AWS IoT Core でのデータ保護
AWS責任共有モデル
データを保護するため、「AWS アカウント」 認証情報を保護し、「AWS IAM Identity Center」 または 「AWS Identity and Access Management」 (IAM) を使用して個々のユーザーをセットアップすることをお勧めします。この方法により、それぞれのジョブを遂行するために必要な権限のみが各ユーザーに付与されます。また、次の方法でデータを保護することもお勧めします:
-
各アカウントで多要素認証 (MFA) を使用します。
-
SSL/TLS を使用して 「AWS」 リソースと通信します。TLS 1.2 が必須で、TLS 1.3 をお勧めします。
-
AWS CloudTrail で API とユーザーアクティビティロギングを設定します。CloudTrail 証跡を使用して AWS アクティビティをキャプチャする方法については、「AWS CloudTrail ユーザーガイド」の「CloudTrail 証跡の使用」を参照してください。
-
AWS のサービス 内のすべてのデフォルトセキュリティコントロールに加え、AWS 暗号化ソリューションを使用します。
-
Amazon Macie などの高度な管理されたセキュリティサービスを使用します。これらは、Amazon S3 に保存されている機密データの検出と保護を支援します。
-
コマンドラインインターフェイスまたは API を使用して 「AWS」 にアクセスする際に FIPS 140-3 検証済みの暗号化モジュールが必要な場合は、FIPS エンドポイントを使用します。利用可能な FIPS エンドポイントの詳細については、「連邦情報処理規格 (FIPS) 140-3
」を参照してください。
お客様の E メールアドレスなどの極秘または機密情報を、タグ、または [名前] フィールドなどの自由形式のテキストフィールドに含めないことを強くお勧めします。これは、コンソール、API、AWS CLI、または AWS SDK で AWS IoT または他の AWS のサービス を使用する場合も同様です。タグ、または名前に使用される自由形式のテキストフィールドに入力されるデータは、請求または診断ログに使用される場合があります。外部サーバーに URL を提供する場合、そのサーバーへのリクエストを検証できるように、認証情報を URL に含めないことを強くお勧めします。
データ保護の詳細についてはAWS 責任共有モデルと AWS セキュリティブログ GDPR の GDPR
AWS IoT デバイスはデータを収集し、そのデータに対して何らかの操作を行い、そのデータを別のウェブサービスに送信します。デバイスにデータを短期間保存することを選択することもできます。お客様は、保管中のデータに対するデータ保護を提供する責任があります。デバイスがデータを AWS IoT に送信すると、このセクションの後半で説明するように、TLS 接続を介してそのデータを送信します。AWS IoT デバイスは、任意の AWS のサービスにデータを送信できます。各サービスのデータセキュリティの詳細については、そのサービスのドキュメントを参照してください。AWS IoT は、CloudWatch Logs にログを書き込み、AWS IoT API 呼び出しのログを AWS CloudTrail に記録するように設定できます。これらのサービスのデータセキュリティの詳細については、Amazon CloudWatch の認証とアクセスコントロール、および AWS KMS で管理されたキーによる CloudTrail ログファイルの暗号化に関するページを参照してください。
AWS IoT でのデータの暗号化
デフォルトでは、転送中および保管中のすべての AWS IoT データが暗号化されます。転送中のデータは TLS を使用して暗号化され、保管中のデータは AWS 所有キーを使用して暗号化されます。AWS IoT では、AWS Key Management Service (AWS KMS) からのカスタマーマネージド AWS KMS keys (KMS キー) がサポートされています。ただし、Device Advisor と AWS IoT Wireless は、顧客データの暗号化にのみ AWS 所有のキーを使用します。
