AWS データ転送ターミナルでのデータ保護

AWS データ転送ターミナルでのデータ保護には、AWS 責任共有モデルが適用されます。このモデルで説明されているように、「AWS」 は、「AWS クラウド」 のすべてを実行するグローバルインフラストラクチャを保護する責任があります。ユーザーは、このインフラストラクチャでホストされるコンテンツに対する管理を維持する責任があります。また、使用する「AWS のサービス」のセキュリティ設定と管理タスクもユーザーの責任となります。データプライバシーの詳細については、データプライバシーに関するよくある質問を参照してください。欧州でのデータ保護の詳細については、AWS セキュリティブログに投稿された AWS 責任共有モデルおよび GDPR のブログ記事を参照してください。

データを保護するため、「AWS アカウント」 認証情報を保護し、「AWS IAM Identity Center」 または 「AWS Identity and Access Management」 (IAM) を使用して個々のユーザーをセットアップすることをお勧めします。この方法により、それぞれのジョブを遂行するために必要な権限のみが各ユーザーに付与されます。また、次の方法でデータを保護することもお勧めします:

お客様の E メールアドレスなどの極秘または機密情報を、タグ、または [名前] フィールドなどの自由形式のテキストフィールドに含めないことを強くお勧めします。コンソール、API、AWS CLI、または AWS SDK サービスと転送ターミナル、または他の AWS のサービス サービスを併用する場合も同様です。タグ、または名前に使用される自由記述のテキストフィールドに入力したデータは、請求または診断ログに使用される場合があります。外部サーバーに URL を提供する場合、そのサーバーへのリクエストを検証できるように、認証情報を URL に含めないことを強くお勧めします。

データ暗号化

AWS データ転送ターミナルは、セルフマネージドストレージシステムと AWS ストレージサービス間でデータを安全に転送するための高速ネットワーク接続へのアクセスを提供します。転送中のストレージデータの暗号化方法は、デバイス上で有効になっているポリシーと、データが転送されるサービスによって異なります。データの管理と転送中の暗号化は、データ転送ターミナルを使用する個人の責任です。

保管中の暗号化

AWS データ転送ターミナルは、保管中のデータをすべて暗号化します。

データ転送ターミナルは、予約に必要なデータのみをキャプチャします。これには、予約に参加する個人および予約をスケジュールするために指定された個人の姓名や E メールアドレスが含まれます。このデータ収集の目的は、予約の詳細を確認し、データ転送を実行するために部屋へのアクセスを確保することです。このトランザクション情報は 35 日以上はバックアップされませんが、AWS アカウント情報は 10 年間保持されます。

転送中の暗号化

AWS データ転送ターミナルは、転送中のデータを暗号化しません。コンソールからデータ転送ターミナル API エンドポイントを操作し、転送チームのセットアップ、担当者の追加、予約のスケジュールを行う際は、データが転送中に暗号化されます。AWS 責任共有モデルの一環として、データ転送ターミナルを介して AWS のサービス への接続方法を選択できます。TLS 1.2 や 1.3 などの強力な転送中暗号化を使用して、AWS のサービス に接続することを強くお勧めします。

例えば、以下のバケットポリシーに示すように、Amazon S3 バケットポリシーの aws:SecureTransport 条件を使用して、HTTPS (TLS) 経由で暗号化された接続のみを使用します。

{
 "Version": "2012-10-17",
    "Statement": [{
        "Sid": "RestrictToTLSRequestsOnly",
        "Action": "s3:",
        "Effect": "Deny",
        "Resource": [
            "arn:aws:s3:::amzn-s3-demo-bucket",
            "arn:aws:s3:::amzn-s3-demo-bucket/"
        ],
        "Condition": {
            "Bool": {
                "aws:SecureTransport": "false"
            }
        },
        "Principal": "*"
    }]
}

Amazon S3 など、他の AWS のサービス を使用した転送中のデータ暗号化の詳細については、「Amazon S3 ユーザーガイド」の「サーバー側の暗号化によるデータの保護」を参照してください。

キー管理

AWS データ転送ターミナルは、カスタマーマネージドキーを直接サポートしていません。データ転送ターミナルを予約する際は、あなたが接続する AWS サービスで利用可能なカスタマーマネージドキーのサポートを使用してください。カスタマーマネージドキーの詳細と保管中のデータの暗号化方法については、「AWS Key Management Service デベロッパーガイド」の [AWS KMS キー] セクションを参照してください。

ネットワーク間トラフィックのプライバシー

データ転送ターミナルコンソールへのアクセスは、公開されたサービス API を通じて行います。データ転送ターミナルリソースは、仮想プライベートクラウド (VPC) とは独立しています。