Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Protection des données sur Amazon CloudFront
Le modèle de responsabilité AWS https://aws.amazon.com/compliance/shared-responsibility-model/
À des fins de protection des données, nous vous recommandons de protéger les Compte AWS informations d'identification et de configurer les utilisateurs individuels avec AWS IAM Identity Center ou Gestion des identités et des accès AWS (IAM). Ainsi, chaque utilisateur se voit attribuer uniquement les autorisations nécessaires pour exécuter ses tâches. Nous vous recommandons également de sécuriser vos données comme indiqué ci-dessous :
-
Utilisez l’authentification multifactorielle (MFA) avec chaque compte.
-
SSL/TLS À utiliser pour communiquer avec AWS les ressources. Nous exigeons TLS 1.2 et recommandons TLS 1.3.
-
Configurez l'API et la journalisation des activités des utilisateurs avec AWS CloudTrail. Pour plus d'informations sur l'utilisation des CloudTrail sentiers pour enregistrer AWS des activités, consultez la section Utilisation des CloudTrail sentiers dans le Guide de AWS CloudTrail l'utilisateur.
-
Utilisez des solutions de AWS cryptage, ainsi que tous les contrôles de sécurité par défaut qui s'y trouvent Services AWS.
-
Utilisez des services de sécurité gérés avancés tels qu’Amazon Macie, qui contribuent à la découverte et à la sécurisation des données sensibles stockées dans Amazon S3.
-
Si vous avez besoin de modules cryptographiques validés par la norme FIPS 140-3 pour accéder AWS via une interface de ligne de commande ou une API, utilisez un point de terminaison FIPS. Pour plus d’informations sur les points de terminaison FIPS disponibles, consultez Norme FIPS (Federal Information Processing Standard) 140-3
.
Nous vous recommandons fortement de ne jamais placer d’informations confidentielles ou sensibles, telles que les adresses e-mail de vos clients, dans des balises ou des champs de texte libre tels que le champ Nom. Cela inclut lorsque vous travaillez avec CloudFront ou Services AWS utilisez la console, l'API ou les AWS kits de développement logiciel. AWS CLI Toutes les données que vous entrez dans des balises ou des champs de texte de forme libre utilisés pour les noms peuvent être utilisées à des fins de facturation ou dans les journaux de diagnostic. Si vous fournissez une adresse URL à un serveur externe, nous vous recommandons fortement de ne pas inclure d’informations d’identification dans l’adresse URL permettant de valider votre demande adressée à ce serveur.
Amazon CloudFront propose plusieurs options que vous pouvez utiliser pour sécuriser le contenu diffusé :
-
Configurer les connexions HTTPS.
-
Configurez le chiffrement au niveau du champ pour fournir une sécurité supplémentaire pour des données spécifiques pendant le transit.
-
Restreindre l'accès au contenu de manière à ce que seules des personnes spécifiques ou des personnes dans une zone spécifique puissent l'afficher.
Les rubriques suivantes expliquent les options plus en détail.
Chiffrement en transit
Pour crypter vos données pendant le transit, vous configurez Amazon de manière CloudFront à ce que les spectateurs utilisent le protocole HTTPS pour demander vos fichiers, afin que les connexions soient cryptées lors des communications CloudFront avec les spectateurs. Vous pouvez également configurer CloudFront l'utilisation du protocole HTTPS pour récupérer les fichiers depuis votre origine, afin que les connexions soient chiffrées lorsque CloudFront vous communiquez avec votre origine.
Pour plus d’informations, consultez Utilisez le protocole HTTPS avec CloudFront.
Field-level le chiffrement ajoute une couche de sécurité supplémentaire au même titre que le protocole HTTPS qui vous permet de protéger des données spécifiques tout au long du traitement du système afin que seules certaines applications puissent les consulter. En configurant le chiffrement au niveau des champs dans CloudFront, vous pouvez télécharger en toute sécurité les informations sensibles soumises par les utilisateurs sur vos serveurs Web. Les informations sensibles fournies par vos clients sont chiffrées en périphérie plus près de l'utilisateur. Il reste chiffré sur l'ensemble de votre pile d'applications, ce qui garantit que seules les applications qui ont besoin des données et disposent des informations d'identification nécessaires pour les déchiffrer peuvent le faire.
Pour plus d’informations, consultez Utilisation du chiffrement au niveau du champ pour faciliter la protection des données sensibles.
Les points de terminaison cloudfront.amazonaws.com et les points de terminaison de cloudfront-fips.amazonaws.com l' CloudFront API n'acceptent que le trafic HTTPS. Cela signifie que lorsque vous envoyez et recevez des informations à l'aide de l' CloudFront API, vos données sont toujours cryptées en transit. Ces données incluent les configurations de distribution, les politiques de cache et les politiques de demande d'origine, les groupes de clés et les clés publiques, ainsi que le code de fonction dans CloudFront Functions. En outre, toutes les demandes envoyées aux points de terminaison de l' CloudFront API sont signées avec des AWS informations d'identification et connectées. AWS CloudTrail
Le code de fonction et la configuration dans CloudFront Functions sont toujours chiffrés en transit lorsqu'ils sont copiés vers les points de présence périphériques (POP) et entre les autres emplacements de stockage utilisés par CloudFront.
Chiffrement au repos
Le code de fonction et la configuration dans CloudFront Functions sont toujours stockés dans un format crypté sur les POPs de l'emplacement périphérique et dans les autres emplacements de stockage utilisés par CloudFront.
Restreindre l'accès au contenu
De nombreuses entreprises qui distribuent du contenu via Internet veulent limiter l'accès aux documents, données professionnelles, flux multimédias ou contenus destinés à un sous-ensemble d'utilisateurs. Pour diffuser ce contenu en toute sécurité à l'aide d'Amazon CloudFront, vous pouvez effectuer l'une ou plusieurs des opérations suivantes :
- Utiliser des cookies ou des URL signés
-
Vous pouvez restreindre l'accès au contenu destiné à certains utilisateurs, par exemple les utilisateurs qui ont payé des frais, en diffusant ce contenu privé à l' CloudFront aide d'URL signées ou de cookies signés. Pour plus d’informations, consultez Offre de contenu privé avec des URL et des cookies signés.
- Restriction de l'accès au contenu dans les compartiments Amazon S3
-
Si vous limitez l'accès à votre contenu en utilisant, par exemple, des URL CloudFront signées ou des cookies signés, vous ne souhaiterez pas non plus que les internautes consultent les fichiers en utilisant l'URL directe du fichier. Au lieu de cela, vous souhaitez qu'ils accèdent aux fichiers uniquement en utilisant l'URL CloudFront , afin que vos protections fonctionnent.
Si vous utilisez un compartiment Amazon S3 comme origine d'une CloudFront distribution, vous pouvez configurer un contrôle d'accès à l'origine (OAC) qui permet de restreindre l'accès au compartiment S3. Pour plus d’informations, consultez Restriction de l’accès à une origine Amazon S3.
- Restreindre l'accès au contenu diffusé par un Application Load Balancer
-
Lorsque vous utilisez CloudFront un équilibreur de charge d'application dans Elastic Load Balancing comme origine, vous pouvez le configurer CloudFront pour empêcher les utilisateurs d'accéder directement à l'équilibreur de charge d'application. Cela permet aux utilisateurs d'accéder à l'équilibreur de charge d'application uniquement via CloudFront, en vous assurant de bénéficier des avantages de son utilisation CloudFront. Pour plus d’informations, consultez Restriction de l’accès aux Application Load Balancers.
- Utiliser les AWS WAF ACL Web
-
Vous pouvez utiliser AWS WAF un service de pare-feu d'application Web pour créer une liste de contrôle d'accès Web (ACL Web) afin de restreindre l'accès à votre contenu. En fonction des conditions que vous spécifiez, telles que les adresses IP d'où proviennent les demandes ou les valeurs des chaînes de requête, CloudFront répond aux demandes soit avec le contenu demandé, soit avec un code d'état HTTP 403 (Interdit). Pour plus d’informations, consultez Utilisation AWS WAF protections.
- Utiliser une restriction géographique
-
Vous pouvez utiliser une restriction géographique, également appelée blocage géographique, pour empêcher les utilisateurs situés à des emplacements géographiques spécifiques d'accéder au contenu que vous desservez via une distribution CloudFront. Il existe plusieurs options au choix lorsque vous configurez des restrictions géographiques. Pour de plus amples informations, veuillez consulter Restriction de la distribution géographique de votre contenu.
