# AWS データ転送ターミナルでのデータ保護
AWS データ転送ターミナルでのデータ保護に AWS の[責任共有モデル](https://aws.amazon.com/compliance/shared-responsibility-model/)がどのように適用されるかについて説明します。このモデルで説明したように、AWS は、すべての AWS クラウドを実行するグローバルインフラストラクチャを保護する責任を負います。ユーザーは、このインフラストラクチャでホストされるコンテンツに対する管理を維持する責任があります。また、使用する AWS のサービスのセキュリティ設定と管理タスクにも責任があります。データプライバシーの詳細については、「[データプライバシーに関するよくある質問](https://aws.amazon.com/compliance/data-privacy-faq/)」を参照してください。欧州でのデータ保護の詳細については、**AWS セキュリティブログの「[AWS 責任共有モデルと GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) ブログ記事を参照してください。
データ保護の目的で、AWS アカウントの認証情報を保護し、個々のユーザーアカウントを AWS IAM Identity Center または AWS Identity and Access Management (IAM) で設定することをお勧めします。この方法により、それぞれのジョブを遂行するために必要な権限のみが各ユーザーに付与されます。また、次の方法でデータを保護することもお勧めします:
+ 各アカウントで多要素認証 (MFA) を使用します。
+ SSL/TLS を使用して AWS リソースと通信します。TLS 1.2 は必須ですが、TLS 1.3 を推奨します。
+ AWS CloudTrail を使用して API とユーザーアクティビティログを設定します。CloudTrail 証跡を使用して AWS アクティビティをキャプチャする方法については、「**AWS ユーザーガイド」の「[CloudTrail 証跡の使用](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)」を参照してください。
+ AWS 暗号化ソリューションを AWS のサービス内のすべてのデフォルトのセキュリティ管理と一緒に使用します。
+ Amazon Macie などの高度な管理されたセキュリティサービスを使用します。これらは、Amazon S3 に保存されている機密データの検出と保護を支援します。
+ コマンドラインインターフェイスまたは API を使用して AWS にアクセスする際に FIPS 140-3 検証済みの暗号化モジュールが必要な場合は、FIPS エンドポイントを使用します。利用可能な FIPS エンドポイントの詳細については、「[連邦情報処理規格 (FIPS) 140-3](https://aws.amazon.com/compliance/fips/)」を参照してください。
お客様の E メールアドレスなどの極秘または機密情報を、タグ、または **[名前]** フィールドなどの自由形式のテキストフィールドに含めないことを強くお勧めします。コンソール、API、AWS CLI、または AWS SDK サービスと転送ターミナル、または他の AWS サービスを併用する場合も同様です。タグ、または名前に使用される自由記述のテキストフィールドに入力したデータは、請求または診断ログに使用される場合があります。外部サーバーに URL を提供する場合、そのサーバーへのリクエストを検証できるように、認証情報を URL に含めないことを強くお勧めします。
## データ暗号化
AWS データ転送ターミナルは、セルフマネージドストレージシステムと AWS ストレージサービス間でデータを安全に転送するための高速ネットワーク接続へのアクセスを提供します。転送中のストレージデータの暗号化方法は、デバイス上で有効になっているポリシーと、データが転送されるサービスによって異なります。データの管理と転送中の暗号化は、データ転送ターミナルを使用する個人の責任です。
### 保管中の暗号化
AWS データ転送ターミナルは、保管中のデータをすべて暗号化します。
データ転送ターミナルは、予約に必要なデータのみをキャプチャします。これには、予約に参加する個人および予約をスケジュールするために指定された個人の姓名や E メールアドレスが含まれます。このデータ収集の目的は、予約の詳細を確認し、データ転送を実行するために部屋へのアクセスを確保することです。このトランザクション情報は 35 日以上はバックアップされませんが、AWS アカウント情報は 10 年間保持されます。
## 転送中の暗号化
AWS データ転送ターミナルは、転送中のデータを暗号化しません。コンソールからデータ転送ターミナル API エンドポイントを操作し、転送チームのセットアップ、担当者の追加、予約のスケジュールを行う際は、データが転送中に暗号化されます。AWS 責任共有モデルの一環として、データ転送ターミナルを介して AWS サービスへの接続方法を選択できます。TLS 1.2 や 1.3 などの強力な転送中暗号化を使用して、AWS サービスに接続することを強くお勧めします。
例えば、以下のバケットポリシーに示すように、Amazon S3 バケットポリシーの [aws:SecureTransport](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html#Conditions_Boolean) 条件を使用して、HTTPS (TLS) 経由で暗号化された接続のみを使用します。
```
```
Amazon S3 など、他の AWS サービスを使用した転送中のデータ暗号化の詳細については、「Amazon S3 ユーザーガイド」の「[サーバー側の暗号化によるデータの保護](https://docs.aws.amazon.com/AmazonS3/latest/userguide/serv-side-encryption.html)」を参照してください。
## キー管理
AWS データ転送ターミナルは、カスタマーマネージドキーを直接サポートしていません。データ転送ターミナルを予約する際は、あなたが接続する AWS サービスで利用可能なカスタマーマネージドキーのサポートを使用してください。カスタマーマネージドキーの詳細と保管中のデータの暗号化方法については、「[AWS Key Management Service デベロッパーガイド](https://docs.aws.amazon.com/kms/latest/developerguide/overview.html#customer-cmk#IMUpdateThresholdFromMap)」の [[AWS KMS キー]](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#customer-cmk#IMUpdateThresholdFromMap) セクションを参照してください。
## ネットワーク間トラフィックのプライバシー
データ転送ターミナルコンソールへのアクセスは、公開されたサービス API を通じて行います。データ転送ターミナルリソースは、仮想プライベートクラウド (VPC) とは独立しています。