudFront.
Field-level Verschlüsselung bietet neben HTTPS eine zusätzliche Sicherheitsebene, mit der Sie bestimmte Daten während der gesamten Systemverarbeitung schützen können, sodass nur bestimmte Anwendungen sie sehen können. Durch die Konfiguration der Verschlüsselung auf Feldebene können Sie vertrauliche Informationen CloudFront, die von Benutzern übermittelt wurden, sicher auf Ihre Webserver hochladen. Die sensiblen Informationen, die Ihnen von Clients zur Verfügung gestellt werden, werden an dem Edge-Standort verschlüsselt, der näher am Benutzer ist. Es bleibt in Ihrem gesamten Anwendungsstapel verschlüsselt, sodass nur Anwendungen, die die Daten benötigen — und über die Anmeldeinformationen zu ihrer Entschlüsselung verfügen — dazu in der Lage sind.
Weitere Informationen finden Sie unter Vertrauliche Daten durch Verschlüsselung auf Feldebene schützen.
Die CloudFront API-Endpunkte cloudfront.amazonaws.com und, akzeptieren nur HTTPS-Verkehrcloudfront-fips.amazonaws.com. Das bedeutet, dass Ihre Daten bei der Übertragung immer verschlüsselt werden, wenn Sie Informationen über die CloudFront API senden und empfangen. Zu diesen Daten gehören Verteilungskonfigurationen, Cache-Richtlinien und Richtlinien für Quellanfragen, Schlüsselgruppen und öffentliche Schlüssel sowie Funktionscode in CloudFront Functions. Darüber hinaus werden alle an die CloudFront API-Endpunkte gesendeten Anfragen mit AWS Anmeldeinformationen signiert und angemeldet AWS CloudTrail.
Funktionscode und Konfiguration in CloudFront Functions werden bei der Übertragung immer verschlüsselt, wenn sie auf die PoPs (Edge Location Points of Presence) und zwischen anderen Speicherorten, die von verwendet werden, kopiert werden. CloudFront
Verschlüsselung im Ruhezustand
Der Funktionscode und die Konfiguration in CloudFront Functions werden immer in einem verschlüsselten Format auf den PoPs am Edge-Standort und an anderen Speicherorten gespeichert, die von verwendet werden. CloudFront
Einschränken des Zugriffs auf Inhalte
Viele Unternehmen, die Inhalte über das Internet bereitstellen, möchten den Zugriff auf Dokumente, Geschäftsdaten, Medien-Streams oder Inhalte, die nur für ausgewählte Benutzer gedacht sind, beschränken. Um diesen Inhalt mithilfe von Amazon sicher bereitzustellen CloudFront, können Sie einen oder mehrere der folgenden Schritte ausführen:
- Verwenden signierter URLs oder Cookies
-
Sie können den Zugriff auf Inhalte einschränken, die für ausgewählte Nutzer bestimmt sind — beispielsweise Nutzer, die eine Gebühr bezahlt haben —, indem Sie diese privaten Inhalte CloudFront mithilfe signierter URLs oder signierter Cookies bereitstellen. Weitere Informationen finden Sie unter Bereitstellen privater Inhalte mit signierten URLs und signierten Cookies.
- Beschränken des Zugriffs auf Inhalte in Amazon S3-Buckets
-
Wenn Sie den Zugriff auf Ihre Inhalte einschränken, indem Sie beispielsweise CloudFront signierte URLs oder signierte Cookies verwenden, möchten Sie auch nicht, dass Personen Dateien ansehen, indem sie die direkte URL für die Datei verwenden. Stattdessen möchten Sie, dass der Zugriff auf die Dateien nur über die CloudFront -URL möglich ist, sodass Ihre Schutzmechanismen funktionieren.
Wenn Sie einen Amazon S3-Bucket als Ursprung für eine CloudFront Distribution verwenden, können Sie eine Origin Access Control (OAC) einrichten, die es ermöglicht, den Zugriff auf den S3-Bucket einzuschränken. Weitere Informationen finden Sie unter Beschränken des Zugriffs auf einen Amazon-S3-Ursprung.
- Beschränken des Zugriffs auf Inhalte von einem Application Load Balancer
-
Wenn Sie einen Application Load Balancer in Elastic Load Balancing als Ursprung verwenden CloudFront , können Sie die Konfiguration so konfigurierenCloudFront , dass Benutzer nicht direkt auf den Application Load Balancer zugreifen. Auf diese Weise können Benutzer nur über den Application Load Balancer zugreifen. So stellen Sie sicher CloudFront, dass Sie die Vorteile der Verwendung nutzen können. CloudFront Weitere Informationen finden Sie unter Beschränken des Zugriffs auf Application Load Balancer.
- Verwenden Sie AWS WAF Web-ACLs
-
Sie können einen Firewall-Service für Webanwendungen verwenden AWS WAF, um eine Web Access Control List (Web ACL) zu erstellen, um den Zugriff auf Ihre Inhalte einzuschränken. Basierend auf von Ihnen angegebenen Bedingungen, wie z. B. den IP-Adressen, von denen Anfragen stammen, oder den Werten von Abfragezeichenfolgen, CloudFront reagiert er auf Anfragen entweder mit dem angeforderten Inhalt oder mit einem HTTP 403-Statuscode (Verboten). Weitere Informationen finden Sie unter Verwenden Sie AWS WAF Schutzmaßnahmen.
- Verwenden von geografische Einschränkungen
-
Mithilfe einer geografischen Einschränkung oder Geoblockierung können Sie verhindern, dass Benutzer aus bestimmten geografischen Regionen auf Inhalte zugreifen, die Sie über eine CloudFront-Verteilung bereitstellen. Beim Konfigurieren geografischer Einschränkungen können Sie aus verschiedenen Optionen wählen. Weitere Informationen finden Sie unter Einschränken der geografischen Distribution Ihrer Inhalte.
