• Das AWS Systems Manager CloudWatch Dashboard wird nach dem 30. April 2026 nicht mehr verfügbar sein. Kunden können die CloudWatch Amazon-Konsole weiterhin verwenden, um ihre CloudWatch Amazon-Dashboards anzuzeigen, zu erstellen und zu verwalten, so wie sie es heute tun. Weitere Informationen finden Sie in der Amazon CloudWatch Dashboard-Dokumentation.
Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Datenschutz in AWS Systems Manager
Datenschutz bezieht sich auf den Schutz von Daten während der Übertragung (auf dem Hin- und RückwegSystems Manager) und bei der Speicherung (während der Speicherung in AWS Rechenzentren).
Für den Datenschutz in AWS Systems Manager gilt das Modell der geteilten Verantwortung
Aus Datenschutzgründen empfehlen wir, Ihre AWS-Konto Anmeldeinformationen zu schützen und einzelne Benutzer mit AWS IAM Identity Center oder AWS Identity and Access Management (IAM) einzurichten. So erhält jeder Benutzer nur die Berechtigungen, die zum Durchführen seiner Aufgaben erforderlich sind. Außerdem empfehlen wir, die Daten mit folgenden Methoden schützen:
-
Verwenden Sie für jedes Konto die Multi-Faktor-Authentifizierung (MFA).
-
Wird verwendet SSL/TLS , um mit AWS Ressourcen zu kommunizieren. Wir benötigen TLS 1.2 und empfehlen TLS 1.3.
-
Richten Sie die API und die Protokollierung von Benutzeraktivitäten mit ein AWS CloudTrail. Informationen zur Verwendung von CloudTrail Pfaden zur Erfassung von AWS Aktivitäten findest du unter Arbeiten mit CloudTrail Pfaden im AWS CloudTrail Benutzerhandbuch.
-
Verwenden Sie AWS Verschlüsselungslösungen zusammen mit allen darin enthaltenen Standardsicherheitskontrollen AWS-Services.
-
Verwenden Sie erweiterte verwaltete Sicherheitsservices wie Amazon Macie, die dabei helfen, in Amazon S3 gespeicherte persönliche Daten zu erkennen und zu schützen.
-
Wenn Sie für den Zugriff AWS über eine Befehlszeilenschnittstelle oder eine API FIPS 140-3-validierte kryptografische Module benötigen, verwenden Sie einen FIPS-Endpunkt. Weitere Informationen über verfügbare FIPS-Endpunkte finden Sie unter Federal Information Processing Standard (FIPS) 140-3
.
Wir empfehlen dringend, in Freitextfeldern, z. B. im Feld Name, keine vertraulichen oder sensiblen Informationen wie die E-Mail-Adressen Ihrer Kunden einzugeben. Dies gilt auch, wenn Sie mit der Konsole, der API Systems Manager oder den SDKs arbeiten oder diese auf andere Weise AWS-Services verwenden. AWS CLI AWS Alle Daten, die Sie in Tags oder Freitextfelder eingeben, die für Namen verwendet werden, können für Abrechnungs- oder Diagnoseprotokolle verwendet werden. Wenn Sie eine URL für einen externen Server bereitstellen, empfehlen wir dringend, keine Anmeldeinformationen zur Validierung Ihrer Anforderung an den betreffenden Server in die URL einzuschließen.
Datenverschlüsselung
Verschlüsselung im Ruhezustand
Parameter Store Parameter
Die Parametertypen, die Sie inParameter Store, StringStringList, und SecureString erstellen können.
Alle Parameter, unabhängig von ihrem Typ, werden bei der Übertragung und im Ruhezustand verschlüsselt. Bei der Übertragung werden Parameter mithilfe von Transport Layer Security (TLS) verschlüsselt, um eine sichere HTTPS-Verbindung für API-Anfragen herzustellen. Im Ruhezustand werden sie mit einem AWS-eigener Schlüssel in AWS Key Management Service (AWS KMS) verschlüsselt. Weitere Informationen zur AWS-eigener Schlüssel Verschlüsselung finden Sie AWS-eigene Schlüssel im AWS Key Management Service Entwicklerhandbuch.
Der Typ SecureString bietet zusätzliche Verschlüsselungsoptionen und wird für alle sensiblen Daten empfohlen. Sie können aus den folgenden AWS KMS -Schlüsseltypen wählen, um den Wert eines SecureString-Parameters zu verschlüsseln und zu entschlüsseln:
-
Das Von AWS verwalteter Schlüssel für Ihr Konto
-
Ein kundenseitig verwalteter Schlüssel (CMK), den Sie in Ihrem Konto erstellt haben
-
Ein CMK in einem anderen AWS-Konto , der mit Ihnen geteilt wurde
Weitere Informationen zur AWS KMS Verschlüsselung finden Sie im AWS Key Management Service Entwicklerhandbuch.
Inhalt in S3-Buckets
Als Teil Ihrer Systems Manager-Vorgänge können Sie Daten in einen oder mehrere Amazon Simple Storage Service (Amazon S3)-Buckets hochladen oder speichern.
Informationen zur Verschlüsselung von S3-Buckets finden Sie unter Daten durch Verschlüsselung schützen und Datenschutz in Amazon S3 im Benutzerhandbuch zu Amazon Simple Storage Service.
Die folgenden Datentypen können Sie als Teil Ihrer Systems Manager-Aktivitäten hochladen oder in S3 Buckets speichern lassen:
-
Die Ausgabe von Befehlen inRun Command, ein Tool in AWS Systems Manager
-
Pakete reinDistributor, ein Tool rein AWS Systems Manager
-
Der Patchvorgang meldet sich anPatch Manager, ein Tool an AWS Systems Manager
-
Patch Manager Patch-Überschreibungslisten
-
Skripte oder Ansible Playbooks zur Ausführung in einem Runbook-Workflow in Automation, ein Tool in AWS Systems Manager
-
Chef InSpecProfile zur Verwendung mit Scans in Compliance, einem Tool in AWS Systems Manager
-
AWS CloudTrail protokolliert
-
Der Sitzungsverlauf meldet sich anSession Manager, ein Tool in AWS Systems Manager
-
Berichte vonExplorer, ein Tool in AWS Systems Manager
-
OpsData vonOpsCenter, ein Tool in AWS Systems Manager
-
AWS CloudFormation Vorlagen zur Verwendung mit Automatisierungsworkflows
-
Compliance-Daten aus einem Resource Data Sync-Scan
-
Ausgabe von Anforderungen zum Erstellen oder Bearbeiten von Zuordnungen in State Manager, einem Tool in AWS Systems Manager, auf verwalteten Knoten
-
Benutzerdefinierte Systems Manager-Dokumente (SSM-Dokumente), die Sie mit dem AWS -verwalteten SSM-Dokument
AWS-RunDocumentausführen können
CloudWatch Loggt Log-Gruppen
Im Rahmen Ihrer Systems Manager Geschäftstätigkeit können Sie sich dafür entscheiden, Daten an eine oder mehrere Amazon CloudWatch Logs-Protokollgruppen zu streamen.
Informationen zur Verschlüsselung von CloudWatch Logs-Protokollgruppen finden Sie unter Verschlüsseln von Protokolldaten unter Verwendung von CloudWatch Protokollen AWS Key Management Service im Amazon CloudWatch Logs-Benutzerhandbuch.
Die folgenden Datentypen haben Sie möglicherweise im Rahmen Ihrer Systems Manager Aktivitäten in eine CloudWatch Logs-Protokollgruppe gestreamt:
-
Die Ausgabe der Run Command-Befehle
-
Ausgabe von Skripten, die mit der
aws:executeScript-Aktion in einem Automation-Runbooks ausgeführt werden -
Session Manager-Sitzungsverlaufsprotokolle
-
Protokolle vom SSM Agent auf Ihren verwalteten Nodes
Verschlüsselung während der Übertragung
Wir empfehlen, dass Sie ein Verschlüsselungsprotokoll wie Transport Layer Security (TLS) verwenden, um sensible Daten bei der Übertragung zwischen den Clients und Ihren Knoten zu verschlüsseln.
Systems Manager bietet die folgende Unterstützung für die Verschlüsselung Ihrer Daten während der Übertragung.
- Verbindungen zu Systems Manager API-Endpunkten
-
Systems Manager-API-Endpunkte unterstützen ausschließlich sichere Verbindungen über HTTPS. Wenn Sie Systems Manager Ressourcen mit dem AWS-Managementkonsole AWS SDK oder der Systems Manager API verwalten, wird die gesamte Kommunikation mit Transport Layer Security (TLS) verschlüsselt. Eine vollständige Liste der API-Endpunkte finden Sie unter AWS-Service -Endpunkte im Allgemeine Amazon Web Services-Referenz.
- Verwaltete Instances
-
AWS bietet sichere und private Konnektivität zwischen Amazon Elastic Compute Cloud (Amazon EC2) -Instances. Darüber hinaus wird Datenverkehr zwischen unterstützen Instances in einer Virtual Private Cloud (VPC) oder in per Peering verbundenen VPCs automatisch mithilfe von AEAD-Algorithmen mit 256-Bit-Verschlüsselung verschlüsselt. Das Verschlüsselungsfeature verwendet die Offload-Möglichkeiten der zugrunde liegenden Hardware ohne Auswirkungen auf die Netzwerkleistung. Unterstützte Instances: C5n, G4, I3en, M5dn, M5n, P3dn, R5dn und R5n.
- Session Manager-Sitzungen
-
Standardmäßig verwendet Session Manager TLS 1.3 zum Verschlüsseln von Sitzungsdaten, die zwischen lokalen Computern von Benutzern in Ihrem Konto und Ihren EC2-Instances übertragen werden. Sie können sich auch dafür entscheiden, die Daten während der Übertragung weiter zu verschlüsseln, indem Sie eine verwenden AWS KMS key , die in erstellt wurde. AWS KMS AWS KMS Verschlüsselung ist für die
NonInteractiveCommandsSitzungstypenStandard_StreamInteractiveCommands,, und verfügbar. - Run Command-Zugriff
-
Standardmäßig wird der Remote-Zugriff auf Ihre Knoten über Run Command mit TLS 1.3 verschlüsselt und Anfragen zum Verbindungsaufbau werden mit SigV4 signiert.
Richtlinie für den Datenverkehr zwischen Netzwerken
Sie können Amazon Virtual Private Cloud (Amazon VPC) verwenden, um Grenzen zwischen Ressourcen in Ihren verwalteten Knoten zu erstellen und den Datenverkehr zwischen ihnen, Ihrem On-Premises-Netzwerk und dem Internet zu steuern. Einzelheiten finden Sie unter Verbessern Sie die Sicherheit von EC2-Instances mithilfe von VPC-Endpunkten für Systems Manager.
Weitere Informationen zur Sicherheit der Amazon Virtual Private Cloud finden Sie unter Datenschutz des Internet-Datenverkehrs in Amazon VPC im Benutzerhandbuch Amazon VPC.
