翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。 # 許可リストの設定オプションと要件 Amazon Macie では、Amazon Simple Storage Service (Amazon S3) オブジェクトに機密データがあるか検査するときに無視すべきテキストまたはテキストパターンを、許可リストを使用して指定できます。Macie には、定義済みのテキストと正規表現の 2 タイプの許可リストのオプションが用意されています。定義済みテキストのリストは、機密性があると見なさない特定の単語、フレーズ、その他のタイプの文字列を無視させたい場合に役立ちます。例としては、組織の公的担当者の名前、特定の電話番号、組織がテストに使用する特定のサンプルデータなどがあります。Macie は、マネージドデータ識別子またはカスタムデータ識別子の基準に一致し、許可リストのエントリとも一致するテキストを見つけた場合、機密データ検出結果、統計、その他のタイプの結果にそのテキストが存在することを報告しません。正規表現 (*regex*) は、共通のパターンに準拠させつつ、変更する、または変更される可能性が高いテキストを Macie に無視するようにしたい場合に役立ちます。regex は、無視するテキストパターンを指定します。例としては、組織の公開電話番号、組織のドメインのメールアドレス、組織がテストに使用するパターン化されたサンプルデータなどがあります。Macie は、マネージドデータ識別子またはカスタムデータ識別子の基準に一致し、許可リストの regex パターンとも一致するテキストを見つけた場合、機密データ検出結果、統計、その他のタイプの結果にそのテキストが存在することを報告しません。アジアパシフィック (大阪) リージョンを除く AWS リージョン Macie が現在利用可能なすべてので、両方のタイプの許可リストを作成して使用できます。許可リストを作成および管理する際には、次のオプションと要件を念頭に置いてください。また、郵送先住所のリストエントリと regex パターンはサポートされていないことにも注意してください。 **Contents** + [定義済みテキストのリストのオプションと要件](#allow-lists-options-s3list) + [構文要件](#allow-lists-options-s3list-syntax) + [ストレージの要件](#allow-lists-options-s3list-storage) + [暗号化/復号化の要件](#allow-lists-options-s3list-encryption) + [設計上の考慮事項と推奨事項](#allow-lists-options-s3list-notes) + [正規表現のオプションと要件](#allow-lists-options-regex) + [構文サポートと推奨事項](#allow-lists-options-regex-syntax) + [例](#allow-lists-options-regex-examples) ## 定義済みテキストのリストのオプションと要件このタイプの許可リストでは、無視する特定の文字シーケンスを列挙した行区切りのプレーンテキストファイルを用意します。このタイプのリストには、通常、機密性が低く、変更される可能性が低く、必ずしも共通のパターンに従っているとは限らない特定の単語、フレーズ、その他の種類の文字列が含まれています。このタイプのリストを使用する場合、Amazon Macie はリスト内のエントリと完全に一致するテキストの出現を報告しません。Macie は、各リストエントリを文字列リテラル値として扱います。このタイプの許可リストを使用するには、まずテキストエディターでリストを作成し、プレーンテキストファイルとして保存します。次に、リストを S3 汎用バケットにアップロードします。また、バケットとオブジェクトのストレージと暗号化の設定によって Macie がリストを取得および復号化できることを確認します。次に、Macie で[リストを作成して設定を行います](allow-lists-create.md)。 Macie で設定を設定したら、アカウントまたは組織の代表的な小さなデータセットを使用して許可リストをテストすることをお勧めします。リストをテストするには、[1 回限りのジョブを作成します](discovery-jobs-create.md)。データ分析に通常使用するマネージドデータ識別子とカスタムデータ識別子に加えて、リストを使用するようにジョブを設定します。その後、ジョブの結果 (機密データの検出結果、機密データの検出結果、あるいはその両方) を確認できます。ジョブの結果が予想と異なる場合は、期待どおりの結果になるまでリストを変更してテストできます。許可リストの設定とテストが完了したら、そのリストを使用する追加のジョブを作成・設定したり、アカウントの機密データ自動検出の設定に追加したりできます。これらのジョブの実行が開始されるか、次の自動検出分析サイクルが開始されると、Macie は Amazon S3 から最新バージョンのリストを取得し、一時メモリに保存します。その後、Macie は S3 オブジェクトに機密データがないか検査するときに、リストの一時的なコピーを使用します。ジョブの実行が終了するか、分析サイクルが完了すると、Macie はリストのコピーをメモリから完全に削除します。このリストは Macie では保持されません。Macie ではリストの設定のみが保持されます。 **重要** Macie では定義済みのテキストのリストは保持されないため、[許可リストのステータスを定期的に確認する](allow-lists-status-check.md)ことが重要です。ジョブまたは自動検出で使用するように設定したリストを Macie が取得または解析できない場合、Macie はそのリストを使用しません。これにより、リストに指定したテキストの機密データが見つかるなど、予期しない検出結果が生じる可能性があります。 **Topics** + [構文要件](#allow-lists-options-s3list-syntax) + [ストレージの要件](#allow-lists-options-s3list-storage) + [暗号化/復号化の要件](#allow-lists-options-s3list-encryption) + [設計上の考慮事項と推奨事項](#allow-lists-options-s3list-notes) ### 構文要件このタイプの許可リストを作成するときは、リストのファイルに関する次の要件に注意してください。 + リストは、.txt、.text、.plain ファイルなどのプレーンテキスト `text/plain` ファイルとして保存する必要があります。 + リストでは、個々のエントリを改行して区切る必要があります。例えば、次のようになります。 ``` Akua Mansa John Doe Martha Rivera 425-555-0100 425-555-0101 425-555-0102 ``` Macie は各行をリスト内の 1 つの個別のエントリとして扱います。ファイルには読みやすくするために空白行を含めることもできます。Macie はファイルを解析する際に空白行をスキップします。 + 各エントリには、1～90 の UTF-8 文字を含めることができます。 + テキストの完全一致が無視されるようにするためには、各エントリが完全である必要があります。Macie はエントリのワイルドカード文字または部分的な値の使用をサポートしていません。Macie は、各エントリを文字列リテラル値として扱います。一致では大文字と小文字は区別されません。 + このファイルには 1～100,000 個のエントリを含めることができます。 + 添付されたファイルの合計サイズが 35 MB を超えることはできません。 ### ストレージの要件 Amazon S3 で許可リストを追加および管理するときは、以下のストレージ要件と推奨事項に注意してください。 + **リージョンサポート** – 許可リストは、Macie アカウント AWS リージョンと同じにあるバケットに保存する必要があります。Macie は、許可リストが別のリージョンに保存されている場合、その許可リストにアクセスできません。 + **バケットの所有権** – 許可リストは、が所有するバケットに保存する必要があります AWS アカウント。他のアカウントに同じ許可リストを使用させたい場合は、Amazon S3 レプリケーションルールを作成して、それらのアカウントが所有するバケットにリストを複製することを検討してください。S3オブジェクトのレプリケーションについては、Amazon Simple Storage Service ユーザーガイドの[オブジェクトのレプリケート](https://docs.aws.amazon.com/AmazonS3/latest/userguide/replication.html)を参照してください。さらに、 AWS Identity and Access Management (IAM) ID には、リストを保存するバケットとオブジェクトへの読み取りアクセス権が必要です。そうしないと、Macie を使用してリストの設定を作成または更新したり、リストのステータスを確認したりできなくなります。 + **ストレージタイプとクラス** – 許可リストは、ディレクトリバケットではなく、汎用バケットに保存する必要があります。また、Reduced Redundancy (RRS)、S3 Glacier Instant Retrieval、S3 Intelligent-Tiering、S3 One Zone-IA、S3 Standard、または S3 Standard-IA のいずれかのストレージクラスを使用して保存する必要があります。 + **バケットポリシー** — 制限付きバケットポリシーを持つバケットに許可リストを格納する場合、そのポリシーが、Macie がリストの取得を許可していることを確認してください。これを行うには、Macie のサービスにリンクされたロールの条件をバケットポリシーに追加できます。詳細については、[Macie が S3 バケットおよびオブジェクトにアクセスすることを許可する](monitoring-restrictive-s3-buckets.md)を参照してください。また、ポリシーが、IAM アイデンティティがバケットへの読み取りアクセス権を持つことを許可していることを確認してください。そうしないと、Macie を使用してリストの設定を作成または更新したり、リストのステータスを確認したりできなくなります。 + **オブジェクトパス** — Amazon S3 に複数の許可リストを保存する場合、各リストのオブジェクトパスは一意である必要があります。つまり、各許可リストはそれぞれ独自の S3 オブジェクトに個別に保存する必要があります。 + **バージョニング** - バケットに許可リストを追加するときは、バケットのバージョニングも有効にすることをお勧めします。その後、日付と時刻の値を使用して、リストのバージョンと、そのリストを使用する機密データ検出ジョブの結果や機密データ自動検出サイクルの結果を関連付けることができます。これは、実施するデータプライバシーと保護の監査または調査に役立ちます。 + **オブジェクトロック** — 許可リストが一定期間または無期限に削除または上書きされないようにするには、リストを保存するバケットのオブジェクトロックを有効にします。この設定を有効にしても Macie がリストにアクセスできなくなるわけではありません。この設定の詳細については、*Amazon Simple Storage Service ユーザーガイド*の[「オブジェクトロックによるオブジェクトのロック](https://docs.aws.amazon.com/AmazonS3/latest/userguide/object-lock.html)」を参照してください。 ### 暗号化/復号化の要件 Amazon S3 で許可リストを暗号化する場合、通常、[Macie のサービスにリンクされたロール](service-linked-roles.md)のアクセス許可ポリシーは、リストの復号化に必要なアクセス許可をMacie に付与します。ただし、これは使用された暗号化のタイプによって異なります。 + Amazon S3 マネージドキー (SSE-S3) を使用したサーバー側の暗号化によりリストが暗号化されている場合、Macie はリストを復号化できます。Macie アカウントのサービスにリンクされたロールは、Macie に必要なアクセス許可を付与します。 + AWS マネージド AWS KMS key (DSSE-KMS または SSE-KMS) によるサーバー側の暗号化を使用してリストが暗号化されている場合、Macie はリストを復号できます。Macie アカウントのサービスにリンクされたロールは、Macie に必要なアクセス許可を付与します。 + カスタマーマネージド AWS KMS key (DSSE-KMS または SSE-KMS) を用いたサーバー側の暗号化を使用してリストが暗号化されている場合、Macie によるキーの使用が許可されている場合にのみ、Macie はリストを復号化できます。これを行う方法については、「[Macie にカスタマーマネージドの使用を許可する AWS KMS key](discovery-supported-encryption-types.md#discovery-supported-encryption-cmk-configuration)」を参照してください。 **注記** リストは、外部キーストア AWS KMS key でカスタマーマネージド型で暗号化できます。ただし、そのキーは、完全に AWS KMS内で管理されるキーよりも遅く、信頼性が低くなる可能性があります。レイテンシーや可用性の問題により Macie がリストを復号化できない場合、Macie は S3 オブジェクトの分析にリストを使用しません。これにより、リストに指定したテキストの機密データが見つかるなど、予期しない検出結果が生じる可能性があります。このリスクを軽減するには、そのキーを S3 バケットキーとして使用するように設定された S3 バケットにリストを保存することを検討してください。外部キーストアで KMS キーを使用する方法については、AWS Key Management Service デベロッパーガイドの[外部キーストア](https://docs.aws.amazon.com/kms/latest/developerguide/keystore-external.html)を参照してください。S3 バケットキー使用の詳細については、Amazon Simple Storage Service ユーザーガイドの、[Amazon S3 バケットキーを使用した SSE-KMS のコストの削減](https://docs.aws.amazon.com/AmazonS3/latest/userguide/bucket-key.html)を参照してください。 + 顧客提供キーを使用したサーバー側の暗号化 (SSE-C)、またはクライアント側の暗号化を使用してリストが暗号化されている場合、Macie はリストを復号化できません。代わりに、SSE-S3、DSSE-KMS、または SSE-KMS 暗号化を使用することを検討してください。リストが AWS マネージド KMS キーまたはカスタマーマネージド KMS キーで暗号化されている場合、 AWS Identity and Access Management (IAM) ID にもキーの使用を許可する必要があります。そうしないと、Macie を使用してリストの設定を作成または更新したり、リストのステータスを確認したりできなくなります。KMS キーのアクセス許可を確認または変更する方法については、AWS Key Management Service デベロッパーガイドの[キーポリシー AWS KMS](https://docs.aws.amazon.com/kms/latest/developerguide/key-policies.html)を参照してください。 Amazon S3 データの暗号化オプションの詳細については、「*Amazon Simple Storage Service ユーザーガイド*」の「[暗号化を使用したデータの保護](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingEncryption.html)」を参照してください。 ### 設計上の考慮事項と推奨事項一般的に、Macieは許可リストの各エントリーを文字列リテラル値として扱います。つまり、Macie は許可リストのエントリ全体と完全に一致するテキストの出現をすべて無視します。一致では大文字と小文字は区別されません。ただし、Macie はそれらのエントリをより大規模なデータ抽出および分析フレームワークの一部として使用します。このフレームワークには、文法や構文のバリエーション、そして多くの場合はキーワードの近接性などの次元を考慮に入れる機械学習とパターンマッチング機能が含まれています。このフレームワークは、S3 オブジェクトのファイルタイプまたはストレージ形式も考慮します。そのため、許可リストにエントリを追加して管理する際には、次の考慮事項と推奨事項に留意してください。 **さまざまなファイルタイプや保存形式に備える** Adobe Portable Document Format (.pdf) ファイル内のテキストなどの非構造化データでは、Macie は許可リストのエントリ全体と完全に一致するテキスト (複数行またはページにまたがるテキストを含む) を無視します。 CSV ファイルの列データや JSON ファイルのレコードベースのデータなどの構造化データでは、すべてのテキストが 1 つのフィールド、セル、または配列に格納されている場合、Macie は許可リストのエントリ全体と完全に一致するテキストを無視します。この要件は、.pdf ファイル内のテーブルなど、非構造であるファイルに格納されている構造化データには適用されません。例えば、CSV ファイル内の次の内容を考えてください。 ``` Name,Account ID Akua Mansa,111111111111 John Doe,222222222222 ``` `Akua Mansa` と `John Doe` が許可リストに登録されている場合、Macie は CSV ファイル内のそれらの名前を無視します。各リストエントリの全テキストは 1 つの `Name` フィールドに保存されます。逆に、以下の列とフィールドを含む CSV ファイルを考えてみましょう。 ``` First Name,Last Name,Account ID Akua,Mansa,111111111111 John,Doe,222222222222 ``` `Akua Mansa` と `John Doe` が許可リストに登録されている場合、Macie は CSV ファイル内のそれらの名前を無視しません。CSV ファイルのどのフィールドにも、許可リストのエントリの全テキストは含まれていません。 **一般的なバリエーションを含める** 数値データ、固有名詞、用語、および英数字の文字列の一般的なバリエーションのエントリを追加します。たとえば、単語間にスペースが 1 つしかない名前やフレーズを追加する場合は、単語の間にスペースを 2 つ含むバリエーションも追加します。同様に、特殊文字を含む単語と含まない単語やフレーズを追加し、一般的な構文や意味のバリエーションを含めることを検討してください。たとえば、米国の電話番号425-555-0100の場合は、次のエントリを許可リストに追加するとよいでしょう。 ``` 425-555-0100 425.555.0100 (425) 555-0100 +1-425-555-0100 ``` 多国籍の文脈における日付2022 年 2 月 1 日には、特殊文字を含むバリエーションと含まないバリエーションを含む、英語とフランス語の一般的な構文バリエーションを含むエントリを追加します。 ``` February 1, 2022 1 février 2022 1 fevrier 2022 Feb 01, 2022 1 fév 2022 1 fev 2022 02/01/2022 01/02/2022 ``` 人物の名前には、機密ではないと思われるさまざまな形式の名前のエントリを含めてください。たとえば、名前の後に姓、姓の後に名前、名前と姓を 1 スペースで区切る、名前と姓を 2 つのスペースで区切る、ニックネームなどを含めます。たとえばMartha Riveraという名前には、次のように追加します。 ``` Martha Rivera Martha Rivera Rivera, Martha Rivera, Martha Rivera Martha Rivera Martha ``` 多くの部分を含む特定の名前のバリエーションを無視したい場合は、代わりに正規表現を使用する許可リストを作成します。たとえば、Dr. Martha Lyda Rivera, PhDという名前には、次の正規表現を使用します。`^(Dr. )?Martha\s(Lyda|L\.)?\s?Rivera,?( PhD)?$` ## 正規表現のオプションと要件このタイプの許可リストの場合、無視するテキストパターンを定義する正規表現 (*regex*) を指定します。例えば、組織の公開電話番号、組織のドメインのメールアドレス、組織がテストに使用するパターン化されたサンプルデータなどを指定します。regex は、機密と見なされない特定のタイプのデータに共通のパターンを定義します。このタイプの許可リストを使用する場合、Amazon Macie は指定されたパターンに完全に一致するテキストの出現を報告しません。無視する定義済みのテキストを指定する許可リストとは異なり、正規表現と他のすべてのリスト設定を Macie に作成して保存します。このタイプの許可リストを作成または更新すると、リストを保存する前にサンプルデータを使用してリストの regex をテストできます。これは、複数のサンプルデータセットで行うことをお勧めします。あまりにも一般的な regex を作成すると、Macie は機密と見なされるテキストの出現を無視する可能性があります。regex が具体的すぎると、Macie は機密と見なされないテキストの出現を無視しない可能性があります。不正な形式または長時間実行される表現から保護するために、Macie はサンプルテキストのコレクションに対して正規表現 regex を自動的にコンパイルしてテストし、対処すべき問題を通知します。さらにテストを行うには、アカウントまたは組織の代表的な小さなデータセットを使用してリストの regex をテストすることもお勧めします。そのためには、[1 回限りのジョブを作成します](discovery-jobs-create.md)。データ分析に通常使用するマネージドデータ識別子とカスタムデータ識別子に加えて、リストを使用するようにジョブを設定します。その後、ジョブの結果 (機密データの検出結果、機密データの検出結果、あるいはその両方) を確認できます。ジョブの結果が予想と異なる場合は、期待どおりの結果になるまで regex を変更してテストできます。許可リストを設定してテストしたら、それを使用する追加のジョブを作成して設定したり、アカウントの機密データ自動検出の設定に追加したりできます。これらのジョブが実行されるか、Macie が自動検出を実行すると、Macie はリストの regex の最新バージョンを使用してデータを分析します。 **Topics** + [構文サポートと推奨事項](#allow-lists-options-regex-syntax) + [例](#allow-lists-options-regex-examples) ### 構文サポートと推奨事項許可リストでは、512 文字までの正規表現 (正規表現) を指定できます。Macie は、[Perl 互換正規表現 (PCRE) ライブラリ](https://www.pcre.org/)によって提供される正規表現パターン構文のサブセットをサポートしています。PCRE ライブラリによって提供される設定のうち、Macie は次のパターン要素をサポートしていません。 + バックリファレンス + キャプチャグループ + 条件付きパターン + 埋め込みコード + グローバルパターンフラグ (`/i`、`/m`、および `/x` など) + 再帰的なパターン + 正と負のルックビハインドおよびルックアヘッドのゼロ幅アサーション (`?=`、`?!`、`?<=`、および `? 以下の例は、いくつかの一般的なシナリオで有効な regex パターンを示しています。 **[E メールアドレス]** カスタムデータ識別子を使用してE メールアドレスを検出する場合、組織の電子メールアドレスなど、機密と見なされない電子メールアドレスは無視できます。特定のセカンドレベルドメインとトップレベルドメインのメールアドレスを無視するには、次のパターンを使用できます。 `[a-zA-Z0-9_.+\\-]+@{{example}}\.{{com}}` ここで、{{example}} は第 2 レベルドメインの名前で、{{com}} は最上位ドメインです。この場合、Macie は johndoe@example.com や john.doe@example.com などのアドレスを一致させ無視します。 .com や .gov などの汎用トップレベルドメイン (gTLD) の特定のドメインのメールアドレスを無視するには、次のパターンを使用できます。 `[a-zA-Z0-9_.+\\-]+@{{example}}\.[a-zA-Z]{2,}` ここで、{{example}} はドメインの名前です。この場合、Macie は johndoe@example.com や john.doe@example.com などのアドレスを一致させ無視します。カナダの .ca、オーストラリアの .au など、単一国コード最上位ドメイン (ccTLD) 内の特定のドメインのメールアドレスを無視するには、次のパターンを使用できます。 `[a-zA-Z0-9_.+\\-]+@{{example}}\.({{ca}}|{{au}})` ここで、{{example}} はドメインの名前で、{{ca}} および {{au}} は無視すべき特定のccTLDs です。この場合、Macie は johndoe@example.com や john.doe@example.com などのアドレスを一致させ無視します。特定のドメインと gTLD 用で、第 3 レベルと第 4 レベルのドメインを含むメールアドレスを無視するには、次のパターンを使用できます。 `[a-zA-Z0-9_.+\\-]+@([a-zA-Z0-9-]+\.)?[a-zA-Z0-9-]+\.{{example}}\.{{com}}` ここで、{{example}} はドメインの名前で、{{com}} はgTLD です。この場合、Macie は johndoe@example.com や john.doe@example.com などのアドレスを一致させ無視します。 **電話番号** Macie は、複数の国や地域の電話番号を検出できるマネージドデータ識別子を提供しています。組織の通話料無料番号や公開電話番号など、特定の電話番号を無視するには、次のようなパターンを使用できます。市外局番 800 を使用した、(800) \#\#\#-\#\#\#\# という形式の米国の通話料無料番号を無視するには: `^$?800$?[ -]?\d{3}[ -]?\d{4}$` 市外局番 888 を使用した、(888) \#\#\#-\#\#\#\# という形式の米国の通話料無料番号を無視するには: `^$?888$?[ -]?\d{3}[ -]?\d{4}$` 33 の国コードを含み、\+33 \#\# \#\# \#\# \#\# \#\#という形式の 10 桁のフランスの電話番号を無視するには: `^\+33 \d( \d\d){4}$` 特定の市外局番と交換コードを使用し、国コードが含まれず、(\#\#\#) \#\#\#-\#\#\#\#という形式の米国およびカナダの電話番号を無視するには: `^$?{{123}}$?[ -]?{{555}}[ -]?\d{4}$` {{123}} はエリアコード、{{555}} は交換コードです。特定の市外局番と交換コードを使用し、国コードが含まれ、\+1 (\#\#\#) \#\#-\#\#\#\#\# という形式の米国およびカナダの電話番号を無視するには: `^\+1$?{{123}}$?[ -]?{{555}}[ -]?\d{4}$` {{123}} はエリアコード、{{555}} は交換コードです。