データ暗号化
保管中の暗号化
Amazon Bedrock AgentCore は、Amazon DynamoDB と Amazon Simple Storage Service (Amazon S3) を使用して保管中のデータを保存します。保管中のデータは、デフォルトで暗号化ソリューションを使用して AWS 暗号化されます。AgentCore は、 AWS Key Management Service の AWS 所有暗号化キーを使用してデータを暗号化します。データを暗号化する AWS マネージドキーを保護するためのアクションを実行する必要はありません。詳細については、「 Key Management Service デベロッパーガイド」の「 AWS AWS 所有キー」を参照してください。
主な考慮事項
-
デフォルトでは、次のデータは暗号化されません。
-
ゲートウェイ名
-
ゲートウェイターゲット名
-
ゲートウェイツール名
-
Gateway CloudWatch ログ
-
-
お客様は、カスタマー管理の KMS キーを使用して次のリソースを暗号化できます。
-
ゲートウェイ – 詳細については、「カスタマーマネージド KMS キーを使用して AgentCore ゲートウェイを暗号化する」を参照してください。
-
転送中の暗号化
顧客と Amazon Bedrock AgentCore 間、および AgentCore とそのダウンストリームの依存関係間のすべての通信は、TLS 1.2 以降の接続を使用して保護されます。
転送中の暗号化は、以下のサービスに対してデフォルトで設定されます。
主な考慮事項
-
AgentCore Gateway のすべてのアウトバウンドトラフィックは、TLS を使用して保護されます。
-
ゲートウェイを呼び出すときは、転送されるデータについて次の点に注意してください。
-
コールツールリクエスト中、サービスはリクエスト内のデータを変換し、お客様が設定したウェブサービスを呼び出します。ウェブサービスからのレスポンスは変換され、呼び出し元への呼び出しツールレスポンスとして返されます。
-
リストツールリクエスト中、リクエストは標準の MCP リスト/ツールオペレーションリクエストであり、レスポンスには、コントロールプレーンオペレーション中にお客様がゲートウェイで設定したツールのリストが含まれます。
-
キー管理
AWS KMS カスタマーマネージドキーは、次の Amazon Bedrock AgentCore リソースに使用できます。
KMS AWS カスタマーマネージドキーをサポートするリソース
-
メモリ。詳細については、AgentCore メモリの作成」を参照してください。
-
ゲートウェイ。詳細については、「カスタマーマネージド KMS キー を使用して AgentCore ゲートウェイを暗号化する」を参照してください。次の点に注意してください。
-
AgentCore Gateway リソースの場合、 AWS マネージドキーはシングルテナント使用であり、リージョンごとに異なります。
-
ゲートウェイを暗号化するキーが侵害された場合は、キーをローテーションするか、ゲートウェイを削除して、新しいキーで新しいキーを作成する必要があります。
-
AgentCore Gateway は AWS Certificate Manager と統合されます。詳細については、AWS 「 Certificate Manager ユーザーガイド」を参照してください。
-
