翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon DevOpsGuru でのデータ保護

責任 AWS 共有モデル 、Amazon DevOpsGuru でのデータ保護に適用されます。このモデルで説明されているように、 AWS はすべての を実行するグローバルインフラストラクチャを保護する責任があります AWS クラウド。お客様は、このインフラストラクチャでホストされているコンテンツに対する管理を維持する責任があります。また、使用する AWS のサービス のセキュリティ設定と管理タスクもユーザーの責任となります。データプライバシーの詳細については、「データプライバシーFAQ」を参照してください。欧州でのデータ保護の詳細については、「セキュリティブログ」のAWS 「 責任共有モデル」とGDPR「ブログ記事」を参照してください。 AWS

データ保護の目的で、認証情報を保護し AWS アカウント 、 AWS IAM Identity Center または AWS Identity and Access Management () を使用して個々のユーザーを設定することをお勧めしますIAM。この方法により、それぞれのジョブを遂行するために必要な権限のみが各ユーザーに付与されます。また、次の方法でデータを保護することもお勧めします:

お客様の E メールアドレスなどの極秘または機密情報は、タグ、または名前フィールドなどの自由形式のテキストフィールドに配置しないことを強くお勧めします。これには、コンソール、、または を使用して DevOpsGuru または他の AWS のサービス API AWS CLIを操作する場合も含まれます AWS SDKs。名前に使用する自由記述のテキストフィールドやタグに入力したデータは、課金や診断ログに使用される場合があります。URL を外部サーバーに提供する場合は、そのサーバーへのリクエストを検証URLするために認証情報を に含めないことを強くお勧めします。

DevOpsGuru のデータ暗号化

暗号化は DevOpsGuru セキュリティの重要な部分です。一部の暗号化 (転送中のデータの暗号化など) はデフォルトで提供されるため、特に操作は必要ありません。その他の暗号化 (保管中のデータの暗号化など) については、プロジェクトまたはビルドの作成時に設定できます。

DevOpsGuru が でグラントを使用する方法 AWS KMS

DevOpsGuru には、カスタマーマネージドキーを使用するための許可が必要です。

カスタマーマネージドキーで暗号化を有効にすると、 DevOpsGuru は に CreateGrant リクエストを送信してユーザーに代わってグラントを作成します AWS KMS。のグラント AWS KMS は、 DevOpsGuru にカスタマーアカウントの AWS KMS キーへのアクセスを許可するために使用されます。

DevOpsGuru では、次の内部オペレーションにカスタマーマネージドキーを使用する権限が必要です。

任意のタイミングで、許可に対するアクセス権を取り消したり、カスタマーマネージドキーに対するサービスからのアクセス権を削除したりできます。そうすると、 DevOpsGuru はカスタマーマネージドキーによって暗号化されたデータにアクセスできなくなります。これは、そのデータに依存するオペレーションに影響します。例えば、 DevOpsGuru がアクセスできない暗号化されたログ異常情報を取得しようとすると、 オペレーションは AccessDeniedException エラーを返します。

DevOpsGuru での暗号化キーのモニタリング

DevOpsGuru リソースで AWS KMS カスタマーマネージドキーを使用する場合、 AWS CloudTrail または CloudWatch Logs を使用して DevOps、Gru が に送信するリクエストを追跡できます AWS KMS。

カスタマーマネージドキーを作成する

または を使用して、対称カスタマーマネージドキーを作成できます AWS Management Console AWS KMS APIs。

対称カスタマーマネージドキーを作成するには、「対称暗号化KMSキーの作成」を参照してください。

キーポリシー

キーポリシーは、カスタマーマネージドキーへのアクセスを制御します。すべてのカスタマーマネージドキーには、キーポリシーが 1 つだけ必要です。このポリシーには、そのキーを使用できるユーザーとその使用方法を決定するステートメントが含まれています。カスタマーマネージドキーを作成する際に、キーポリシーを指定することができます。詳細については、「 AWS Key Management Service デベロッパーガイド」の「 の認証とアクセスコントロール AWS KMS」を参照してください。

DevOpsGuru リソースでカスタマーマネージドキーを使用するには、キーポリシーで次のAPIオペレーションを許可する必要があります。

これにより、 DevOpsGuru は以下を実行できます。

次のステートメントには、 DevOpsGuru に追加できるポリシーステートメントの例が含まれています。

  "Statement" : [ 
    {
      "Sid" : "Allow access to principals authorized to use DevOps Guru",
      "Effect" : "Allow",
      "Principal" : {
        "AWS" : "*"
      },
      "Action" : [ 
        "kms:DescribeKey", 
        "kms:CreateGrant"
      ],
      "Resource" : "*",
      "Condition" : {
        "StringEquals" : {
          "kms:ViaService" : "devops-guru.Region.amazonaws.com",
          "kms:CallerAccount" : "111122223333"
        }
    },
    {
      "Sid": "Allow access for key administrators",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:root"
       },
      "Action" : [ 
        "kms:*"
       ],
      "Resource": "arn:aws:kms:region:111122223333:key/key_ID"
    },
    {
      "Sid" : "Allow read-only access to key metadata to the account",
      "Effect" : "Allow",
      "Principal" : {
        "AWS" : "arn:aws:iam::111122223333:root"
      },
      "Action" : [ 
        "kms:Describe*",
        "kms:Get*",
        "kms:List*"
      ],
      "Resource" : "*"
    }
  ]

トラフィックのプライバシー

インターフェイスVPCエンドポイントを使用するように DevOpsGuru を設定することで、リソース分析とインサイト生成のセキュリティを向上させることができます。そのためには、インターネットゲートウェイ、NATデバイス、仮想プライベートゲートウェイは必要ありません。また、 を設定する必要もありませんが PrivateLink、 を設定することをお勧めします。詳細については、「DevOpsGuru およびインターフェイスVPCエンドポイント (AWS PrivateLink）」を参照してください。PrivateLink および VPCエンドポイントの詳細については、AWS PrivateLink「」および「 を介したAWSサービスへのアクセス PrivateLink」を参照してください。