ソリューションとテクノロジーで成功への道筋をつけることができます。Cloudお客様のビジネス全体に役立つ、わかりやすい料金体系です。安全でインテリジェントなプラットフォームを使って今すぐ始めましょう。プロダクトをお試しいただけます。月時点のもので、作成時点の状況を表しています。ポリシーとシステムは変更される場合があります。プロダクト内にあるお客様の保存データを保護しています。以上の暗号化メカニズムを使用して、保存されているお客様のコンテンツを暗号化しています。お客様による操作は必要ありません。いくつかの細かな例外があります。詳細については、こちらのドキュメントをご覧ください。保存するデータは複数のチャンクに分割されます。各チャンクは一意のデータ暗号鍵で暗号化されます。これらのデータ暗号鍵は別の暗号鍵によって暗号化(「ラップ」)されたうえでデータと一緒に保存されます。鍵管理サービス内でのみ行われます。鍵管理サービスは冗長化されており、グローバルに分散しています。レベルで暗号化されます。プロダクトに一貫した暗号化を実装しています。この共通ライブラリは広範囲からアクセスできるため、この厳密に管理および審査されたコードの実装を少人数の暗号作成者からなる単一のチームによって行うことが可能になっています。ベンダーを選ぶ際の重要な基準です。セキュリティを最重要事項と考えています。セキュリティとプライバシーを重要視し、データ保護のためのたゆまぬ努力を続けています。サーバーに保存されたデータでも同様です。総合的なセキュリティ戦略の中核をなすのは、データ通信時および保存時における暗号化です。これにより、暗号鍵への監査済みアクセス権が承認されている役割とサービスだけがデータにアクセスできるようになります。取り組みを説明します。セキュリティ運用チームを対象としています。このドキュメントは、「はじめに」の項を除き、暗号化と初歩的な暗号についての基本事項を理解されていることを前提に作成しています。暗号化とは暗号化とは、読み取り可能なデータを入力(平文)として取り込み、元の平文の情報がほとんどわからない、またはまったくない状態の出力(暗号テキスト)に変換する処理のことです。ように公開されているものですが、実行には秘密の鍵を使用します。暗号テキストを元の形に復号するには、この鍵を使用する必要があります。暗号化を使用したデータの機密保持とともに、整合性保護も行っています。暗号テキストにアクセスできても、鍵がわからなければ内容を理解することも変更することもできません。Cryptography』もご覧ください。このホワイトペーパーでは、保存時の暗号化について説明しています。メディアに保存されているデータを保護するための暗号化を指します。暗号化は広範囲なセキュリティ戦略の一部です。暗号化により、データ保護のためのより高度な防御が可能になります。暗号化を使用すると、万が一攻撃者がデータを入手したとしても、暗号鍵がなければデータにアクセスすることはできません。デバイスを攻撃者が入手したとしても、そのデータを理解することも復号することもできません。スタックの下位レイヤが実質的に「切除」されるため、攻撃者が攻撃できる箇所が減ります。これらの下位レイヤが(デバイスへの物理的なアクセスなどにより)攻撃を受けても、適切な保護処理が行われていれば、これらのデバイスのデータには影響はありません。暗号化は「チョークポイント」にもなります。暗号鍵は一元管理されているため、データへのアクセスは必ずここを経由しなければならず、アクセスの監査も可能となります。顧客データのプライバシーを確保するための重要なメカニズムです。これにより、コンテンツにアクセスしなくても、システムがバックアップなどの目的でデータを操作でき、エンジニアはインフラストラクチャのサポートができるようになります。提供されたコンテンツを指します。顧客データには、顧客コンテンツと顧客メタデータがあります。ポリシーなどが該当します。このドキュメントで主に取り上げるのは、顧客コンテンツの保存時の暗号化です。「顧客メタデータ」とは、顧客データの残りの部分、つまり顧客コンテンツとして分類できないすべてのデータを指します。マシンタイプなどが該当します。メタデータは、進行中のパフォーマンスやオペレーションに対して妥当な範囲で保護されます。複数の暗号化レイヤを使用してデータを保護しています。複数の暗号化レイヤを使用することにより、冗長データ保護機能が追加され、アプリケーションの要件に基づいて最適な手法を選択できるようになります。保存されているデータを保護するために、複数の暗号化レイヤが使用されています。ストレージ暗号化が使用されています。デバイス暗号化が使用されています。顧客データをどのように保存しているかを理解する必要があります。チャンクに分割されます。達する場合もあります。レベルで暗号化されます。つのチャンクの暗号鍵が同じになることはありません。オブジェクトに属していても、あるいは同じマシンに保存されていても、異なる暗号鍵が使われます1。データのチャンクが更新されると、元の鍵を再利用せず、新しい鍵を使用してこのチャンクを暗号化します。このように分割されたデータのそれぞれが異なる鍵を使用するため、データ暗号鍵が漏えいしたとしても、被害範囲はそのデータチャンクだけにとどまります。データをディスクに書き込む前にデータを暗号化します。システムに当初から備わっている機能であり、後から追加されたものではありません。各データチャンクには一意の識別子があります。サービスのみであることが保証されます。これにより、承認なくデータにアクセスすることはできなくなり、データのセキュリティとプライバシーが強化されます。システムに分散され、バックアップと障害復旧のために暗号化形式で複製されます。チャンクと、(2)それらのチャンクに対応する暗号鍵をすべて把握し、さらにそれらのアクセス権を得る必要があります。データは保存にあたりチャンクに分割され暗号化されます。Standard(AES)アルゴリズムを使用しています。顧客のコンプライアンス要件の一部となっていることが多いためです。レベルで暗号化されます。Mode(GCM)が使用されます。ライブラリで実装されています。例外的に他のモードが使用される場合もあります。使用されています(アルゴリズムの詳細についてはこのドキュメントで後述します)。さまざまなモードで使用されます。デバイスレベルでも暗号化されます。レベルでのデータの暗号化に使用した鍵とは異なります)。使用されるようになります。プロセス全体でデータが確実かつ継続的に暗号化されます。この方法により、平文データが不必要に暴露されるのを避けることができます。ファイルを個別に暗号化します。鍵管理サービス(KMS)に保存されている鍵と、バックアップ時にランダムに生成されるファイル別のシードを使用して生成されます。保存されています(鍵管理の詳細についてはこの後のセクションで説明します)。以上の暗号化メカニズムを使用して、保存されている顧客コンテンツを暗号化します。次のような例外があります。これについては現在修正中です。ドライブに書き込まれるコアダンプ。これについては現在修正中です。ディスクに書き込まれるデバッグログ。これについては現在修正中です。システムが使用する一時ファイル。これについては現在修正中です。顧客コンテンツや顧客メタデータが含まれる可能性がある一部のログ。これについては今後修正予定です。レベルの暗号化によっても保護されます。鍵管理サービスチャンクのデータを暗号化するための鍵は「データ暗号鍵(DEK)」と呼ばれています。使用する鍵は膨大な数にのぼり、また低レイテンシと高可用性を実現する必要があるため、これらの鍵は暗号化対象のデータの近くに保存されます。「鍵暗号鍵(KEK)」を使用して暗号化(「ラップ」)されます。「鍵管理サービス(KMS)」に一括保存されています。これは鍵を保存するための専用のリポジトリです。か所から行うことができます。データチャンクに分割され、他のお客様用に使われる鍵とは別の鍵で暗号化されます3。それぞれ異なるものが使われます。システムによって生成されます。システムに戻され、データチャンクと一緒に保存されます。