# Amazon CloudFront におけるデータ保護
AWS の[責任共有モデル](https://aws.amazon.com/compliance/shared-responsibility-model/)は、Amazon CloudFront でのデータ保護に適用されます。このモデルで説明されているように、AWS は、AWS クラウド のすべてを実行するグローバルインフラストラクチャを保護する責任を担います。ユーザーは、このインフラストラクチャでホストされるコンテンツに対する管理を維持する責任があります。また、使用する「AWS のサービス」のセキュリティ設定と管理タスクもユーザーの責任となります。データプライバシーの詳細については、[データプライバシーに関するよくある質問](https://aws.amazon.com/compliance/data-privacy-faq/)を参照してください。欧州でのデータ保護の詳細については、*AWS セキュリティブログ*に投稿された「[AWS 責任共有モデルおよび GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/)」のブログ記事を参照してください。
データを保護するため、「AWS アカウント」認証情報を保護し、AWS IAM アイデンティティセンター または AWS Identity and Access Management (IAM) を使用して個々のユーザーをセットアップすることをお勧めします。この方法により、それぞれのジョブを遂行するために必要な権限のみが各ユーザーに付与されます。また、次の方法でデータを保護することもお勧めします:
+ 各アカウントで多要素認証 (MFA) を使用します。
+ SSL/TLS を使用して AWS リソースと通信します。TLS 1.2 は必須ですが、TLS 1.3 を推奨します。
+ AWS CloudTrail で API とユーザーアクティビティロギングを設定します。CloudTrail 証跡を使用して AWS アクティビティをキャプチャする方法については、「**AWS CloudTrail ユーザーガイド」の「[CloudTrail 証跡の使用](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)」を参照してください。
+ AWS のサービス内のすべてのデフォルトセキュリティコントロールに加え、AWS 暗号化ソリューションを使用します。
+ Amazon Macie などの高度な管理されたセキュリティサービスを使用します。これらは、Amazon S3 に保存されている機密データの検出と保護を支援します。
+ コマンドラインインターフェイスまたは API を使用して AWS にアクセスする際に FIPS 140-3 検証済みの暗号化モジュールが必要な場合は、FIPS エンドポイントを使用します。利用可能な FIPS エンドポイントの詳細については、「[連邦情報処理規格 (FIPS) 140-3](https://aws.amazon.com/compliance/fips/)」を参照してください。
お客様の E メールアドレスなどの極秘または機密情報を、タグ、または **[名前]** フィールドなどの自由形式のテキストフィールドに含めないことを強くお勧めします。これは、コンソール、API、AWS CLI、または AWS SDK を使用して CloudFront やその他の AWS のサービスを使用する場合も同様です。タグ、または名前に使用される自由記述のテキストフィールドに入力したデータは、請求または診断ログに使用される場合があります。外部サーバーに URL を提供する場合、そのサーバーへのリクエストを検証できるように、認証情報を URL に含めないことを強くお勧めします。
Amazon CloudFront には、配信するコンテンツを保護するために使用できるいくつかのオプションがあります。
+ HTTPS 接続を設定します。
+ フィールドレベルの暗号化を構成して、転送中の特定のデータのセキュリティを強化します。
+ コンテンツへのアクセスを制限して、特定の人々、または特定のエリアのユーザーだけが閲覧できるようにします。
以下のトピックでオプションについて詳しく説明します。
**Topics**
+ [転送時の暗号化](#data-protection-summary-encryption-in-transit)
+ [保管中の暗号化](#data-protection-summary-encryption-at-rest)
+ [コンテンツへのアクセス制限](#data-protection-summary-restrict-access)
## 転送時の暗号化
転送中にデータを暗号化するには、Amazon CloudFront がビューワーと通信するときに接続が暗号化されるように、ビューワーが HTTPS を使用してファイルをリクエストするように CloudFront を設定します。また、オリジンからファイルを取得する際に CloudFront が HTTPS を使用するように設定すると、CloudFront とオリジンとの通信で接続が暗号化されます。
詳細については、「[CloudFront で HTTPS を使用する](using-https.md)」を参照してください。
フィールドレベル暗号化では、HTTPS と共にセキュリティのレイヤーが追加されます。これにより、システムの処理中に特定のデータに特定のアプリケーションのみがアクセスできるように、そのデータを保護できます。CloudFront でフィールドレベルの暗号化を設定することで、ユーザーが送信した機密情報をウェブサーバーに安全にアップロードできます。クライアントが提供した機密情報は、ユーザーに近いエッジで暗号化され、アプリケーションスタック全体で暗号化されたままになります。これにより、データを必要とするアプリケーションのみが (復号化するための認証情報があれば) そのデータを復号化できます。
詳細については、「[フィールドレベル暗号化を使用した機密データの保護](field-level-encryption.md)」を参照してください。
CloudFront API エンドポイント (`cloudfront.amazonaws.com`、`cloudfront-fips.amazonaws.com`) は HTTPS トラフィックのみ受け入れます。つまり、CloudFront API を使用して情報を送受信すると、データ (ディストリビューション設定、キャッシュポリシーとオリジンリクエストポリシー、キーグループとパブリックキー、CloudFront Functions の関数コードなど) は常に転送中に暗号化されます。さらに、CloudFront API エンドポイントに送信されたすべてのリクエストは、AWS 認証情報で署名され、AWS CloudTrail に記録されます。
CloudFront Functions の関数コードと設定は、エッジロケーション POP (Points Of Presence)、および CloudFront で使用される他のストレージロケーション間でコピーされると、転送時に常に暗号化されます。
## 保管中の暗号化
CloudFront Functions の関数コードと設定は、エッジロケーション POP や、CloudFront で使用されるその他のストレージロケーションに、常に暗号化された形式で保存されます。
## コンテンツへのアクセス制限
インターネット経由でコンテンツを配信する多くの企業が、ユーザーのサブセットのドキュメント、ビジネスデータ、メディアストリーム、またはコンテンツに対して、アクセスを制限する必要があると考えています。Amazon CloudFront を使用してこのコンテンツを安全に供給するには、以下の 1 つ以上の方法を使用できます。
**署名付き URL または署名付き Cookie を使用する**
署名付き URL または署名付き Cookie を使用して CloudFront を介してこの非公開コンテンツを配信することで、選択したユーザー、たとえば有料のユーザーを対象としたコンテンツへのアクセスを制限できます。詳細については、「[署名付き URL と署名付き Cookie を使用したプライベートコンテンツを提供する](PrivateContent.md)」を参照してください。
**Amazon S3 バケットのコンテンツへのアクセスを制限する**
例えば、CloudFront 署名付き URL または署名付き Cookie を使用してコンテンツへのアクセスを制限する場合は、ファイルの直接 URL を使用して、ユーザーがファイルを表示できないようにします。代わりに、CloudFront URL を使用してファイルへのアクセスのみ許可するため、正常に保護されます。
CloudFront ディストリビューションのオリジンとして Amazon S3 バケットを使用する場合は、S3 バケットへのアクセスを制限することができるオリジンアクセスコントロール (OAC) を設定できます。詳細については、「[Amazon S3 オリジンへのアクセスを制限する](private-content-restricting-access-to-s3.md)」を参照してください。
**Application Load Balancer が提供するコンテンツへのアクセスを制限する**
オリジンとして、Elastic Load Balancing の Application Load Balancer で CloudFront を使用する場合、ユーザーが Application Load Balancer に直接アクセスできないように CloudFront を設定できます。これにより、ユーザーは CloudFront 経由でしか Application Load Balancer にアクセスできず、CloudFront を使用するメリットを得ることができます。詳細については、「[Application Load Balancer へのアクセスを制限する](restrict-access-to-load-balancer.md)」を参照してください。
**AWS WAF ウェブ ACL の使用**
ウェブアプリケーションファイアウォールサービスである AWS WAF を使用して、コンテンツへのアクセスを制限するためのウェブアクセス制御リスト (ウェブ ACL) を作成できます。指定した条件 (リクエスト送信元の IP アドレス、クエリ文字列の値など) に基づいて、CloudFront はリクエストされたコンテンツを返すか、HTTP 403 ステータスコード (Forbidden) を返すことで、リクエストに応答します。詳細については、「[AWS WAF 保護を使用する](distribution-web-awswaf.md)」を参照してください。
**地域制限を使用する**
*地域制限* (*地理的ブロッキング*) を使用すると、CloudFront ディストリビューションを通じて配信しているコンテンツについて、特定地域のユーザーによるアクセスを回避できます。地域制限を設定するときに選択できるオプションがいくつかあります。詳細については、「[コンテンツの地理的配分を制限する](georestrictions.md)」を参照してください。