As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Proteção de dados no Amazon GameLift Streams
O modelo de responsabilidade AWS https://aws.amazon.com/compliance/shared-responsibility-model/
Para fins de proteção de dados, recomendamos que você proteja Conta da AWS as credenciais e configure usuários individuais com Centro de Identidade do AWS IAM ou AWS Identity and Access Management (IAM). Dessa maneira, cada usuário receberá apenas as permissões necessárias para cumprir suas obrigações de trabalho. Recomendamos também que você proteja seus dados das seguintes formas:
-
Use uma autenticação multifator (MFA) com cada conta.
-
Use SSL/TLS para se comunicar com AWS recursos. Exigimos TLS 1.2 e recomendamos TLS 1.3.
-
Configure a API e o registro de atividades do usuário com AWS CloudTrail. Para obter informações sobre como usar CloudTrail trilhas para capturar AWS atividades, consulte Como trabalhar com CloudTrail trilhas no Guia AWS CloudTrail do usuário.
-
Use soluções AWS de criptografia, junto com todos os controles de segurança padrão Serviços da AWS.
-
Use serviços gerenciados de segurança avançada, como o Amazon Macie, que ajuda a localizar e proteger dados sensíveis armazenados no Amazon S3.
-
Se você precisar de módulos criptográficos validados pelo FIPS 140-3 ao acessar AWS por meio de uma interface de linha de comando ou de uma API, use um endpoint FIPS. Para saber mais sobre os endpoints FIPS disponíveis, consulte Federal Information Processing Standard (FIPS) 140-3
.
É altamente recomendável que nunca sejam colocadas informações confidenciais ou sensíveis, como endereços de e-mail de clientes, em tags ou campos de formato livre, como um campo Nome. Isso inclui quando você trabalha com o Amazon GameLift Streams ou outros Serviços da AWS usando o console, a API ou os AWS SDKs. AWS CLI Quaisquer dados inseridos em tags ou em campos de texto de formato livre usados para nomes podem ser usados para logs de faturamento ou de diagnóstico. Se você fornecer um URL para um servidor externo, é fortemente recomendável que não sejam incluídas informações de credenciais no URL para validar a solicitação nesse servidor.
O Amazon GameLift Streams lida com dados específicos do serviço da seguinte forma:
-
Customer-supplied aplicativos — o Amazon GameLift Streams armazena dados do cliente, se fornecidos, em buckets internos do Amazon S3 gerenciados por serviços e em unidades de armazenamento NVME conectadas às instâncias do Amazon EC2. Todos os dados são armazenados com criptografia gerenciada pelo serviço em repouso. Não há acesso direto do cliente a essa cópia dos dados. Para excluir um aplicativo, use o console do Amazon GameLift Streams ou a API do serviço.
-
Customer-supplied metadados — Os clientes podem fornecer metadados às APIs do Amazon GameLift Streams, incluindo descrições, informações de conexão e identificadores opacos, como IDs de clientes. Esses metadados estão sempre associados a recursos específicos do cliente.
-
Customer-generated dados — Se um aplicativo grava novos dados como parte de sua operação normal, esses dados gerados pelo cliente são retidos até o final da sessão do usuário. No final da sessão, os dados gerados podem ser exportados opcionalmente para um destino de bucket do Amazon S3 da escolha do cliente. Customer-generated caso contrário, os dados não sairão da instância do Amazon EC2 em que foram gerados. Para obter mais informações sobre o tratamento de dados, consulte os tópicos sobre Isolamento de sessão.
-
Métricas e dados de eventos — Dados de métricas e eventos do Amazon GameLift Streams, que podem ser acessados por meio do console do Amazon GameLift Streams ou por chamadas para a API do serviço. Os dados estão disponíveis em aplicativos, grupos de stream e sessões de stream. Usuários autorizados também podem acessar esses dados por meio da Amazon CloudWatch e do CloudWatch Events.
-
Credenciais de sessão — Quando você fornece um ARN de função do IAM
StartStreamSession, o Amazon GameLift Streams assume a função e fornece credenciais temporárias de curta duração para o aplicativo. O Amazon GameLift Streams armazena credenciais somente na memória da instância de streaming durante a sessão. O Amazon GameLift Streams nunca grava credenciais em disco, nunca as inclui nos logs de serviço e nunca as retorna nas respostas da API. Quando a sessão termina, o Amazon GameLift Streams limpa as credenciais da memória. O Amazon GameLift Streams armazena somente a função ARN (um identificador de recurso, não uma credencial) em bancos de dados de serviços, de acordo com as políticas de retenção de registros de sessão existentes. -
URLs de stream — Um URL de stream concede acesso temporário e não autenticado para iniciar uma sessão de stream. O URL do stream incorpora um token portador, para que qualquer pessoa que tenha o URL completo possa iniciar uma sessão até que o URL do stream expire, seja revogado ou atinja seu limite de uso. O Amazon GameLift Streams não exige que o usuário final apresente AWS credenciais ao ativar um URL de stream. Trate o URL completo do stream como uma credencial: distribua-o somente em canais confiáveis, forneça o menor limite possível de expiração e uso e revogue-o quando não for mais necessário. Para obter mais informações, consulte Melhores práticas de segurança para Amazon GameLift Streams e Compartilhe sessões de stream com URLs de stream.
Importante
Se você fornecer IDs de clientes ou outros identificadores ao Amazon GameLift Streams, espera-se que esses valores sejam referências anônimas e não contenham nenhuma informação confidencial ou pessoal. O Amazon GameLift Streams não edita nenhum campo de metadados.
Para obter mais informações sobre proteção de dados, consulte a publicação AWS
modelo de responsabilidade compartilhada e GDPR
Criptografia inativa
At-rest a criptografia dos GameLift Streams-specific dados da Amazon é tratada da seguinte forma:
-
O conteúdo do aplicativo é armazenado em buckets criptografados do Amazon S3 gerenciados pelo serviço e, adicionalmente, em unidades NVME criptografadas por hardware conectadas a instâncias do Amazon EC2 gerenciadas pelo serviço.
Criptografia em trânsito
As chamadas para as GameLift APIs do Amazon Streams são feitas por meio de uma conexão segura (SSL) e autenticadas usando o AWS Signature versão 4 (ao se conectar por meio da AWS CLI ou do AWS SDK, a assinatura é feita automaticamente). As entidades chamadoras usam credenciais de segurança, que são autenticadas aplicando as políticas de acesso do IAM definidas para os recursos do Amazon GameLift Streams.
No contexto de grupos de streaming com vários locais, para transmitir um aplicativo de qualquer local no grupo de streams que tenha sido alocada capacidade de streaming, o Amazon GameLift Streams replica aplicativos com segurança para esses locais.
Da mesma forma, o Amazon GameLift Streams salva dados de log e arquivos de sessão, quando solicitados, em buckets Amazon S3 nomeados pelo cliente no final de uma sessão. Se o bucket não estiver no mesmo local da sessão, o Amazon GameLift Streams transfere os arquivos com segurança para Região da AWS onde o bucket está localizado.
Quando as credenciais da sessão são configuradas, o Amazon GameLift Streams busca credenciais do AWS STS por meio de conexões. TLS-encrypted Seu aplicativo recebe credenciais com segurança no ambiente isolado da sessão.
Proteção dos fluxos do usuário final
Os streams individuais do usuário final são conexões diretas entre o navegador da web do usuário final e os hosts de back-end do Amazon Streams. GameLift Esses fluxos são protegidos com criptografia WebRTC padrão do setor, e os dois terminais do fluxo são identificados positivamente por identificadores criptográficos que fazem parte dos valores negociados por meio das APIs de sessão de stream. SignalRequest SignalResponse
As mensagens do canal de dados também são cobertas pela criptografia WebRTC usada para streams. Essas mensagens são descriptografadas pelo Amazon GameLift Streams e passadas localmente no host para o aplicativo do cliente por meio de uma API não criptografada. Se for necessária uma criptografia de ponta a ponta, que nem mesmo o serviço Amazon GameLift Streams pode descriptografar, essa camada adicional de criptografia é de responsabilidade do desenvolvedor do aplicativo.
Isolamento de sessão em classes de stream do Linux
Nas classes de stream do Linux (tempos de execução do Ubuntu e do Proton), o Amazon GameLift Streams usa o isolamento de contêineres. Cada sessão é executada em um novo contêiner Linux que é descartado após o uso. Isso significa que cada nova sessão é executada em um ambiente novo, isolado de outros usuários que compartilham o recurso de computação (se estiver sendo executada em uma classe de fluxo de recursos compartilhados). Não existem dados de sessões anteriores quando uma nova sessão é iniciada.
Isolamento de sessão em classes de stream do Windows
Nas classes de stream do Windows (tempos de execução do Microsoft Windows Server), o Amazon GameLift Streams usa isolamento de software. O serviço depende de um agente de software para redefinir o estado crítico do sistema entre as sessões. Algumas pastas são preservadas em várias sessões para permitir otimizações de desempenho, como o armazenamento em cache de disco no host. O agente de software remove automaticamente todos os arquivos que foram gerados no diretório de perfil do usuário durante a sessão de transmissão anterior. No entanto, o agente não remove nenhum arquivo que existia antes da execução do aplicativo e que foi modificado durante a execução do aplicativo. Também não remove nenhuma chave de registro do Windows que o aplicativo tenha adicionado. Você deve evitar danificar a integridade do sistema operacional geral. Os aplicativos são executados como usuário administrador, o que pode permitir modificações em arquivos críticos no nível do sistema, incluindo alterações que persistem em várias sessões. É sua responsabilidade proteger seus aplicativos e evitar a criação de modificações inseguras ou instáveis no sistema operacional.
Você é responsável por limpar os arquivos modificados e as chaves de registro adicionadas das sessões anteriores quando o aplicativo é iniciado. Essa é uma etapa importante para proteger as informações confidenciais ou confidenciais que o aplicativo grava no diretório do perfil do usuário. Para fazer isso, você pode escrever um script personalizado que executa as seguintes ações:
-
Restaure todos os arquivos fora do
%USERPROFILE%diretório que foram modificados pelo aplicativo. -
Limpe todas as chaves de registro confidenciais ou específicas do usuário que o aplicativo adicionou.
Gerenciamento das chaves de criptografia
O serviço usa chaves AWS gerenciadas para criptografia. Cada região usa uma chave KMS separada. As chaves gerenciadas pelo cliente não são suportadas.
Os arquivos de aplicativos fornecidos ao Amazon GameLift Streams não podem ser republicados ou exportados do serviço. Você pode usar o console de serviço ou as APIs para excluir aplicativos. As unidades que anteriormente continham esses arquivos de aplicativos podem ser completamente eliminadas excluindo os grupos de streams associados.
Inter-network privacidade de tráfego
O Amazon GameLift Streams usa redes públicas para hospedar sessões de stream. Cada grupo de stream consiste em uma ou mais redes VPC gerenciadas por serviços que são isoladas de outros grupos de stream e de outros clientes. As conexões de rede de entrada são negadas, exceto para conexões de fluxo WebRTC autenticadas e intermediadas pelo serviço. Seus aplicativos podem se conectar dessas VPCs a outros endereços públicos sem restrições.
Por padrão, os dados do seu aplicativo não estão acessíveis ao público. As chamadas de API AWS de gerenciamento exigem credenciais autenticadas, e você pode integrar o Amazon GameLift Streams ao seu próprio aplicativo web cliente que faz chamadas autenticadas para iniciar e exibir um stream.
O Amazon GameLift Streams também fornece URLs de stream, um mecanismo deliberado para conceder acesso temporário e não autenticado para iniciar uma sessão de stream. Ao criar um URL de stream, você intencionalmente permite que qualquer pessoa que tenha o URL do stream inicie uma sessão em um navegador compatível, sem AWS credenciais e sem criar seu próprio cliente. Como o URL do stream em si é a credencial, trate cada URL do stream como uma credencial de portador e controle sua distribuição, expiração e limite de uso adequadamente. Os URLs de stream são a única forma compatível de tornar um stream acessível publicamente sem seu próprio cliente autenticado; todas as outras interações de serviço continuam AWS exigindo chamadas de API autenticadas. Para obter mais informações, consulte Compartilhe sessões de stream com URLs de stream e Melhores práticas de segurança para Amazon GameLift Streams.
