Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Protezione dei dati in Amazon Streams GameLift
Il modello di responsabilità AWS https://aws.amazon.com/compliance/shared-responsibility-model/
Ai fini della protezione dei dati, ti consigliamo di proteggere Account AWS le credenziali e configurare i singoli utenti con Centro identità AWS IAM o AWS Identity and Access Management (IAM). In tal modo, a ogni utente verranno assegnate solo le autorizzazioni necessarie per svolgere i suoi compiti. Suggeriamo, inoltre, di proteggere i dati nei seguenti modi:
-
Utilizza l’autenticazione a più fattori (MFA) con ogni account.
-
SSL/TLS Usalo per comunicare con AWS le risorse. È richiesto TLS 1.2 ed è consigliato TLS 1.3.
-
Configura l'API e la registrazione delle attività degli utenti con AWS CloudTrail. Per informazioni sull'uso dei CloudTrail percorsi per acquisire AWS le attività, consulta Lavorare con i CloudTrail percorsi nella Guida per l'AWS CloudTrail utente.
-
Utilizza soluzioni di AWS crittografia, insieme a tutti i controlli di sicurezza predefiniti all'interno Servizi AWS.
-
Utilizza i servizi di sicurezza gestiti avanzati, come Amazon Macie, che aiutano a individuare e proteggere i dati sensibili archiviati in Amazon S3.
-
Se hai bisogno di moduli crittografici convalidati FIPS 140-3 per l'accesso AWS tramite un'interfaccia a riga di comando o un'API, utilizza un endpoint FIPS. Per ulteriori informazioni sugli endpoint FIPS disponibili, consulta il Federal Information Processing Standard (FIPS) 140-3
.
Ti consigliamo di non inserire mai informazioni riservate o sensibili, ad esempio gli indirizzi e-mail dei clienti, nei tag o nei campi di testo in formato libero, ad esempio nel campo Nome. Ciò include quando lavori con Amazon GameLift Streams o altro Servizi AWS utilizzando la console, l'API o gli SDK. AWS CLI AWS I dati inseriti nei tag o nei campi di testo in formato libero utilizzati per i nomi possono essere utilizzati per i la fatturazione o i log di diagnostica. Quando si fornisce un URL a un server esterno, suggeriamo vivamente di non includere informazioni sulle credenziali nell’URL per convalidare la richiesta al server.
Amazon GameLift Streams gestisce i dati specifici del servizio come segue:
-
Customer-supplied applicazioni: Amazon GameLift Streams archivia i dati dei clienti, se forniti, in bucket Amazon S3 interni gestiti da servizi e su unità di storage NVME collegate alle istanze Amazon EC2. Tutti i dati vengono archiviati con crittografia gestita dal servizio a riposo. Il cliente non ha accesso diretto a questa copia dei dati. Per eliminare un'applicazione, utilizza la console Amazon GameLift Streams o l'API del servizio.
-
Customer-supplied metadati: i clienti possono fornire metadati alle API di Amazon GameLift Streams, tra cui descrizioni, informazioni di connessione e identificatori opachi come gli ID dei clienti. Questi metadati sono sempre associati a risorse specifiche del cliente.
-
Customer-generated dati: se un'applicazione scrive nuovi dati come parte del suo normale funzionamento, questi dati generati dal cliente vengono conservati fino alla fine della sessione utente. Al termine della sessione, i dati generati possono essere facoltativamente esportati in una destinazione bucket Amazon S3 a scelta del cliente. Customer-generated altrimenti i dati non lasciano l'istanza Amazon EC2 in cui sono stati generati. Per ulteriori informazioni sulla gestione dei dati, consulta gli argomenti sull'isolamento Isolamento della sessione nelle classi di streaming Linux della sessione.
-
Metriche e dati sugli eventi: dati relativi alle metriche e agli eventi di Amazon GameLift Streams, a cui è possibile accedere tramite la console Amazon GameLift Streams o tramite chiamate all'API del servizio. I dati sono disponibili su applicazioni, gruppi di stream e sessioni di streaming. Gli utenti autorizzati possono accedere a questi dati anche tramite Amazon CloudWatch ed CloudWatch Events.
-
Credenziali di sessione: quando fornisci un ruolo IAM ARN attivo
StartStreamSession, Amazon GameLift Streams assume il ruolo e fornisce credenziali temporanee di breve durata all'applicazione. Amazon GameLift Streams archivia le credenziali solo in memoria sull'istanza di streaming per la durata della sessione. Amazon GameLift Streams non scrive mai le credenziali su disco, non le include mai nei log di servizio e non le restituisce mai nelle risposte API. Al termine della sessione, Amazon GameLift Streams cancella le credenziali dalla memoria. Amazon GameLift Streams memorizza solo l'ARN del ruolo (un identificatore di risorsa, non una credenziale) nei database di servizio, in base alle politiche di conservazione dei record di sessione esistenti. -
URL di streaming: un URL di streaming concede un accesso temporaneo e non autenticato all'avvio di una sessione di streaming. L'URL dello streaming incorpora un token al portatore, in modo che chiunque disponga dell'URL completo può avviare una sessione fino alla scadenza, alla revoca o al raggiungimento del limite di utilizzo. Amazon GameLift Streams non richiede all'utente finale di presentare le AWS credenziali quando attiva l'URL di uno stream. Considera l'URL completo dello stream come una credenziale: distribuiscilo solo su canali affidabili, assegnagli il limite di scadenza e utilizzo più breve possibile e revocalo quando non è più necessario. Per ulteriori informazioni, consultare Le migliori pratiche di sicurezza per Amazon Streams GameLift e Condividi le sessioni di streaming con gli URL di streaming.
Importante
Se fornisci ID cliente o altri identificatori ad Amazon GameLift Streams, è previsto che questi valori siano riferimenti resi anonimi e non contengano informazioni sensibili o personali. Amazon GameLift Streams non cancella alcun campo di metadati.
Per ulteriori informazioni sulla protezione dei dati, consulta il post del blog relativo al modello di responsabilità condivisa AWS
e GDPR
Crittografia dei dati a riposo
At-rest la crittografia dei GameLift Streams-specific dati Amazon viene gestita come segue:
-
Il contenuto delle applicazioni è archiviato in bucket Amazon S3 crittografati gestiti dal servizio e inoltre su unità NVME crittografate tramite hardware collegate a istanze Amazon EC2 gestite dal servizio.
Crittografia dei dati in transito
Le chiamate alle API di Amazon GameLift Streams vengono effettuate tramite una connessione sicura (SSL) e autenticate tramite Signature Version 4 (quando ci si connette tramite CLI o SDK, la AWS firma viene gestita automaticamente). AWS AWS Le entità chiamanti utilizzano credenziali di sicurezza, che vengono autenticate applicando le politiche di accesso IAM definite per le risorse Amazon Streams. GameLift
Nel contesto dei gruppi di streaming con più sedi, per eseguire lo streaming di un'applicazione da qualsiasi posizione del gruppo di stream a cui è stata allocata la capacità di streaming, Amazon GameLift Streams replica in modo sicuro le applicazioni in tali posizioni.
Allo stesso modo, Amazon GameLift Streams salva i dati di log e i file di sessione, quando richiesto, in bucket Amazon S3 denominati dal cliente alla fine di una sessione. Se il bucket non si trova nella stessa posizione della sessione, Amazon GameLift Streams trasferisce i file in modo sicuro nel luogo in cui si trova il bucket. Regione AWS
Quando le credenziali di sessione sono configurate, Amazon GameLift Streams recupera le credenziali da AWS STS tramite connessioni. TLS-encrypted L'applicazione riceve le credenziali in modo sicuro all'interno dell'ambiente isolato della sessione.
Protezione dei flussi degli utenti finali
Gli stream dei singoli utenti finali sono connessioni dirette tra il browser web dell'utente finale e gli host backend di Amazon Streams. GameLift Questi stream sono protetti con la crittografia WebRTC standard del settore ed entrambi gli endpoint dello stream sono identificati positivamente da identificatori crittografici che fanno parte e dai valori negoziati tramite le API delle sessioni di streaming. SignalRequest SignalResponse
I messaggi dei canali di dati sono inoltre coperti dalla crittografia WebRTC utilizzata per gli stream. Questi messaggi vengono decrittografati da Amazon GameLift Streams e trasmessi localmente sull'host all'applicazione del cliente tramite un'API non crittografata. Se è richiesta una crittografia end-to-end che nemmeno il servizio Amazon GameLift Streams è in grado di decrittografare, questo livello di crittografia aggiuntivo è responsabilità dello sviluppatore dell'applicazione.
Isolamento della sessione nelle classi di streaming Linux
Nelle classi di streaming Linux (runtime Ubuntu e Proton), Amazon GameLift Streams utilizza l'isolamento dei contenitori. Ogni sessione viene eseguita in un nuovo contenitore Linux che viene eliminato dopo l'uso. Ciò significa che ogni nuova sessione viene eseguita in un nuovo ambiente, isolato dagli altri utenti che condividono la risorsa di calcolo (se eseguita in una classe di flusso con risorse condivise). Non esistono dati delle sessioni precedenti all'avvio di una nuova sessione.
Isolamento della sessione nelle classi di streaming di Windows
Nelle classi di streaming Windows (runtime di Microsoft Windows Server), Amazon GameLift Streams utilizza l'isolamento del software. Il servizio si basa su un agente software per ripristinare lo stato critico del sistema tra una sessione e l'altra. Alcune cartelle vengono conservate in più sessioni per consentire l'ottimizzazione delle prestazioni, come la memorizzazione nella cache del disco sull'host. L'agente software rimuove automaticamente tutti i file generati nella directory del profilo dell'utente durante la precedente sessione di streaming. Tuttavia, l'agente non rimuove alcun file esistente prima dell'esecuzione dell'applicazione e modificato durante l'esecuzione dell'applicazione. Né rimuove le chiavi di registro di Windows aggiunte dall'applicazione. È necessario evitare di danneggiare l'integrità dell'intero sistema operativo. Le applicazioni vengono eseguite come utente amministratore, il che può consentire la modifica di file critici a livello di sistema, comprese le modifiche che persistono in più sessioni. È responsabilità dell'utente proteggere le applicazioni ed evitare la creazione di modifiche non sicure o instabili al sistema operativo.
L'utente è responsabile della pulizia dei file modificati e delle chiavi di registro aggiunte dalle sessioni precedenti all'avvio dell'applicazione. Si tratta di un passaggio importante per proteggere le informazioni riservate o sensibili che l'applicazione scrive nella directory del profilo dell'utente. A tale scopo, è possibile scrivere uno script personalizzato che esegua le seguenti azioni:
-
Ripristina tutti i file all'esterno della
%USERPROFILE%directory che sono stati modificati dall'applicazione. -
Pulisci tutte le chiavi di registro sensibili o specifiche dell'utente aggiunte dall'applicazione.
Gestione delle chiavi crittografiche
Il servizio utilizza chiavi AWS gestite per la crittografia. Ogni regione utilizza una chiave KMS separata. Le chiavi gestite dal cliente non sono supportate.
I file delle applicazioni forniti ad Amazon GameLift Streams non possono essere ripubblicati o esportati dal servizio. Puoi utilizzare la console di servizio o le API per eliminare le applicazioni. Le unità che in precedenza contenevano questi file applicativi possono essere completamente eliminate eliminando i gruppi di stream associati.
Inter-network privacy del traffico
Amazon GameLift Streams utilizza reti pubbliche per ospitare sessioni di streaming. Ogni gruppo di stream è costituito da una o più reti VPC gestite da servizi isolate da altri gruppi di stream e da altri clienti. Le connessioni di rete in ingresso vengono negate ad eccezione delle connessioni stream WebRTC autenticate e gestite da servizi. Le tue applicazioni possono connettersi da questi VPC ad altri indirizzi pubblici senza restrizioni.
Per impostazione predefinita, i dati dell'applicazione non sono accessibili al pubblico. Le chiamate all'API AWS di gestione richiedono credenziali autenticate e puoi integrare Amazon GameLift Streams nell'applicazione web del tuo client che effettua chiamate autenticate per avviare e visualizzare uno stream.
Amazon GameLift Streams fornisce anche gli URL di streaming, un meccanismo deliberato per concedere un accesso temporaneo e non autenticato all'avvio di una sessione di streaming. Quando crei un URL di streaming, consenti intenzionalmente a chiunque disponga dell'URL di streaming di avviare una sessione in un browser Web supportato, senza AWS credenziali e senza creare un client personalizzato. Poiché l'URL dello stream stesso è la credenziale, considera ogni URL dello stream come una credenziale al portatore e controllane la distribuzione, la scadenza e il limite di utilizzo di conseguenza. Gli URL di streaming sono l'unico modo supportato per rendere uno stream raggiungibile pubblicamente senza il tuo client autenticato; tutte le altre interazioni con i servizi continuano a richiedere chiamate API autenticate. AWS Per ulteriori informazioni, consultare Condividi le sessioni di streaming con gli URL di streaming e Le migliori pratiche di sicurezza per Amazon Streams GameLift.
