機密データ検出ジョブの範囲のオプション

このオプションでは、分析する各 S3 バケットを明示的に選択します。次に、ジョブが実行されると、Macie によって、選択したバケット内のオブジェクトのみが分析されます。毎日、毎週、または毎月ベースで定期的に実行するようにジョブを設定すると、Macie はジョブが実行されるたびに同じバケット内のオブジェクトを分析します。

この設定は、特定のデータセットを対象とした分析を実行する場合に便利です。これにより、ジョブが分析するバケットの正確かつ予測可能な制御が可能になります。

このオプションでは、分析する S3 バケットを決定するランタイム基準を定義します。基準は、パブリックアクセス設定やタグなど、バケットプロパティから派生する 1 つ以上の条件で設定されます。ジョブが実行されると、Macie は条件に一致するバケットを識別し、それらのバケット内のオブジェクトを分析します。ジョブを定期的に実行するように設定した場合、Macie はジョブが実行されるたびにこれを行います。そのため、Macie は、バケットインベントリの変更と定義した基準に応じて、ジョブが実行されるたびに異なるバケット内のオブジェクトを分析する場合があります。

この設定は、分析範囲をバケットインベントリへの変更に動的に適応させる場合に便利です。バケット基準を使用して定期的に実行するようにジョブを設定すると、Macie は基準に一致する新しいバケットを自動的に識別し、それらのバケットに機密データがないか検査します。

バケットを所有 AWS アカウント する の一意の識別子 (ID)。このフィールドに複数の値を指定するには、各アカウントの ID を入力し、各エントリをカンマで区切ります。

また、Macie はこのフィールドのワイルドカード文字または部分的な値の使用をサポートしていないことに注意してください

バケットの名前。このフィールドは、Amazon S3 内の、Amazon Resource Name (ARN) (Amazon リソースネーム (ARN)) フィールドではなく、名前フィールドに関連します。このフィールドに複数の値を指定するには、各バケットの名前を入力し、各エントリをカンマで区切ります。

values (値) では、大文字と小文字が区別されることに注意してください。また、Macie はこのフィールドのワイルドカード文字または部分的な値の使用をサポートしていません。

バケットがパブリックアクセス可能かどうかを指定します。このフィールドには、次の値を 1 つ以上選択できます。

バケットがパブリックアクセス可能かどうかを判断するため、Macie はバケットのアカウントレベルとバケットレベルの設定、アカウントのブロックパブリックアクセスの設定、バケットのブロックパブリックアクセスの設定、バケットのバケットポリシー、およびバケットのアクセスコントロールリスト (ACL) の組み合わせを分析します。これらの設定の詳細については、「Amazon Simple Storage Service ユーザーガイド」の「Amazon S3 ストレージへのアクセスコントロールとパブリックアクセスのブロック」を参照してください。 Amazon S3

バケットを別の 、Amazon CloudFront オリジンアクセスアイデンティティ (OAI) AWS アカウント、または CloudFront オリジンアクセスコントロール (OAC) と共有するかどうかを指定します。このフィールドには、次の値を 1 つ以上選択できます。

バケットが別のバケットと共有されているかどうかを判断するために AWS アカウント、Macie はバケットのバケットポリシーと ACL を分析します。さらに、組織は、 を通じて、 AWS Organizations または Macie の招待によって関連アカウントのグループとして一元管理される一連の Macie アカウントとして定義されます。バケットを共有するための Amazon S3 オプションの詳細については、「Amazon Simple Storage Service ユーザーガイド」の「アクセスコントロール」を参照してください。

バケットが CloudFront OAA または OAC と共有されているかを決定するために、Macie はバケットのポリシーを分析します。CloudFront OAI または OAC を使用すると、ユーザーは 1 つ以上の指定された CloudFront ディストリビューションを介してバケットのオブジェクトにアクセスできます。詳細については、Amazon CloudFront デベロッパーガイドのAmazon S3 オリジンへのアクセスを制限するを参照してください。

バケットに関連付けられているタグ。タグは、S3 バケットを含む特定のタイプの AWS リソースを定義して割り当てることができるラベルです。各タグは、必要なタグキーとオプションのタグ値で設定されています。S3 バケットのタグ付けの詳細については、Amazon Simple Storage Service ユーザーガイドのコスト配分 S3 バケットタグの使用を参照してください。

機密データ検出ジョブの場合、このタイプの条件を使用して、特定のタグキー、特定のタグ値、または特定のタグキーとタグ値 (ペアとして) を持つバケットを含めるか除外できます。以下に例を示します。

タグのキーと値では、大文字と小文字が区別されます。また、Macie はタグ条件でのワイルドカード文字または部分的な値の使用をサポートしていません。

条件で複数のタグキーを指定するには、各タグキーを キーフィールドに入力し、各エントリをカンマで区切ります。条件で複数のタグ値を指定するには、各タグ値を 値フィールドに入力し、各エントリをカンマで区切ります。

Amazon S3 に 10,000 個を超えるバケットを保存する場合、Macie はすべてのバケットのタグデータを保持しないことに注意してください。Macie は、アカウントに対して 10,000 バケットのみの完全なインベントリデータを保持します。これは、最近作成または変更された 10,000 バケットです。他のすべてのバケットでは、関連するタグキーと値はインベントリデータに含まれません。つまり、等号 (eq) 演算子を使用する条件では、バケットは特定のタグキーまたは値と一致しません。タグベースの条件に不等号 (neq) 演算子を指定すると、バケットは条件に一致することになります。

これは S3 オブジェクトのファイル名拡張子に関連します。このタイプの条件を使用して、ファイルタイプに基づいてオブジェクトを含めるか除外することができます。複数のタイプのファイルに対してこれを行うには、各タイプのファイル名拡張子を入力し、各エントリをカンマで区切ります。次に例を示します: docx,pdf,xlsx。条件の値として複数のファイル名拡張子を入力すると、Macie は OR ロジックを使用して値を結合します。

values (値) では、大文字と小文字が区別されることに注意してください。また、Macie はこのタイプの条件での部分的な値またはワイルドカード文字の使用をサポートしていません。

Macie が分析できるファイルのタイプの詳細については、サポートされているファイルおよびストレージ形式を参照してください。

これは、Amazon S3 の 最終更新日時フィールドに関連します。Amazon S3 では、このフィールドには S3 オブジェクトが作成された日時、または最後に変更された日時のいずれか最新の日時が保存されます。

機密データ検出ジョブでは、この条件には、特定の日付、特定の日時、または唯一の時間範囲を指定できます。

協定世界時 (UTC) に任意の時間値を入力し、24 時間表記を使用します。

これは、Amazon S3 の キーフィールドに関連します。Amazon S3 では、このフィールドには、オブジェクトのプレフィックスを含む S3 オブジェクトの名前が保存されます。プレフィックスは、バケット内のディレクトリパスと類似しています。これにより、類似ファイルをファイルシステム上のフォルダにまとめて保存する場合と同様に、バケット内の類似オブジェクトをまとめてグループ化できます。Amazon S3 のオブジェクトのプレフィックスとフォルダの詳細については、Amazon Simple Storage Service ユーザーガイドのフォルダを使用して Amazon S3 コンソールでオブジェクトを整理するを参照してください。

このタイプの条件を使用して、キー (名前) が特定の値で始まるオブジェクトを含めるか除外することができます。たとえば、キーが AWSLogs で始まるすべてのオブジェクトを除外するには、プレフィックス 条件の値として AWSLogs と入力し、次に 除外 を選択します。

条件の値として複数のプレフィックスを入力すると、Macie は OR ロジックを使用して値を結合します。たとえば、条件の値として AWSLogs1 と AWSLogs2 を入力した場合、キーが AWSLogs1またはAWSLogs2で始まるすべてのオブジェクトは、条件の基準と一致しています。

プレフィックス条件で値を入力するときは、以下の点に注意してください。

また、オブジェクトが条件の条件に一致するのは、オブジェクトのキーの最初の文字から入力した値と完全に一致する場合だけであることに注意してください。また、Macieは、オブジェクトのファイル名を含め、オブジェクトの完全な キー値に条件を適用します。

例えば、オブジェクトのキーがAWSLogs/eventlogs/testlog.csvで、条件に以下の値のいずれかを入力した場合、そのオブジェクトは条件の条件にマッチします：

しかし、もしeventlogs を入力すると、オブジェクトは条件にマッチしません。—条件の値にキーの最初の部分であるAWSLogs/が含まれていないからです。同様に、 awslogsを入力しても、大文字と小文字の違いにより、オブジェクトは条件に一致しない。

これは、Amazon S3 の サイズフィールドに関連します。Amazon S3 では、このフィールドは S3 オブジェクトの合計ストレージサイズを示します。オブジェクトが圧縮ファイルの場合、この値は解凍後のファイルの実際のサイズを反映しません。

このタイプの条件を使用して、特定のサイズより小さい、特定のサイズより大きい、または特定のサイズ範囲内にあるオブジェクトを含めるか除外することができます。Macie は、圧縮ファイルやアーカイブファイル、およびそれらに含まれるファイルなど、すべてのタイプのオブジェクトにこの条件を適用します。サポートされている各フォーマットのサイズベースの制限については、Macie のクォータを参照してください。

S3オブジェクトに関連付けられたタグ。タグは、S3 オブジェクトを含む特定のタイプの AWS リソースを定義して割り当てることができるラベルです。各タグは、必要なタグキーとオプションのタグ値で設定されています。S3 オブジェクトのタグ付けの詳細については、Amazon Simple Storage Service ユーザーガイドのタグを使用してストレージを分類するを参照してください。

機密データ検出ジョブの場合、このタイプの条件を使用して、特定のタグを持つオブジェクトを含めるか除外できます。これは、特定のタグキー、または特定のタグキーとタグ値 (ペア) です。条件の値として複数のタグを指定すると、Macie は OR ロジックを使用して値を結合します。例えば、ある条件のタグキーとして、Project1 と Project2 を指定した場合、Project1または Project2のタグキーを持つオブジェクトが、条件と一致します。

タグのキーと値は大文字と小文字が区別されることに注意してください。また、Macie はこのタイプの条件での部分的な値またはワイルドカード文字の使用をサポートしていません。