Proteção de dados no AWS Identity and Access Management
O AWS modelo de responsabilidade compartilhada
Para fins de proteção de dados, recomendamos que você proteja as credenciais da Conta da AWS e configure as contas de usuário individuais com AWS IAM Identity Center ou AWS Identity and Access Management (IAM). Dessa maneira, cada usuário receberá apenas as permissões necessárias para cumprir suas obrigações de trabalho. Recomendamos também que você proteja seus dados das seguintes formas:
-
Use uma autenticação multifator (MFA) com cada conta.
-
Use SSL/TLS para se comunicar com os recursos da AWS. Exigimos TLS 1.2 e recomendamos TLS 1.3.
-
Configure a API e atividade do usuário logando com AWS CloudTrail. Para obter mais informações sobre como usar as trilhas do CloudTrail para capturar atividades da AWS, consulte Working with CloudTrail trails no Guia do Usuário do AWS CloudTrail.
-
Use as soluções de criptografia AWS, juntamente com todos os controles de segurança padrão em Serviços da AWS.
-
Use serviços gerenciados de segurança avançada, como o Amazon Macie, que ajuda a localizar e proteger dados sigilosos armazenados no Amazon S3.
-
Se você precisar de módulos criptográficos validados pelo FIPS 140-3 ao acessar a AWS por meio de uma interface de linha de comando ou uma API, use um endpoint do FIPS. Para obter mais informações sobre os endpoints FIPS disponíveis, consulte Federal Information Processing Standard (FIPS) 140-3
.
É altamente recomendável que nunca sejam colocadas informações de identificação confidenciais, como endereços de email dos seus clientes, em marcações ou campos de formato livre, como um campo Name. Isso inclui trabalhar com o IAM ou outros Serviços da AWS usando o console, a API, a AWS CLI ou os SDKs da AWS. Quaisquer dados inseridos em tags ou campos de texto de formato livre usados para nomes podem ser usados para logs de faturamento ou de diagnóstico. Se você fornecer um URL para um servidor externo, recomendemos fortemente que não sejam incluídas informações de credenciais no URL para validar a solicitação a esse servidor.
Criptografia de dados no IAM e no AWS STS
A criptografia de dados geralmente se encaixa em duas categorias: criptografia em repouso e criptografia em trânsito.
Criptografia em repouso
Os dados coletados e armazenados pelo IAM são criptografados em repouso.
-
IAM: os dados coletados e armazenados no IAM incluem endereços IP, metadados da conta do cliente e dados de identificação do cliente que incluem senhas. Os metadados da conta do cliente e os dados de identificação do cliente são criptografados em repouso usando o AES 256 e o SHA 256 com hash.
-
AWS STS: o AWS STS não coleta conteúdo do cliente, exceto para logs de serviço que registram solicitações bem-sucedidas, com erro e com falha para o serviço.
Criptografia em trânsito
Os dados de identificação do cliente, incluindo senhas, são criptografados em trânsito usando o TLS 1.2 e 1.3. Todos os endpoints do AWS STS oferecem suporte a HTTPS para criptografar dados em trânsito. Para obter uma lista de endpoints do AWS STS, consulte Regiões e endpoints do AWS STS.
Gerenciamento de chaves no IAM e no AWS STS
Não é possível gerenciar chaves de criptografia usando o IAM ou o AWS STS. Para obter mais informações sobre chaves de criptografia, consulte O que é o AWS KMS? no Guia do desenvolvedor do AWS Key Management Service
Privacidade do tráfego entre redes no IAM e no AWS STS
As solicitações ao IAM devem ser feitas usando o protocolo Transport Layer Security (TLS). É possível proteger conexões com o serviço do AWS STS usando VPC endpoints. Para saber mais, consulte Endpoints da VPC de interface.
