本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# Amazon DevOps Guru 中的資料保護
AWS [共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)適用於 Amazon DevOps Guru 中的資料保護。如此模型所述， AWS 負責保護執行所有 的全域基礎設施 AWS 雲端。您負責維護在此基礎設施上託管內容的控制權。您也同時負責所使用 AWS 服務 的安全組態和管理任務。如需資料隱私權的詳細資訊，請參閱[資料隱私權常見問答集](https://aws.amazon.com/compliance/data-privacy-faq/)。如需有關歐洲資料保護的相關資訊，請參閱*AWS 安全性部落格*上的[AWS 共同責任模型和 GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 部落格文章。
基於資料保護目的，我們建議您保護 AWS 帳戶 登入資料，並使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 設定個別使用者。如此一來，每個使用者都只會獲得授與完成其任務所必須的許可。我們也建議您採用下列方式保護資料：
+ 每個帳戶均要使用多重要素驗證 (MFA)。
+ 使用 SSL/TLS 與 AWS 資源通訊。我們需要 TLS 1.2 並建議使用 TLS 1.3。
+ 使用 設定 API 和使用者活動記錄 AWS CloudTrail。如需有關使用 CloudTrail 追蹤擷取 AWS 活動的資訊，請參閱*AWS CloudTrail 《 使用者指南*》中的[使用 CloudTrail 追蹤](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。
+ 使用 AWS 加密解決方案，以及其中的所有預設安全控制 AWS 服務。
+ 使用進階的受管安全服務 (例如 Amazon Macie)，協助探索和保護儲存在 Amazon S3 的敏感資料。
+ 如果您在 AWS 透過命令列界面或 API 存取 時需要 FIPS 140-3 驗證的密碼編譯模組，請使用 FIPS 端點。如需有關 FIPS 和 FIPS 端點的更多相關資訊，請參閱[聯邦資訊處理標準 (FIPS) 140-3](https://aws.amazon.com/compliance/fips/)。
我們強烈建議您絕對不要將客戶的電子郵件地址等機密或敏感資訊，放在標籤或自由格式的文字欄位中，例如**名稱**欄位。這包括當您使用 DevOps Guru 或使用主控台、API AWS CLI或 AWS SDKs的其他 AWS 服務 時。您在標籤或自由格式文字欄位中輸入的任何資料都可能用於計費或診斷日誌。如果您提供外部伺服器的 URL，我們強烈建議請勿在驗證您對該伺服器請求的 URL 中包含憑證資訊。
## DevOps Guru 中的資料加密
加密是 DevOps Guru 安全性的重要部分。有些加密，例如傳輸中的資料，是預設提供的，不需要您執行任何動作。其他加密，例如靜態資料，您可以在建立專案或建置時設定 。
+ **資料傳輸中加密**：客戶與 DevOps Guru 之間，以及 DevOps Guru 與其下游相依性之間的所有通訊都會使用 TLS 進行保護，並使用 Signature 第 4 版簽署程序進行驗證。所有 DevOps Guru 端點都使用 管理的憑證 AWS 私有憑證授權單位。如需詳細資訊，請參閱[簽章版本 4 簽署程序](https://docs.aws.amazon.com/general/latest/gr/signature-version-4.html)和[什麼是 ACM PCA](https://docs.aws.amazon.com/privateca/latest/userguide/)。
+ **靜態資料加密**：對於 DevOps Guru 分析的所有 AWS 資源，Amazon CloudWatch 指標和資料、資源 IDs 和 AWS CloudTrail 事件會使用 Amazon S3、Amazon DynamoDB 和 Amazon Kinesis 儲存。如果使用 CloudFormation 堆疊來定義分析的資源，則也會收集堆疊資料。DevOps Guru 使用 Amazon S3、DynamoDB 和 Kinesis 的資料保留政策。存放在 Kinesis 中的資料最多可保留一年，並取決於政策集。存放在 Amazon S3 和 DynamoDB 中的資料會儲存一年。
儲存的資料會使用 Amazon S3、DynamoDB 和 Kinesis 的data-at-rest加密功能進行加密。
**客戶受管金鑰**：DevOps Guru 支援加密客戶內容和敏感中繼資料，例如使用客戶受管金鑰從 CloudWatch Logs 產生的日誌異常。此功能可讓您選擇新增自我管理的安全層，以協助您符合組織的合規和法規要求。如需在 DevOps Guru 設定中啟用客戶受管金鑰的資訊，請參閱 [在 DevOps Guru 中更新加密設定](update-settings.md#update-encryption)。
您可以完全控制此層加密，因此能執行以下任務：
+ 建立和維護金鑰政策
+ 建立和維護 IAM 政策和授予操作
+ 啟用和停用金鑰政策
+ 輪換金鑰密碼編譯資料
+ 新增 標籤
+ 建立金鑰別名
+ 安排金鑰供刪除
如需詳細資訊，請參閱《 AWS Key Management Service 開發人員指南》中的[客戶受管金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#customer-cmk)。
**注意**
DevOps Guru 會使用 AWS 擁有的金鑰自動啟用靜態加密，以免費保護敏感中繼資料。不過，使用客戶受管金鑰會產生 AWS KMS 費用。如需定價的詳細資訊，請參閱 AWS Key Management Service 定價。
## DevOps Guru 如何在 中使用授予 AWS KMS
DevOps Guru 需要授予才能使用客戶受管金鑰。
當您選擇使用客戶受管金鑰啟用加密時，DevOps Guru 會透過傳送 CreateGrant 請求至 來代表您建立授權 AWS KMS。中的授予 AWS KMS 用於授予 DevOps Guru 存取客戶帳戶中的 AWS KMS 金鑰。
DevOps Guru 需要授予 ，才能將客戶受管金鑰用於下列內部操作：
+ 傳送 DescribeKey 請求至 AWS KMS ，以驗證在建立追蹤器或地理圍欄集合時輸入的對稱客戶受管 KMS 金鑰 ID 是否有效。
+ 將 GenerateDataKey 請求傳送至 AWS KMS ，以產生由客戶受管金鑰加密的資料金鑰。
+ 將 Decrypt 請求傳送至 AWS KMS 以解密加密的資料金鑰，以便用來加密您的資料。
您可以隨時撤銷授予的存取權，或移除服務對客戶受管金鑰的存取權。如果您這麼做，DevOps Guru 將無法存取客戶受管金鑰加密的任何資料，這會影響依賴該資料的操作。例如，如果您嘗試取得 DevOps Guru 無法存取的加密日誌異常資訊，則操作會傳回 AccessDeniedException 錯誤。
## 在 DevOps Guru 中監控您的加密金鑰
當您搭配 DevOps Guru 資源使用 AWS KMS 客戶受管金鑰時，您可以使用 AWS CloudTrail 或 CloudWatch Logs 來追蹤 DevOps Guru 傳送的請求 AWS KMS。
## 建立客戶自管金鑰
您可以使用 AWS 管理主控台 或 AWS KMS APIs 來建立對稱客戶受管金鑰。
若要建立對稱客戶受管金鑰，請參閱[建立對稱加密 KMS 金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html#create-symmetric-cmk)。
### 金鑰政策
金鑰政策會控制客戶受管金鑰的存取權限。每個客戶受管金鑰都必須只有一個金鑰政策，其中包含決定誰可以使用金鑰及其使用方式的陳述式。在建立客戶受管金鑰時，可以指定金鑰政策。如需詳細資訊，請參閱《 AWS Key Management Service 開發人員指南》中的 [的身分驗證和存取控制 AWS KMS](https://docs.aws.amazon.com/kms/latest/developerguide/control-access.html)。
若要將客戶受管金鑰與 DevOps Guru 資源搭配使用，必須在金鑰政策中允許下列 API 操作：
+ `kms:CreateGrant`：新增客戶受管金鑰的授權。授予控制對指定 AWS KMS 金鑰的存取，以允許存取授予 DevOps Guru 所需的操作。如需使用授予的詳細資訊，請參閱 AWS Key Management Service 開發人員指南。
這可讓 DevOps Guru 執行下列動作：
+ 呼叫 GenerateDataKey 以產生加密的資料金鑰並將其存放，因為不會立即使用資料金鑰進行加密。
+ 呼叫 Decrypt 以使用儲存的加密資料金鑰來存取加密的資料。
+ 設定淘汰委託人，以允許向 RetireGrant 提供服務。
+ 使用 kms:DescribeKey 提供客戶受管金鑰詳細資訊，以允許 DevOps Guru 驗證金鑰。
下列陳述式包含您可以為 DevOps Guru 新增的政策陳述式範例：
```
"Statement" : [
{
"Sid" : "Allow access to principals authorized to use DevOps Guru",
"Effect" : "Allow",
"Principal" : {
"AWS" : "*"
},
"Action" : [
"kms:DescribeKey",
"kms:CreateGrant"
],
"Resource" : "*",
"Condition" : {
"StringEquals" : {
"kms:ViaService" : "devops-guru.Region.amazonaws.com",
"kms:CallerAccount" : "111122223333"
}
},
{
"Sid": "Allow access for key administrators",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::111122223333:root"
},
"Action" : [
"kms:*"
],
"Resource": "arn:aws:kms:region:111122223333:key/key_ID"
},
{
"Sid" : "Allow read-only access to key metadata to the account",
"Effect" : "Allow",
"Principal" : {
"AWS" : "arn:aws:iam::111122223333:root"
},
"Action" : [
"kms:Describe*",
"kms:Get*",
"kms:List*"
],
"Resource" : "*"
}
]
```
## 流量隱私權
您可以將 DevOps Guru 設定為使用介面 VPC 端點，以改善資源分析和洞見產生的安全性。若要執行此動作，您不需要網際網路閘道、NAT 裝置或虛擬私有閘道。您也不需要設定 PrivateLink，不過這是建議的行為。如需詳細資訊，請參閱[DevOps Guru 和介面 VPC 端點 (AWS PrivateLink)](vpc-interface-endpoints.md)。如需 PrivateLink 和 VPC 端點的詳細資訊，請參閱 [AWS PrivateLink](https://aws.amazon.com/privatelink/)和[透過 PrivateLink 存取 AWS 服務](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Introduction.html#what-is-privatelink)。