翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Data Firehose でのデータ保護

Amazon Data Firehose はTLS、プロトコルを使用して転送中のすべてのデータを暗号化します。さらに、処理中に中間ストレージに保存されるデータの場合、Amazon Data Firehose は を使用してデータを暗号化AWS Key Management Serviceし、チェックサム検証を使用してデータの整合性を検証します。

機密データがある場合は、Amazon Data Firehose の使用時にサーバー側のデータ暗号化を有効にできます。これを行う方法は、データソースによって異なります。

Kinesis Data Streams によるサーバー側の暗号化

データプロデューサーからデータストリームにデータを送信すると、Kinesis Data Streams は保管中のデータを保存する前に AWS Key Management Service （AWS KMS) キーを使用してデータを暗号化します。Firehose ストリームがデータストリームからデータを読み取ると、Kinesis Data Streams はまずデータを復号してから Amazon Data Firehose に送信します。Amazon Data Firehose は、指定したバッファリングヒントに基づいてメモリ内のデータをバッファします。その後、暗号化されていないデータを保存することなく、送信先に配信します。

Kinesis Data Streams でサーバー側の暗号化を有効にする方法については、Amazon Kinesis Data Streams 開発者ガイドの「サーバー側の暗号化の使用」を参照してください。

Direct PUTまたはその他のデータソースによるサーバー側の暗号化

PutRecord または を使用して Firehose ストリームにデータを送信する場合PutRecordBatch、または AWS IoT、Amazon CloudWatch Logs、または CloudWatch Events を使用してデータを送信する場合は、 StartDeliveryStreamEncryptionオペレーションを使用してサーバー側の暗号化を有効にすることができます。

を停止するには server-side-encryption、 StopDeliveryStreamEncryptionオペレーションを使用します。

Firehose ストリームを作成するSSEときに を有効にすることもできます。そのためには、 を呼び出すDeliveryStreamEncryptionConfigurationInputタイミングを指定しますCreateDeliveryStream。

CMK がタイプ の場合CUSTOMER_MANAGED_CMK、Amazon Data Firehose サービスが KMSNotFoundException、、KMSInvalidStateException、KMSDisabledExceptionまたは が原因でレコードを復号できない場合KMSAccessDeniedException、サービスは問題を解決するまで最大 24 時間 (保持期間) 待機します。保持期間を超えて問題が解決されない場合、サービスは、保持期間を超えて復号できなかったレコードをスキップし、データを破棄します。Amazon Data Firehose には、4 つの AWS KMS 例外を追跡するために使用できる次の 4 つの CloudWatch メトリクスが用意されています。

これら 4 つのメトリクスの詳細については、「 CloudWatch メトリクスを使用して Amazon Data Firehose をモニタリングする」を参照してください。