データ暗号化のオプション

Amazon S3 のサーバー側の暗号化: AWS がお客様の暗号化プロセスを管理します。例えば、Elastic Transcoder は Amazon S3 を呼び出し、Amazon S3 はデータを暗号化し、データセンター内のディスクに保存して、ダウンロードするときにデータを復号化します。

デフォルトでは、Amazon S3 バケットは暗号化されたファイルと暗号化されていないファイルの両方を受け入れますが、暗号化されたファイルだけを受け入れるように Amazon S3 バケットを設定できます。Elastic Transcoder が Amazon S3 バケットにアクセスできる限り、アクセス権限を変更する必要がありません。

Amazon S3 のサーバー側の暗号化の詳細については、「Amazon Simple Storage Service ユーザーガイド」の「サーバー側の暗号化を使用したデータの保護」を参照してください。AWS KMS キーの詳細については、「AWS Key Management Service デベロッパーガイド」の「AWS Key Management Service とは」を参照してください。

お客様が用意したキーによるクライアント側の暗号化: Elastic Transcoder では、お客様が用意した暗号化キーを使用して、入力ファイル (お客様によって暗号化済みのもの) を復号することや、Amazon S3 に保存する前に出力ファイルを暗号化することができます。この場合、暗号化キーや関連ツールはお客様が管理してください。

お客様が用意したキーを使用して Elastic Transcoder でファイルをトランスコードする場合、ジョブのリクエストには、ファイルを暗号化するために使用した AWS KMS 暗号化キー、チェックサムとして使用されるキーの MD5、出力ファイルを暗号化するときに Elastic Transcoder で使用する初期化ベクトル (またはランダムビットジェネレーターによって作成される一連のランダムビット) を含める必要があります。

Elastic Transcoder では、AWS KMS KMS キーで暗号化された、お客様が用意したキーのみを使用することができ、Elastic Transcoder には KMS キーを使用するためのアクセス許可が必要です。キーを暗号化するには、次の情報が含まれている暗号化の呼び出しを使用して、プログラムによって AWS KMS を呼び出す必要があります。

{
    "EncryptionContext": {
        "service" : "elastictranscoder.amazonaws.com"
    },
    "KeyId": "The ARN of the key associated with your pipeline",
    "Plaintext": blob that is your AES key
}

キーを使用するためのアクセス許可を Elastic Transcoder に付与する方法については、「Elastic Transcoder との AWS KMS の使用」を参照してください。

データ暗号化の詳細については、AWS KMS API リファレンスと「データの暗号化と復号化」を参照してください。コンテキストについての詳細は、『AWS Key Management Service デベロッパー ガイド』の「暗号化コンテキスト」を参照してください。

お客様が提供するキーの詳細については、『Amazon Simple Storage Service ユーザーガイド』の「お客様が用意した暗号化キーによるサーバー側の暗号化を使用したデータの保護」を参照してください。

Elastic Transcoder のパイプライン

Elastic Transcoder パイプラインに関連付けられた IAM ロール

AWS KMS キー

AWS KMS キーの ARN