データ暗号化
データ暗号化は、通常、保管時の暗号化と転送中の暗号化の 2 つのカテゴリに分類されます。
保管中の暗号化
Amazon Bedrock AgentCore Identity 内のデータは、業界標準に従って保管時に暗号化されます。
デフォルトでは、Amazon Bedrock AgentCore Identity は、トークンボールト内の顧客データを AWS 所有キーで暗号化します。代わりにカスタマーマネージドキーで情報を暗号化するようにトークンボールトを設定することもできます。
- AWS 所有キー
-
Amazon Bedrock AgentCore Identity は、トークンボールト内のデータを AWS 所有の KMS キーで暗号化します。このタイプのキーは KMS AWS に表示されません。
- カスタマーマネージドキー
-
Amazon Bedrock AgentCore Identity は、トークンボールト内のデータをカスタマーマネージドキーで暗号化します。カスタマーマネージドキーポリシー、ローテーション、およびスケジュールされた削除の管理は、お客様が所有します。
カスタマーマネージドキーによるトークンボールト暗号化について知っておくべきこと
-
トークンボールト (アクセストークン) のデータは、設定したカスタマーマネージドキーを使用して保管時に暗号化されます。トークンボールト ARN は EncryptionContext にキャプチャされます。
-
トークンボールト内のすべての顧客データは、暗号化設定を構成するアクションを実行しなくても、保管時に暗号化されます。
-
マルチリージョンキーまたは非対称キー を使用して保管中のトークンボールト暗号化を設定することはできません。Amazon Bedrock AgentCore Identity は、保管時のトークンボールト暗号化用の単一リージョン対称 KMS キーのみをサポートします。
-
トークンボールト暗号化は、エイリアスではなく KMS キー ARN でのみ設定できます。
-
AWS Secrets Manager を使用して、認証情報プロバイダーシークレットの CMK を設定できます。詳細はこちら。
次の手順では、トークンボールトに保管時の暗号化を設定します。Amazon Cognito などの AWS サービスへのアクセスを委任する KMS キーポリシーの詳細については、「キーポリシーの AWS サービスのアクセス許可」を参照してください。
