AWS Certificate Manager でのデータ保護 - AWS Certificate Manager
証明書の秘密鍵のセキュリティ

AWS Certificate Manager でのデータ保護

AWS責任共有モデル は、AWS Certificate Manager でのデータ保護に適用されます。このモデルで説明されているように、AWS は、AWS クラウド のすべてを実行するグローバルインフラストラクチャを保護するがあります。ユーザーは、このインフラストラクチャでホストされるコンテンツに対する管理を維持する責任があります。また、使用する「AWS のサービス」のセキュリティ設定と管理タスクもユーザーの責任となります。データプライバシーの詳細については、データプライバシーに関するよくある質問を参照してください。欧州でのデータ保護の詳細については、AWS セキュリティブログに投稿された AWS 責任共有モデルおよび GDPR のブログ記事を参照してください。

データを保護するため、「AWS アカウント」 認証情報を保護し、「AWS IAM Identity Center」 または 「AWS Identity and Access Management」 (IAM) を使用して個々のユーザーをセットアップすることをお勧めします。この方法により、それぞれのジョブを遂行するために必要な権限のみが各ユーザーに付与されます。また、次の方法でデータを保護することもお勧めします:

  • 各アカウントで多要素認証 (MFA) を使用します。

  • SSL/TLS を使用して 「AWS」 リソースと通信します。TLS 1.2 が必須で、TLS 1.3 をお勧めします。

  • AWS CloudTrail で API とユーザーアクティビティロギングを設定します。CloudTrail 証跡を使用して AWS アクティビティをキャプチャする方法については、「AWS CloudTrail ユーザーガイド」の「CloudTrail 証跡の使用」を参照してください。

  • AWS のサービス 内のすべてのデフォルトセキュリティコントロールに加え、AWS 暗号化ソリューションを使用します。

  • Amazon Macie などの高度な管理されたセキュリティサービスを使用します。これらは、Amazon S3 に保存されている機密データの検出と保護を支援します。

  • コマンドラインインターフェイスまたは API を使用して 「AWS」 にアクセスする際に FIPS 140-3 検証済みの暗号化モジュールが必要な場合は、FIPS エンドポイントを使用します。利用可能な FIPS エンドポイントの詳細については、「連邦情報処理規格 (FIPS) 140-3」を参照してください。

お客様の E メールアドレスなどの極秘または機密情報を、タグ、または [名前] フィールドなどの自由形式のテキストフィールドに含めないことを強くお勧めします。これは、コンソール、API、AWS CLI、または AWS SDK で ACM または他の AWS のサービス を使用する場合も同様です。タグまたは名前に使用する自由記入欄に入力したデータは、課金や診断ログに使用される場合があります。外部サーバーに URL を提供する場合、そのサーバーへのリクエストを検証できるように、認証情報を URL に含めないことを強くお勧めします。

証明書の秘密鍵のセキュリティ

パブリック証明書をリクエストすると、AWS Certificate Manager (ACM) はパブリックキーとプライベートキーペアを生成します。インポートされた証明書の場合、キーペアが生成されます。パブリックキーは証明書の一部となります。 には証明書と対応するプライベートキーが保存され、 AWS Key Management Service (AWS KMS) を使用してプライベートキーを保護する役目を果たします。このプロセスの動作は次のようになります。

  1. AWS リージョンに初めて証明書をリクエストまたはインポートする場合、ACM は aws/acm エイリアスを用いたマネージド AWS KMS key を作成します。この KMS キーは、各 AWS アカウントおよび各 AWS リージョンごとに一意となります。

  2. ACM は、この KMS キーを使用して証明書のプライベートキーを暗号化します。ACM は暗号化されたバージョンのプライベートキーのみを保存します (ACM はプレーンテキスト形式でプライベートキーを保存しません)。ACM は、特定の AWS アカウントと特定の AWS リージョンのすべての証明書にプライベートキーを暗号化するために同じ KMS キーを使用します。

  3. 証明書を AWS Certificate Manager と統合されたサービスに関連付けると、ACM は証明書と暗号化されたプライベートキーをサービスに送信します。また、サービスが KMS キーを使用してその証明書のプライベートキーを復号化できるように、AWS KMS で許可が作成されます。許可の詳細については、「AWS Key Management Serviceデベロッパーガイドの許可の使用」を参照してください。ACM でサポートされているサービスの詳細については、「サービスと ACM の統合」を参照してください。

    注記

    自動的に作成された AWS KMS 許可。何らかの理由でこの許可を削除すると、統合サービスの ACM 機能は失われます。

  4. 統合サービスは、KMS キーを使用してプライベートキーを復号化します。続いて、サービスは、証明書と復号された (プレーンテキスト) プライベートキーを使用してクライアントと安全な通信チャネル (SSL/TLS セッション) を確立します。

  5. 証明書と統合サービスとの関連付けが解除されると、ステップ 3 で作成された許可は廃止されます。つまり、サービスは KMS キーを使用して証明書のプライベートキーを復号化できなくなります。