Protección de los datos en AWS CodeDeploy
El modelo de responsabilidad compartida
Con fines de protección de datos, recomendamos proteger las credenciales de la Cuenta de AWS y configurar cuentas de usuario individuales con AWS IAM Identity Center o AWS Identity and Access Management (IAM). De esta manera, solo se otorgan a cada usuario los permisos necesarios para cumplir sus obligaciones laborales. También recomendamos proteger sus datos de la siguiente manera:
-
Utiliza la autenticación multifactor (MFA) en cada cuenta.
-
Utiliza SSL/TLS para comunicarse con los recursos de AWS. Se recomienda el uso de TLS 1.2 y recomendamos TLS 1.3.
-
Configure los registros de API y de actividad de los usuarios con AWS CloudTrail. Para obtener información sobre cómo utilizar registros de seguimiento de CloudTrail para capturar actividades de AWS, consulta Working with CloudTrail trails en la Guía del usuario de AWS CloudTrail.
-
Utiliza las soluciones de cifrado de AWS, junto con todos los controles de seguridad predeterminados dentro de los servicios de Servicios de AWS.
-
Utiliza servicios de seguridad administrados avanzados, como Amazon Macie, que lo ayuden a detectar y proteger los datos confidenciales almacenados en Amazon S3.
-
Si necesita módulos criptográficos validados FIPS 140-3 al acceder a AWS a través de una interfaz de línea de comandos o una API, utiliza un punto de conexión de FIPS. Para obtener más información sobre los puntos de conexión de FIPS disponibles, consulta Estándar de procesamiento de la información federal (FIPS) 140-3
.
Se recomienda encarecidamente no introducir nunca información confidencial o sensible, como por ejemplo, direcciones de correo electrónico de clientes, en etiquetas o campos de formato libre, tales como el campo Nombre. Esto incluye los casos en los que debe trabajar con CodeDeploy u otros Servicios de AWS a través de la consola, la API, la AWS CLI o los SDK de AWS. Cualquier dato que ingrese en etiquetas o campos de texto de formato libre utilizados para nombres se puede emplear para los registros de facturación o diagnóstico. Si proporciona una URL a un servidor externo, recomendamos encarecidamente que no incluya información de credenciales en la URL a fin de validar la solicitud para ese servidor.
Privacidad del tráfico entre redes
CodeDeploy es un servicio de implementación completamente administrado que admite instancias de EC2, funciones Lambda, Amazon ECS y servidores en las instalaciones. Para las instancias de EC2 y los servidores en las instalaciones, un agente basado en host se comunica con CodeDeploy utilizando TLS.
Actualmente, la comunicación entre el agente y el servicio precisa una conexión a Internet saliente para que el agente pueda comunicarse con los puntos de enlace de servicio de Amazon S3 y CodeDeploy. En una nube virtual privada, esto se puede lograr con una gateway de Internet, una conexión de VPN de sitio a sitio a su red corporativa o una conexión directa.
El agente de CodeDeploy es compatible con servidores proxy HTTP.
Los puntos de conexión de VPC de Amazon, con tecnología de AWS PrivateLink, están disponibles para CodeDeploy en determinadas regiones. Para obtener más información, consulte Uso de CodeDeploy con Amazon Virtual Private Cloud.
nota
El agente de CodeDeploy solo es necesario si se realiza la implementación en una plataforma de informática de Amazon EC2/en las instalaciones. El agente no es necesario para las implementaciones que utilizan la plataforma de informática de Amazon ECS o AWS Lambda.
Cifrado en reposo
El código de cliente no se almacena en CodeDeploy. Como servicio de implementación, CodeDeploy envía comandos al agente de CodeDeploy que se ejecuta en instancias de EC2 o en servidores en las instalaciones. El agente de CodeDeploy ejecuta los comandos mediante TLS. Los datos del modelo de servicio para las implementaciones, la configuración de la implementación, los grupos de implementación, las aplicaciones y las revisiones de aplicaciones se almacenan en Amazon DynamoDB y se cifran en reposo mediante una clave de Clave propiedad de AWS propiedad de y administrada por CodeDeploy. Para obtener más información, consulte Clave propiedad de AWS.
Cifrado en tránsito
El agente de CodeDeploy inicia todas las comunicaciones con CodeDeploy en el puerto 443. El agente sondea CodeDeploy y escucha un comando. El agente de CodeDeploy es de código abierto. Todas las comunicaciones de servicio a servicio y de cliente a servicio se cifran en tránsito mediante TLS. Esto protege los datos en tránsito del cliente entre CodeDeploy y otros servicios como Amazon S3.
Administración de claves de cifrado
No hay claves de cifrado para que las administre. Los datos del modelo de servicio CodeDeploy se cifran mediante una Clave propiedad de AWS, propiedad de CodeDeploy y administrada por CodeDeploy. Para obtener más información, consulte Clave propiedad de AWS.
