翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon DevOpsGuru でのデータ保護

責任 AWS 共有モデル、Amazon DevOpsGuru でのデータ保護に適用されます。このモデルで説明されているように、 AWS はすべての を実行するグローバルインフラストラクチャを保護する責任があります AWS クラウド。お客様は、このインフラストラクチャでホストされているコンテンツに対する管理を維持する責任があります。また、使用する AWS サービス のセキュリティ設定と管理タスクもユーザーの責任となります。データプライバシーの詳細については、「データプライバシーのよくある質問」を参照してください。欧州でのデータ保護の詳細については、AWS セキュリティブログに投稿された記事「AWS 責任共有モデルおよび GDPR」を参照してください。

データ保護の目的で、認証情報を保護し AWS アカウント 、 AWS IAM Identity Center または AWS Identity and Access Management (IAM) を使用して個々のユーザーを設定することをお勧めします。この方法により、それぞれのジョブを遂行するために必要な権限のみが各ユーザーに付与されます。また、次の方法でデータを保護することもお勧めします:

お客様の E メールアドレスなどの極秘または機密情報は、タグ、または名前フィールドなどの自由形式のテキストフィールドに配置しないことを強くお勧めします。これは、コンソール、API、または SDK を使用して DevOpsGuru AWS CLIまたは他の AWS サービス を使用する場合も同様です。 AWS SDKs 名前に使用する自由記述のテキストフィールドやタグに入力したデータは、課金や診断ログに使用される場合があります。外部サーバーへの URL を提供する場合は、そのサーバーへのリクエストを検証するための認証情報を URL に含めないように強くお勧めします。

DevOpsGuru でのデータ暗号化

暗号化は DevOpsGuru セキュリティの重要な部分です。一部の暗号化 (転送中のデータの暗号化など) はデフォルトで提供されるため、特に操作は必要ありません。その他の暗号化 (保管中のデータの暗号化など) については、プロジェクトまたはビルドの作成時に設定できます。

DevOpsGuru が で許可を使用する方法 AWS KMS

DevOpsGuru では、カスタマーマネージドキーを使用するには許可が必要です。

カスタマーマネージドキーによる暗号化を有効にすると、 DevOpsGuru は に CreateGrant リクエストを送信してユーザーに代わって許可を作成します AWS KMS。の許可 AWS KMS は、Gru DevOpsに顧客アカウントの AWS KMS キーへのアクセスを許可するために使用されます。

DevOpsGuru では、以下の内部オペレーションにカスタマーマネージドキーを使用する権限が必要です。

任意のタイミングで、許可に対するアクセス権を取り消したり、カスタマーマネージドキーに対するサービスからのアクセス権を削除したりできます。これを行うと、 DevOpsGuru はカスタマーマネージドキーによって暗号化されたデータにアクセスできなくなり、そのデータに依存するオペレーションに影響します。例えば、 DevOpsGru がアクセスできない暗号化されたログの異常情報を取得しようとすると、オペレーションは AccessDeniedException エラーを返します。

DevOpsGuru での暗号化キーのモニタリング

DevOpsGuru リソースで AWS KMS カスタマーマネージドキーを使用する場合、 AWS CloudTrail または CloudWatch ログを使用して、 DevOpsGru が に送信するリクエストを追跡できます AWS KMS。

カスタマーマネージドキーを作成する

対称カスタマーマネージドキーを作成するには、 AWS Management Console または AWS KMS APIsを使用します。

対称型のカスタマーマネージドキーを作成するには、「対称暗号化 KMS キーの作成」を参照してください。

キーポリシー

キーポリシーは、カスタマーマネージドキーへのアクセスを制御します。すべてのカスタマーマネージドキーには、キーポリシーが 1 つだけ必要です。このポリシーには、そのキーを使用できるユーザーとその使用方法を決定するステートメントが含まれています。カスタマーマネージドキーを作成する際に、キーポリシーを指定することができます。詳細については、「 AWS Key Management Service デベロッパーガイド」の「 の認証とアクセスコントロール AWS KMS」を参照してください。

DevOpsGuru リソースでカスタマーマネージドキーを使用するには、キーポリシーで次の API オペレーションを許可する必要があります。

これにより、 DevOpsGru は以下を実行できます。

次のステートメントには、 DevOpsGru に追加できるポリシーステートメントの例が含まれています。

  "Statement" : [ 
    {
      "Sid" : "Allow access to principals authorized to use DevOps Guru",
      "Effect" : "Allow",
      "Principal" : {
        "AWS" : "*"
      },
      "Action" : [ 
        "kms:DescribeKey", 
        "kms:CreateGrant"
      ],
      "Resource" : "*",
      "Condition" : {
        "StringEquals" : {
          "kms:ViaService" : "devops-guru.Region.amazonaws.com",
          "kms:CallerAccount" : "111122223333"
        }
    },
    {
      "Sid": "Allow access for key administrators",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:root"
       },
      "Action" : [ 
        "kms:*"
       ],
      "Resource": "arn:aws:kms:region:111122223333:key/key_ID"
    },
    {
      "Sid" : "Allow read-only access to key metadata to the account",
      "Effect" : "Allow",
      "Principal" : {
        "AWS" : "arn:aws:iam::111122223333:root"
      },
      "Action" : [ 
        "kms:Describe*",
        "kms:Get*",
        "kms:List*"
      ],
      "Resource" : "*"
    }
  ]

トラフィックのプライバシー

インターフェイス VPC エンドポイントを使用するように DevOpsGuru を設定することで、リソース分析とインサイト生成のセキュリティを向上させることができます。これを行う場合、インターネットゲートウェイ、NAT デバイス、または仮想プライベートゲートウェイは必要ありません。また、 を設定する必要はありませんが PrivateLink、推奨されます。詳細については、「DevOpsGuru とインターフェイス VPC エンドポイント (AWS PrivateLink）」を参照してください。PrivateLink および VPC エンドポイントの詳細については、AWS PrivateLink「」および「 を介した AWS サービスへのアクセス PrivateLink」を参照してください。