Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengkonfigurasi Macie untuk mengambil sampel data sensitif

Anda dapat mengonfigurasi dan menggunakan Amazon Macie secara opsional untuk mengambil dan mengungkapkan sampel data sensitif yang dilaporkan Macie dalam temuan individual. Sampel dapat membantu Anda memverifikasi sifat data sensitif yang ditemukan Macie. Mereka juga dapat membantu Anda menyesuaikan penyelidikan Anda terhadap objek dan bucket Amazon Simple Storage Service (Amazon S3) yang terpengaruh. Anda dapat mengambil dan mengungkapkan sampel data sensitif di semua Wilayah AWS tempat Macie saat ini tersedia kecuali Wilayah Asia Pasifik (Osaka) dan Israel (Tel Aviv).

Saat Anda mengambil dan mengungkapkan sampel data sensitif untuk sebuah temuan, Macie menggunakan data dalam hasil penemuan data sensitif yang sesuai untuk menemukan kejadian data sensitif di objek S3 yang terpengaruh. Macie kemudian mengekstrak sampel kejadian tersebut dari objek yang terpengaruh. Macie mengenkripsi data yang diekstrak dengan kunci AWS Key Management Service (AWS KMS) yang Anda tentukan, menyimpan sementara data terenkripsi dalam cache, dan mengembalikan data dalam hasil Anda untuk temuan. Segera setelah ekstraksi dan enkripsi, Macie secara permanen menghapus data dari cache kecuali retensi tambahan sementara diperlukan untuk menyelesaikan masalah operasional.

Untuk mengambil dan mengungkapkan sampel data sensitif untuk temuan, Anda harus terlebih dahulu mengonfigurasi dan mengaktifkan pengaturan untuk akun Macie Anda. Anda juga perlu mengonfigurasi sumber daya dan izin pendukung untuk akun Anda. Topik di bagian ini memandu Anda melalui proses konfigurasi Macie untuk mengambil dan mengungkapkan sampel data sensitif, dan mengelola status konfigurasi untuk akun Anda.

Sebelum Anda mulai

Sebelum Anda mengonfigurasi Amazon Macie untuk mengambil dan mengungkapkan sampel data sensitif untuk temuan, selesaikan tugas berikut untuk memastikan bahwa Anda memiliki sumber daya dan izin yang Anda butuhkan.

Tugas-tugas ini bersifat opsional jika Anda sudah mengonfigurasi Macie untuk mengambil dan mengungkapkan sampel data sensitif dan hanya ingin mengubah pengaturan konfigurasi Anda.

Langkah 1: Konfigurasikan repositori untuk hasil penemuan data sensitif

Saat Anda mengambil dan mengungkapkan sampel data sensitif untuk sebuah temuan, Macie menggunakan data dalam hasil penemuan data sensitif yang sesuai untuk menemukan kejadian data sensitif di objek S3 yang terpengaruh. Oleh karena itu, penting untuk memverifikasi bahwa Anda mengonfigurasi repositori untuk hasil penemuan data sensitif Anda. Jika tidak, Macie tidak akan dapat menemukan sampel data sensitif yang ingin Anda ambil dan ungkapkan.

Untuk menentukan apakah Anda telah mengonfigurasi repositori ini untuk akun Anda, Anda dapat menggunakan konsol Amazon Macie: pilih Hasil penemuan (di bawah Pengaturan) di panel navigasi. Untuk melakukan ini secara terprogram, gunakan GetClassificationExportConfigurationpengoperasian Amazon Macie. API Untuk mempelajari lebih lanjut tentang hasil penemuan data sensitif dan cara mengonfigurasi repositori ini, lihat. Menyimpan dan mempertahankan hasil penemuan data sensitif

Langkah 2: Tentukan cara mengakses objek S3 yang terpengaruh

Untuk mengakses objek S3 yang terpengaruh dan mengambil sampel data sensitif darinya, Anda memiliki dua opsi. Anda dapat mengonfigurasi Macie untuk menggunakan kredensi pengguna AWS Identity and Access Management (IAM) Anda. Atau Anda dapat mengonfigurasi Macie untuk mengambil IAM peran yang mendelegasikan akses ke Macie. Anda dapat menggunakan konfigurasi dengan semua jenis akun Macie—akun administrator Macie yang didelegasikan untuk organisasi, akun anggota Macie di organisasi, atau akun Macie mandiri. Sebelum Anda mengonfigurasi pengaturan di Macie, tentukan metode akses mana yang ingin Anda gunakan. Untuk detail tentang opsi dan persyaratan untuk setiap metode, lihatOpsi konfigurasi untuk mengambil sampel.

Jika Anda berencana untuk menggunakan IAM peran, buat dan konfigurasikan peran sebelum Anda mengonfigurasi pengaturan di Macie. Pastikan juga bahwa kebijakan kepercayaan dan izin untuk peran tersebut memenuhi semua persyaratan bagi Macie untuk mengambil peran tersebut. Jika akun Anda adalah bagian dari organisasi yang mengelola beberapa akun Macie secara terpusat, bekerjalah dengan administrator Macie Anda untuk terlebih dahulu menentukan apakah dan cara mengonfigurasi peran untuk akun Anda.

Langkah 3: Konfigurasikan AWS KMS key

Saat Anda mengambil dan mengungkapkan sampel data sensitif untuk temuan, Macie mengenkripsi sampel dengan kunci AWS Key Management Service (AWS KMS) yang Anda tentukan. Oleh karena itu, Anda perlu menentukan mana yang ingin AWS KMS key Anda gunakan untuk mengenkripsi sampel. Kuncinya bisa berupa KMS kunci yang ada dari akun Anda sendiri, atau KMS kunci yang ada yang dimiliki akun lain. Jika Anda ingin menggunakan kunci yang dimiliki akun lain, dapatkan Amazon Resource Name (ARN) dari kunci tersebut. Anda harus menentukan ini ARN ketika Anda memasukkan pengaturan konfigurasi di Macie.

KMSKuncinya harus berupa kunci enkripsi simetris yang dikelola pelanggan. Ini juga harus berupa kunci wilayah Tunggal yang diaktifkan Wilayah AWS sama dengan akun Macie Anda. KMSKuncinya bisa di toko kunci eksternal. Namun, kuncinya mungkin lebih lambat dan kurang dapat diandalkan daripada kunci yang dikelola sepenuhnya di dalamnya AWS KMS. Jika latensi atau masalah ketersediaan mencegah Macie mengenkripsi sampel data sensitif yang ingin Anda ambil dan ungkapkan, kesalahan terjadi dan Macie tidak mengembalikan sampel apa pun untuk temuan tersebut.

Selain itu, kebijakan kunci untuk kunci harus memungkinkan prinsipal yang sesuai (IAMperan, IAM pengguna, atau Akun AWS) untuk melakukan tindakan berikut:

Untuk informasi tentang membuat dan mengonfigurasi KMS kunci, lihat Membuat KMS kunci di Panduan AWS Key Management Service Pengembang. Untuk informasi tentang menggunakan kebijakan utama untuk mengelola akses ke KMS kunci, lihat Kebijakan kunci AWS KMS di Panduan AWS Key Management Service Pengembang.

Langkah 4: Verifikasi izin Anda

Sebelum Anda mengonfigurasi pengaturan di Macie, verifikasi juga bahwa Anda memiliki izin yang Anda butuhkan. Untuk memverifikasi izin Anda, gunakan AWS Identity and Access Management (IAM) untuk meninjau IAM kebijakan yang dilampirkan pada IAM identitas Anda. Kemudian bandingkan informasi dalam kebijakan tersebut dengan daftar tindakan berikut yang harus Anda lakukan.

Jika Anda tidak diizinkan untuk melakukan tindakan yang diperlukan, mintalah bantuan AWS administrator Anda.

Mengkonfigurasi dan mengaktifkan pengaturan Macie

Setelah Anda memverifikasi bahwa Anda memiliki sumber daya dan izin yang Anda butuhkan, Anda dapat mengonfigurasi pengaturan di Amazon Macie dan mengaktifkan konfigurasi untuk akun Anda.

Jika akun Anda adalah bagian dari organisasi yang mengelola beberapa akun Macie secara terpusat, perhatikan hal berikut sebelum Anda mengonfigurasi atau selanjutnya mengubah pengaturan untuk akun Anda:

Untuk detail tentang opsi konfigurasi dan persyaratan untuk salah satu jenis akun, lihatOpsi konfigurasi untuk mengambil sampel.

Untuk mengonfigurasi pengaturan di Macie dan mengaktifkan konfigurasi untuk akun Anda, Anda dapat menggunakan konsol Amazon Macie atau Amazon Macie. API

Console

Ikuti langkah-langkah ini untuk mengonfigurasi dan mengaktifkan pengaturan dengan menggunakan konsol Amazon Macie.

Untuk mengkonfigurasi dan mengaktifkan pengaturan Macie

1. Buka konsol Amazon Macie di. https://console.aws.amazon.com/macie/

2. Dengan menggunakan Wilayah AWS pemilih di sudut kanan atas halaman, pilih Wilayah di mana Anda ingin mengkonfigurasi dan mengaktifkan Macie untuk mengambil dan mengungkapkan sampel data sensitif.

3. Di panel navigasi, di bawah Pengaturan, pilih Reveal samples.

4. Di bagian Pengaturan, pilih Edit.

5. Untuk Status, pilih Aktifkan.

6. Di bawah Access, tentukan metode akses dan pengaturan yang ingin Anda gunakan saat mengambil sampel data sensitif dari objek S3 yang terpengaruh:

   • Untuk menggunakan IAM peran yang mendelegasikan akses ke Macie, pilih Asumsikan peran IAM. Jika Anda memilih opsi ini, Macie mengambil sampel dengan mengasumsikan IAM peran yang Anda buat dan konfigurasi dalam. Akun AWS Di kotak Nama peran, masukkan nama peran.

   • Untuk menggunakan kredensil IAM pengguna yang meminta sampel, pilih Gunakan kredensil IAM pengguna. Jika Anda memilih opsi ini, setiap pengguna akun Anda menggunakan IAM identitas masing-masing untuk mengambil sampel.

7. Di bawah Enkripsi, tentukan AWS KMS key yang ingin Anda gunakan untuk mengenkripsi sampel data sensitif yang diambil:

   • Untuk menggunakan KMS kunci dari akun Anda sendiri, pilih Pilih kunci dari akun Anda. Kemudian, dalam AWS KMS keydaftar, pilih kunci yang akan digunakan. Daftar ini menampilkan KMS kunci enkripsi simetris yang ada untuk akun Anda.

   • Untuk menggunakan KMS kunci yang dimiliki akun lain, pilih Masukkan ARN kunci dari akun lain. Kemudian, di AWS KMS key ARNkotak, masukkan Amazon Resource Name (ARN) dari kunci yang akan digunakan—misalnya,. arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab

8. Setelah Anda selesai memasukkan pengaturan, pilih Simpan.

Macie menguji pengaturan dan memverifikasi bahwa mereka benar. Jika Anda mengonfigurasi Macie untuk mengambil IAM peran, Macie juga memverifikasi bahwa peran tersebut ada di akun Anda dan kebijakan kepercayaan dan izin dikonfigurasi dengan benar. Jika ada masalah, Macie menampilkan pesan yang menjelaskan masalah tersebut.

Untuk mengatasi masalah dengan AWS KMS key, lihat persyaratan dalam topik sebelumnya dan tentukan KMS kunci yang memenuhi persyaratan. Untuk mengatasi masalah dengan IAM peran, mulailah dengan memverifikasi bahwa Anda memasukkan nama peran yang benar. Jika namanya benar, pastikan bahwa kebijakan peran memenuhi semua persyaratan bagi Macie untuk mengambil peran tersebut. Untuk detail ini, lihatMengkonfigurasi IAM peran untuk mengakses objek S3 yang terpengaruh. Setelah Anda mengatasi masalah apa pun, Anda dapat menyimpan dan mengaktifkan pengaturan.

catatan

Jika Anda adalah administrator Macie untuk organisasi dan Anda mengonfigurasi Macie untuk mengambil IAM peran, Macie membuat dan menampilkan ID eksternal setelah Anda menyimpan pengaturan untuk akun Anda. Perhatikan ID ini. Kebijakan kepercayaan untuk IAM peran di setiap akun anggota Anda yang berlaku harus menentukan ID ini. Jika tidak, Anda tidak akan dapat mengambil sampel data sensitif dari objek S3 yang dimiliki akun.

API

Untuk mengonfigurasi dan mengaktifkan pengaturan secara terprogram, gunakan UpdateRevealConfigurationpengoperasian Amazon Macie. API Dalam permintaan Anda, tentukan nilai yang sesuai untuk parameter yang didukung:

• Untuk retrievalConfiguration parameter, tentukan metode akses dan pengaturan yang ingin Anda gunakan saat mengambil sampel data sensitif dari objek S3 yang terpengaruh:

  • Untuk mengambil IAM peran yang mendelegasikan akses ke Macie, tentukan ASSUME_ROLE retrievalMode parameter dan tentukan nama peran untuk parameter tersebutroleName. Jika Anda menentukan pengaturan ini, Macie mengambil sampel dengan mengasumsikan IAM peran yang Anda buat dan konfigurasikan dalam pengaturan Anda. Akun AWS

  • Untuk menggunakan kredensil IAM pengguna yang meminta sampel, tentukan CALLER_CREDENTIALS parameternya. retrievalMode Jika Anda menentukan pengaturan ini, setiap pengguna akun Anda menggunakan IAM identitas masing-masing untuk mengambil sampel.

  penting

  Jika Anda tidak menentukan nilai untuk parameter ini, Macie menetapkan metode akses (retrievalMode) keCALLER_CREDENTIALS. Jika Macie saat ini dikonfigurasi untuk menggunakan IAM peran untuk mengambil sampel, Macie juga secara permanen menghapus nama peran saat ini dan ID eksternal untuk konfigurasi Anda. Untuk menyimpan pengaturan ini untuk konfigurasi yang ada, sertakan retrievalConfiguration parameter dalam permintaan Anda dan tentukan pengaturan Anda saat ini untuk parameter tersebut. Untuk mengambil pengaturan Anda saat ini, gunakan GetRevealConfigurationoperasi atau, jika Anda menggunakan AWS Command Line Interface (AWS CLI), jalankan get-reveal-configurationperintah.

• Untuk kmsKeyId parameter, tentukan AWS KMS key yang ingin Anda gunakan untuk mengenkripsi sampel data sensitif yang diambil:

  • Untuk menggunakan KMS kunci dari akun Anda sendiri, tentukan Amazon Resource Name (ARN), ID, atau alias untuk kunci tersebut. Jika Anda menentukan alias, sertakan alias/ awalan — misalnya,. alias/ExampleAlias

  • Untuk menggunakan KMS kunci yang dimiliki akun lain, tentukan kunci—misalnya,. ARN arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab Atau tentukan ARN alias untuk kunci—misalnya,. arn:aws:kms:us-east-1:111122223333:alias/ExampleAlias

• Untuk status parameter, tentukan ENABLED untuk mengaktifkan konfigurasi untuk akun Macie Anda.

Dalam permintaan Anda, pastikan juga bahwa Anda menentukan Wilayah AWS di mana Anda ingin mengaktifkan dan menggunakan konfigurasi.

Untuk mengkonfigurasi dan mengaktifkan pengaturan dengan menggunakan AWS CLI, jalankan update-reveal-configurationperintah dan tentukan nilai yang sesuai untuk parameter yang didukung. Misalnya, jika Anda menggunakan Microsoft Windows, jalankan perintah berikut: AWS CLI

C:\> aws macie2 update-reveal-configuration ^
--region us-east-1 ^
--configuration={\"kmsKeyId\":\"arn:aws:kms:us-east-1:111122223333:alias/ExampleAlias\",\"status\":\"ENABLED\"} ^
--retrievalConfiguration={\"retrievalMode\":\"ASSUME_ROLE\",\"roleName\":\"MacieRevealRole\"}

Di mana:

• us-east-1 adalah Wilayah di mana untuk mengaktifkan dan menggunakan konfigurasi. Dalam contoh ini, Wilayah AS Timur (Virginia N.).

• arn:aws:kms:us-east-1:111122223333:alias/ExampleAlias adalah ARN alias AWS KMS key untuk digunakan. Dalam contoh ini, kunci dimiliki oleh akun lain.

• ENABLEDadalah status konfigurasi.

• ASSUME_ROLE adalah metode akses untuk digunakan. Dalam contoh ini, asumsikan IAM peran yang ditentukan.

• MacieRevealRole adalah nama IAM peran Macie untuk mengambil ketika mengambil sampel data sensitif.

Contoh sebelumnya menggunakan karakter kelanjutan baris tanda sisipan (^) untuk meningkatkan keterbacaan.

Saat Anda mengirimkan permintaan Anda, Macie menguji pengaturannya. Jika Anda mengonfigurasi Macie untuk mengambil IAM peran, Macie juga memverifikasi bahwa peran tersebut ada di akun Anda dan kebijakan kepercayaan dan izin dikonfigurasi dengan benar. Jika ada masalah, permintaan Anda gagal dan Macie mengembalikan pesan yang menjelaskan masalah tersebut. Untuk mengatasi masalah dengan AWS KMS key, lihat persyaratan dalam topik sebelumnya dan tentukan KMS kunci yang memenuhi persyaratan. Untuk mengatasi masalah dengan IAM peran, mulailah dengan memverifikasi bahwa Anda menentukan nama peran yang benar. Jika namanya benar, pastikan bahwa kebijakan peran memenuhi semua persyaratan bagi Macie untuk mengambil peran tersebut. Untuk detail ini, lihatMengkonfigurasi IAM peran untuk mengakses objek S3 yang terpengaruh. Setelah Anda mengatasi masalah ini, kirimkan permintaan Anda lagi.

Jika permintaan Anda berhasil, Macie mengaktifkan konfigurasi untuk akun Anda di Wilayah yang ditentukan dan Anda menerima output yang serupa dengan berikut ini.

{
  "configuration": {
    "kmsKeyId": "arn:aws:kms:us-east-1:111122223333:alias/ExampleAlias",
    "status": "ENABLED"
  },
  "retrievalConfiguration": {
    "externalId": "o2vee30hs31642lexample",
    "retrievalMode": "ASSUME_ROLE",
    "roleName": "MacieRevealRole"
  }
}

Di mana kmsKeyId menentukan yang AWS KMS key akan digunakan untuk mengenkripsi sampel data sensitif yang diambil, dan status merupakan status konfigurasi untuk akun Macie Anda. retrievalConfigurationNilai menentukan metode akses dan pengaturan yang akan digunakan saat mengambil sampel.

catatan

Jika Anda adalah administrator Macie untuk organisasi dan Anda mengonfigurasi Macie untuk mengambil IAM peran, perhatikan ID eksternal (externalId) dalam respons. Kebijakan kepercayaan untuk IAM peran di setiap akun anggota Anda yang berlaku harus menentukan ID ini. Jika tidak, Anda tidak akan dapat mengambil sampel data sensitif dari objek S3 yang terpengaruh yang dimiliki akun.

Untuk selanjutnya memeriksa pengaturan atau status konfigurasi untuk akun Anda, gunakan GetRevealConfigurationoperasi atau, untuk AWS CLI, jalankan get-reveal-configurationperintah.

Menonaktifkan pengaturan Macie

Anda dapat menonaktifkan pengaturan konfigurasi untuk akun Amazon Macie Anda kapan saja. Jika Anda menonaktifkan konfigurasi, Macie mempertahankan pengaturan yang menentukan mana yang akan digunakan AWS KMS key untuk mengenkripsi sampel data sensitif yang diambil. Macie secara permanen menghapus pengaturan akses Amazon S3 untuk konfigurasi.

Untuk menonaktifkan pengaturan konfigurasi untuk akun Macie Anda, Anda dapat menggunakan konsol Amazon Macie atau Amazon Macie. API

Console

Ikuti langkah-langkah ini untuk menonaktifkan pengaturan konfigurasi untuk akun Anda dengan menggunakan konsol Amazon Macie.

Untuk menonaktifkan pengaturan Macie

1. Buka konsol Amazon Macie di. https://console.aws.amazon.com/macie/

2. Dengan menggunakan Wilayah AWS pemilih di sudut kanan atas halaman, pilih Wilayah tempat Anda ingin menonaktifkan pengaturan konfigurasi untuk akun Macie Anda.

3. Di panel navigasi, di bawah Pengaturan, pilih Reveal samples.

4. Di bagian Pengaturan, pilih Edit.

5. Untuk Status, pilih Nonaktifkan.

6. Pilih Simpan.

API

Untuk menonaktifkan pengaturan konfigurasi secara terprogram, gunakan UpdateRevealConfigurationpengoperasian Amazon Macie. API Dalam permintaan Anda, pastikan Anda menentukan Wilayah AWS di mana Anda ingin menonaktifkan konfigurasi. Untuk parameter status, tentukan DISABLED.

Untuk menonaktifkan pengaturan konfigurasi dengan menggunakan AWS Command Line Interface (AWS CLI), jalankan update-reveal-configurationperintah. Gunakan region parameter untuk menentukan Wilayah di mana Anda ingin menonaktifkan konfigurasi. Untuk parameter status, tentukan DISABLED. Misalnya, jika Anda menggunakan Microsoft Windows, jalankan perintah berikut: AWS CLI

C:\> aws macie2 update-reveal-configuration --region us-east-1 --configuration={\"status\":\"DISABLED\"}

Di mana:

• us-east-1 adalah Wilayah untuk menonaktifkan konfigurasi. Dalam contoh ini, Wilayah AS Timur (Virginia N.).

• DISABLEDadalah status baru dari konfigurasi.

Jika permintaan Anda berhasil, Macie menonaktifkan konfigurasi untuk akun Anda di Wilayah yang ditentukan dan Anda menerima output yang serupa dengan berikut ini.

{
    "configuration": {
        "status": "DISABLED"
    }
}

Di status mana status baru konfigurasi untuk akun Macie Anda.

Jika Macie dikonfigurasi untuk mengambil IAM peran untuk mengambil sampel data sensitif, Anda dapat menghapus peran dan kebijakan izin peran secara opsional. Macie tidak menghapus sumber daya ini saat Anda menonaktifkan pengaturan konfigurasi untuk akun Anda. Selain itu, Macie tidak menggunakan sumber daya ini untuk melakukan tugas lain untuk akun Anda. Untuk menghapus peran dan kebijakan izinnya, Anda dapat menggunakan IAM konsol atau. IAM API Untuk informasi selengkapnya, lihat Menghapus peran di Panduan AWS Identity and Access Management Pengguna.