Protección de datos en Amazon WorkSpaces
El modelo de responsabilidad compartida
Con fines de protección de datos, recomendamos proteger las credenciales de la Cuenta de AWS y configurar cuentas de usuario individuales con AWS IAM Identity Center o AWS Identity and Access Management (IAM). De esta manera, solo se otorgan a cada usuario los permisos necesarios para cumplir sus obligaciones laborales. También recomendamos proteger sus datos de la siguiente manera:
-
Utiliza la autenticación multifactor (MFA) en cada cuenta.
-
Utiliza SSL/TLS para comunicarse con los recursos de AWS. Se recomienda el uso de TLS 1.2 y recomendamos TLS 1.3.
-
Configure los registros de API y de actividad de los usuarios con AWS CloudTrail. Para obtener información sobre cómo utilizar registros de seguimiento de CloudTrail para capturar actividades de AWS, consulta Working with CloudTrail trails en la Guía del usuario de AWS CloudTrail.
-
Utiliza las soluciones de cifrado de AWS, junto con todos los controles de seguridad predeterminados dentro de los servicios de Servicios de AWS.
-
Utiliza servicios de seguridad administrados avanzados, como Amazon Macie, que lo ayuden a detectar y proteger los datos confidenciales almacenados en Amazon S3.
-
Si necesita módulos criptográficos validados FIPS 140-3 al acceder a AWS a través de una interfaz de línea de comandos o una API, utiliza un punto de conexión de FIPS. Para obtener más información sobre los puntos de conexión de FIPS disponibles, consulta Estándar de procesamiento de la información federal (FIPS) 140-3
.
Se recomienda encarecidamente no introducir nunca información confidencial o sensible, como por ejemplo, direcciones de correo electrónico de clientes, en etiquetas o campos de formato libre, tales como el campo Nombre. Incluye cuando trabaja con WorkSpaces u otros servicios de Servicios de AWS mediante la consola, la API, la AWS CLI o los SDK de AWS. Cualquier dato que ingrese en etiquetas o campos de texto de formato libre utilizados para nombres se puede emplear para los registros de facturación o diagnóstico. Si proporciona una URL a un servidor externo, recomendamos encarecidamente que no incluya información de credenciales en la URL a fin de validar la solicitud para ese servidor.
Para obtener más información sobre WorkSpaces y el cifrado del punto de conexión FIPS, consulte Configuración de la autorización FedRAMP o la conformidad con DoD SRG en WorkSpaces Personal
Cifrado en reposo
Puede cifrar los volúmenes de almacenamiento para sus WorkSpaces utilizando AWS KMS clave de AWS Key Management Service. Para obtener más información, consulte Escritorios cifrados de WorkSpaces en WorkSpaces Personal.
Al crear escritorios de WorkSpaces con volúmenes cifrados, WorkSpaces utiliza Amazon Elastic Block Store (Amazon EBS) para crear y administrar los volúmenes. EBS cifra los volúmenes con una clave de datos que utiliza el algoritmo estándar AES-256. Para obtener más información, consulte Cifrado de Amazon EBS en la Guía del usuario de Amazon EC2.
Cifrado en tránsito
En el caso de los PCoIP, los datos en tránsito se cifran mediante encriptación TLS 1.2 y firma de solicitud SigV4. El protocolo PCoIP utiliza tráfico UDP cifrado, con cifrado AES, para la transmisión de píxeles. La conexión de transmisión, que utiliza el puerto 4172 (TCP y UDP), se cifra mediante cifrados AES-128 y AES-256, pero el cifrado por defecto es de 128 bits. Puede cambiar este valor predeterminado a 256 bits, ya sea mediante el ajuste Configurar los ajustes de seguridad de PCoIP Configuración de la política de grupo de WorkSpaces para Windows, o modificando la configuración de seguridad de PCoIP en el archivo pcoip-agent.conf para WorkSpaces de Amazon Linux.
Para obtener más información sobre la administración de políticas de grupo para Amazon WorkSpaces, consulte Configurar opciones de seguridad de PCoIP en Administración de los escritorios de WorkSpaces para Windows en WorkSpaces Personal. Para obtener más información sobre la modificación del archivo pcoip-agent.conf consulte, Control del comportamiento del agente de PCoIP en WorkSpaces de Amazon Linux y Configuración de seguridad de PCoIP
Para DCV, los datos en tránsito de transmisión y control se cifran mediante el cifrado TLS 1.3 para el tráfico UDP y el cifrado TLS 1.2 para el tráfico TCP, con cifrados AES-256.
