翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon GameLift Streams でのデータ保護

責任 AWS 共有モデル、Amazon GameLift Streams でのデータ保護に適用されます。このモデルで説明されているように、 AWS はすべての を実行するグローバルインフラストラクチャを保護する責任があります AWS クラウド。ユーザーは、このインフラストラクチャでホストされるコンテンツに対する管理を維持する責任があります。また、使用する「 AWS のサービス 」のセキュリティ設定と管理タスクもユーザーの責任となります。データプライバシーの詳細については、データプライバシーに関するよくある質問を参照してください。欧州でのデータ保護の詳細については、AWS セキュリティブログに投稿された AWS 責任共有モデルおよび GDPR のブログ記事を参照してください。

データ保護の目的で、認証情報を保護し AWS アカウント 、 AWS IAM Identity Center または AWS Identity and Access Management (IAM) を使用して個々のユーザーを設定することをお勧めします。この方法により、それぞれのジョブを遂行するために必要な権限のみが各ユーザーに付与されます。また、次の方法でデータを保護することもお勧めします:

お客様の E メールアドレスなどの極秘または機密情報を、タグ、または [名前] フィールドなどの自由形式のテキストフィールドに含めないことを強くお勧めします。これは、コンソール、API、 AWS CLIまたは SDK を使用して Amazon GameLift Streams または他の AWS のサービス を使用する場合も同様です。 AWS SDKs タグ、または名前に使用される自由記述のテキストフィールドに入力したデータは、請求または診断ログに使用される場合があります。外部サーバーに URL を提供する場合、そのサーバーへのリクエストを検証できるように、認証情報を URL に含めないことを強くお勧めします。

Amazon GameLift Streams は、サービス固有のデータを次のように処理します。

データ保護の詳細については、AWS セキュリティブログのブログ投稿「AWS の責任共有モデルと GDPR」を参照してください。

保管中の暗号化

Amazon GameLift Streams 固有のデータの保管時の暗号化は、次のように処理されます。

転送中の暗号化

Amazon GameLift Streams APIs への呼び出しは、安全な (SSL) 接続を介して行われ、AWS 署名バージョン 4 を使用して認証されます (CLI または AWS SDK AWS を介して接続すると、署名は自動的に処理されます）。呼び出しエンティティは、Amazon GameLift Streams リソースに定義されている IAM アクセスポリシーを適用して認証されるセキュリティ認証情報を使用します。

マルチロケーションストリームグループのコンテキストでは、ストリーミング容量が割り当てられたストリームグループ内の任意の場所からアプリケーションをストリーミングするために、Amazon GameLift Streams はそれらの場所にアプリケーションを安全にレプリケートします。

同様に、Amazon GameLift Streams は、リクエストに応じて、ログデータとセッションファイルを、セッションの終了時にお客様が名前を付けた Amazon S3 バケットに保存します。バケットがセッションと同じ場所にない場合、Amazon GameLift Streams はバケット AWS リージョン がある にファイルを安全に転送します。

エンドユーザーストリームの保護

個々のエンドユーザーストリームは、エンドユーザーのウェブブラウザと Amazon GameLift Streams バックエンドホスト間の直接接続です。これらのストリームは業界標準の WebRTC 暗号化で保護され、ストリームの両方のエンドポイントは、ストリームセッション API を介してネゴシエートされた SignalRequestおよび SignalResponse値の一部である暗号化識別子によって正に識別されます。 APIs

データチャネルメッセージは、ストリームに使用される WebRTC 暗号化によってもカバーされます。これらのメッセージは Amazon GameLift Streams によって復号され、暗号化されていない API を介してお客様のアプリケーションにon-the-hostローカルに渡されます。Amazon GameLift Streams サービスでも復号できないend-to-endの暗号化が必要な場合、この追加の暗号化レイヤーはアプリケーション開発者の責任となります。

Linux ストリームクラスのセッション分離

Linux ストリームクラス (Ubuntu および Proton ランタイム) では、Amazon GameLift Streams はコンテナ分離を使用します。すべてのセッションは新しい Linux コンテナで実行され、使用後に破棄されます。つまり、新しい各セッションは、コンピューティングリソースを共有する他のユーザーから分離された新しい環境で実行されます (共有リソースストリームクラスで実行されている場合）。新しいセッションの起動時に、以前のセッションのデータは存在しません。

Windows ストリームクラスのセッション分離

Windows ストリームクラス (Microsoft Windows Server ランタイム) では、Amazon GameLift Streams はソフトウェア分離を使用します。このサービスは、セッション間の重要なシステム状態をリセットするためにソフトウェアエージェントに依存しています。一部のフォルダは、ホスト上のディスクキャッシュなど、パフォーマンスの最適化を可能にするために複数のセッションにわたって保持されます。ソフトウェアエージェントは、前のストリームセッション中にユーザーのプロファイルディレクトリで生成されたファイルを自動的に削除します。ただし、エージェントは、アプリケーションの実行前に存在し、アプリケーションの実行中に変更されたファイルを削除しません。また、アプリケーションが追加した Windows レジストリキーも削除されません。お客様は、オペレーティングシステム全体の整合性を損なうことを避ける責任があることに注意してください。アプリケーションは管理者ユーザーとして実行され、複数のセッションにまたがる変更など、重要なシステムレベルのファイルへの変更を許可する場合があります。お客様のアプリケーションを保護し、安全でない、または不安定なオペレーティングシステムの変更を防ぐのはお客様の責任です。

お客様は、アプリケーションの起動時に、変更されたファイルと以前のセッションから追加されたレジストリキーをクリーンアップする責任があります。これは、アプリケーションがユーザーのプロファイルディレクトリに書き込む機密情報を保護するための重要なステップです。そのために、お客様は以下のアクションを実行する独自のカスタムスクリプトを作成できます。

暗号化キーの管理

サービスは AWSマネージド暗号化キーを使用します。各リージョンは個別の KMS キーを使用します。カスタマーマネージドキー (CMKsはサポートされていません。

Amazon GameLift Streams に提供されたアプリケーションファイルは、サービスから再発行またはエクスポートできません。お客様は、サービスコンソールまたは APIsを使用してアプリケーションを削除できます。以前にこれらのアプリケーションファイルを保持していたドライブは、関連付けられたストリームグループを削除することで完全に消去できます。

ネットワーク間トラフィックのプライバシー

Amazon GameLift Streams は、一般向けネットワークを使用してストリームセッションをホストします。各ストリームグループは、他のストリームグループや他の顧客から分離された 1 つ以上のサービスマネージド VPC ネットワークで構成されます。インバウンドネットワーク接続は、認証されたサービスブローカー WebRTC ストリーム接続を除いて拒否されます。お客様のアプリケーションは、制限なしにこれらの VPCsから他のパブリックアドレスに接続できます。

さらに、お客様がサービス API コールまたは設定のみを使用してストリームまたはそのアプリケーションデータをパブリックにアクセス可能にする方法はありません。すべてのサービスインタラクションは、認証された API AWSコールによってゲートされます。顧客がストリームをパブリックにアクセスできるようにする場合は、独自のクライアントウェブアプリケーションを作成する必要があります。これにより、ストリームを開始して表示するための認証された呼び出しが行われます。