Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Perlindungan data di Amazon CloudFront
Model tanggung jawab AWS https://aws.amazon.com/compliance/shared-responsibility-model/
Untuk tujuan perlindungan data, kami menyarankan Anda melindungi Akun AWS kredenSIAL dan mengatur pengguna individu dengan AWS IAM Identity Center atau AWS Identity and Access Management (IAM). Dengan cara itu, setiap pengguna hanya diberi izin yang diperlukan untuk memenuhi tanggung jawab tugasnya. Kami juga menyarankan supaya Anda mengamankan data dengan cara-cara berikut:
-
Gunakan autentikasi multi-faktor (MFA) pada setiap akun.
-
Gunakan SSL/TLS untuk berkomunikasi dengan AWS sumber daya. Kami mensyaratkan TLS 1.2 dan menganjurkan TLS 1.3.
-
Siapkan API dan pencatatan aktivitas pengguna dengan AWS CloudTrail. Untuk informasi tentang menggunakan CloudTrail jalur untuk menangkap AWS aktivitas, lihat Bekerja dengan CloudTrail jejak di Panduan AWS CloudTrail Pengguna.
-
Gunakan solusi AWS enkripsi, bersama dengan semua kontrol keamanan default di dalamnya Layanan AWS.
-
Gunakan layanan keamanan terkelola tingkat lanjut seperti Amazon Macie, yang membantu menemukan dan mengamankan data sensitif yang disimpan di Amazon S3.
-
Jika Anda memerlukan modul kriptografi tervalidasi FIPS 140-3 saat mengakses AWS melalui antarmuka baris perintah atau API, gunakan titik akhir FIPS. Lihat informasi selengkapnya tentang titik akhir FIPS yang tersedia di Standar Pemrosesan Informasi Federal (FIPS) 140-3
.
Kami sangat merekomendasikan agar Anda tidak pernah memasukkan informasi identifikasi yang sensitif, seperti nomor rekening pelanggan Anda, ke dalam tanda atau bidang isian bebas seperti bidang Nama. Ini termasuk saat Anda bekerja dengan CloudFront atau Layanan AWS menggunakan konsol, API AWS CLI, atau AWS SDK. Data apa pun yang Anda masukkan ke dalam tanda atau bidang isian bebas yang digunakan untuk nama dapat digunakan untuk log penagihan atau log diagnostik. Saat Anda memberikan URL ke server eksternal, kami sangat menganjurkan supaya Anda tidak menyertakan informasi kredensial di dalam URL untuk memvalidasi permintaan Anda ke server itu.
Amazon CloudFront menyediakan beberapa opsi yang dapat Anda gunakan untuk membantu mengamankan konten yang disampaikannya:
-
Konfigurasi koneksi HTTPS.
-
Konfigurasikan enkripsi tingkat bidang untuk menyediakan keamanan tambahan untuk data tertentu selama transit.
-
Batasi akses ke konten agar hanya orang tertentu, atau orang di area tertentu, yang bisa melihatnya.
Topik berikut menjelaskan opsi secara lebih terperinci.
Enkripsi saat bergerak
Untuk mengenkripsi data selama transit, Anda mengonfigurasi Amazon CloudFront untuk mengharuskan pemirsa menggunakan HTTPS untuk meminta file Anda, sehingga koneksi dienkripsi saat CloudFront berkomunikasi dengan pemirsa. Anda juga dapat mengonfigurasi CloudFront untuk menggunakan HTTPS untuk mendapatkan file dari asal Anda, sehingga koneksi dienkripsi saat CloudFront berkomunikasi dengan asal Anda.
Untuk informasi selengkapnya, lihat Gunakan HTTPS dengan CloudFront.
Field-level enkripsi menambahkan lapisan keamanan tambahan bersama dengan HTTPS yang memungkinkan Anda melindungi data tertentu di seluruh pemrosesan sistem sehingga hanya aplikasi tertentu yang dapat melihatnya. Dengan mengonfigurasi enkripsi tingkat bidang di CloudFront, Anda dapat mengunggah informasi sensitif yang dikirimkan pengguna dengan aman ke server web Anda. Informasi sensitif yang diberikan oleh klien Anda dienkripsi pada tepi yang lebih dekat dengan pengguna. Itu tetap dienkripsi di seluruh tumpukan aplikasi Anda, memastikan bahwa hanya aplikasi yang membutuhkan data — dan memiliki kredenSIAL untuk mendekripsinya — yang dapat melakukannya.
Untuk informasi selengkapnya, lihat Gunakan enkripsi tingkat lapangan untuk membantu melindungi data sensitif.
T CloudFront itik akhir API, cloudfront.amazonaws.com dancloudfront-fips.amazonaws.com, hanya menerima lalu lintas HTTPS. Ini berarti bahwa ketika Anda mengirim dan menerima informasi menggunakan CloudFront API, data Anda selalu dienkripsi saat transit. Data ini mencakup konfigurasi distribusi, kebijakan cache dan kebijakan permintaan asal, grup kunci dan kunci publik, dan kode fungsi di CloudFront Functions. Selain itu, semua permintaan yang dikirim ke titik CloudFront akhir API ditandatangani dengan AWS kredenSIAL dan masuk AWS CloudTrail.
Kode fungsi dan konfigurasi di CloudFront Functions selalu dienkripsi saat transit ketika disalin ke titik kehadiran lokasi tepi (POP), dan antara lokasi penyimpanan lain yang digunakan oleh CloudFront.
Enkripsi saat diam
Kode fungsi dan konfigurasi di CloudFront Functions selalu disimpan dalam format terenkripsi di lokasi tepi POP, dan di lokasi penyimpanan lain yang digunakan oleh CloudFront.
Batasi Akses ke Konten
Banyak perusahaan yang mendistribusikan konten melalui internet ingin membatasi akses ke dokumen, data bisnis, aliran media, atau konten yang dimaksudkan untuk subset pengguna. Untuk menyajikan konten ini dengan aman menggunakan Amazon CloudFront, Anda dapat melakukan satu atau beberapa hal berikut:
- Menggunakan URL atau cookie bertanda tangan
-
Anda dapat membatasi akses ke konten yang ditujukan untuk pengguna tertentu—misalnya, pengguna yang telah membayar biaya—dengan menyajikan konten pribadi ini melalui CloudFront menggunakan URL yang ditandatangani atau cookie yang ditandatangani. Untuk informasi selengkapnya, lihat Menyajikan konten pribadi dengan URL yang ditandatangani dan cookie yang ditandatangani.
- Batasi akses ke konten dalam bucket Amazon S3
-
Jika Anda membatasi akses ke konten Anda dengan menggunakan, misalnya, URL CloudFront yang ditandatangani atau cookie yang ditandatangani, Anda juga tidak ingin orang melihat file dengan menggunakan URL langsung untuk file tersebut. Sebagai gantinya, Anda ingin mereka mengakses file hanya dengan menggunakan CloudFront URL, sehingga perlindungan Anda berfungsi.
Jika Anda menggunakan bucket Amazon S3 sebagai sumber untuk CloudFront distribusi, Anda dapat mengatur kontrol akses asal (OAC) yang memungkinkan untuk membatasi akses ke bucket S3. Untuk informasi selengkapnya, lihat Batasi akses ke asal Amazon S3.
- Membatasi akses ke konten yang disajikan oleh Penyeimbang Beban Aplikasi (Application Load Balancer)
-
Saat Anda menggunakan CloudFront dengan Application Load Balancer di Elastic Load Balancing sebagai asal, Anda dapat mengonfigurasi CloudFront untuk mencegah pengguna mengakses Penyeimbang Beban Aplikasi secara langsung. Hal ini memungkinkan pengguna untuk mengakses Application Load Balancer hanya melalui CloudFront, memastikan bahwa Anda mendapatkan manfaat dari penggunaan CloudFront. Untuk informasi selengkapnya, lihat Batasi akses ke Penyeimbang Beban Aplikasi.
- Gunakan AC AWS WAF L web
-
Anda dapat menggunakan AWS WAF, layanan firewall aplikasi web, untuk membuat daftar kontrol akses web (ACL web) untuk membatasi akses ke konten Anda. Berdasarkan kondisi yang Anda tentukan, seperti alamat IP yang berasal dari permintaan atau nilai string kueri, CloudFront merespons permintaan baik dengan konten yang diminta atau dengan kode status HTTP 403 (Dilarang). Untuk informasi selengkapnya, lihat Gunakan AWS WAF perlindungan.
- Gunakan pembatasan geo
-
Anda bisa menggunakan pembatasan geo, juga dikenal sebagai pemblokiran geo, untuk mencegah pengguna di lokasi geografis tertentu agar tidak mengakses konten yang Anda layani melalui distribusi CloudFront. Ada beberapa opsi yang bisa dipilih saat Anda mengonfigurasi pembatasan geografis. Untuk informasi selengkapnya, lihat Batasi distribusi geografis konten Anda.
