データの保管場所 (Data Location)
Data Locationレポートは、「私たちのデータは実際にどこにあるのか」という問いに答える画面です。接続(AWSアカウント)ごとに元データが保存されるバケットとリージョン、この製品のプラットフォーム自体の場所、そして何がお客様所有のストレージにあり、何がこの製品のデータベースにあるかを1つの画面で確認できます。
1. 接続ごとの保管場所
接続ごとに次が表示されます。
- 接続リージョン — このAWSアカウント接続が対象とするリージョン
- ストレージ — 元データが書き込まれるお客様所有のS3バケット、そのバケットのリージョン、バケット内のパス(prefix)、暗号化に使われるKMSキーとそのリージョン。ストレージ連携がまだ完了していない接続は、この値が空欄になり未連携と表示されます。
- インデックス状態 — 資産探索に使うResource Explorerのインデックスがあるか、あればどのリージョンか。一度も確認したことがない場合は未確認、確認済みでインデックスがない場合は未インデックスと表示されます。
2. プラットフォームの保管場所
接続とは関係なく、この製品のプラットフォーム自体がどこにあるかも同じレポートに表示されます。
- プラットフォームリージョン — サービスが運用されている基本リージョン
- データベース — サマリー・ハッシュ・メタデータが保存される、この製品自身のデータベース(下記のデータ分類表を参照)
- 認証 — サインイン・アカウント管理に使われる認証サービスのリージョン
- メール — 通知・招待メールの送信に使われるサービスのリージョン
- バックアップ — バックアップ方針についての説明(運用担当が記入する案内文)。空欄の場合は案内文がまだ記入されていないという意味であり、バックアップがないという意味ではありません。
3. データ分類表: 何がどこにあるか
レポートには、データの種類ごとに**お客様所有のストレージ(tier-A)**にあるか、**この製品のデータベース(tier-B)**にあるかを示す表も含まれます。
| tier | データの種類 |
|---|---|
| A(お客様所有のストレージ) | finding原文、資産属性、IAM文書、ポリシー本文、統制レポート本文、手動証跡ファイル、アクセスレビューのスナップショット・レポート、証跡パッケージ(zip) |
| B(この製品のデータベース) | サマリー・集計値、ハッシュ、マニフェスト、監査イベント、実行履歴(台帳) |
tier-Aの項目はすべて、お客様が所有するS3バケットに、お客様が管理するKMSキーで暗号化されて保存されます。この製品側のデータベースには、その原文を指す位置情報とハッシュ、そして画面表示に使うサマリー数値だけがあります — 原文自体を複製して保持することはありません。
どちらのtierも保存期間は証跡(evidence)ポリシーに従い、デフォルトは3年です(組織のポリシーで調整可能)。
4. 可用性確認: 「消失」が意味すること
レポートを可用性を含めて照会すると、各成果物の元のサービスが、自分が書き込んだtier-Aの原本のうち直近の数件をサンプルとして改めて読み直します。結果は次のいずれかで表示されます。
- 正常 — サンプルがすべて読み取れました(サンプルが0件、つまりまだ何も作られていない場合もこの値になります)。
- 低下 — 一部が読み取れませんでした。消失した項目の例がどれを読み取れなかったかとともに表示されます。
- 未連携 — この接続のストレージがまだオンボーディングされていません。
- 確認不可 — 元のサービス自体を確認できませんでした(一時的な通信障害など)。
「消失」とは、この製品が過去にそのファイルを書き込んだものの、今はお客様のバケットから読み取れないことを意味します — バケット側でオブジェクトが削除された、名前が変わった、暗号化キーへのアクセス権限が変わった、などの理由が考えられます。可用性確認はレポートの作成を妨げません — これは観測結果であってレポートの入力ではないため、消失があってもレポートは作成され、その事実がレポートにそのまま記載されます。
5. 照会範囲
Data Locationレポートは、次の3つの範囲で照会できます。
- 接続1件 — プロジェクト設定のData Locationタブ
- 接続グループ — グループページのData Locationタブ
- テナント全体 — 組織設定のData Locationタブ(すべての接続のバケット・キー情報が一度に露出するため、管理者と、該当のアクセス権を持つ監査人のみが照会できます)
6. PDFへのエクスポート
どの範囲でもPDFにエクスポートを押すと文書として受け取れます。契約書の付属書として添付したり、監査人にそのまま渡したりできる形式です。他の成果物(統制レポート・アクセスレビュー・監査履歴)と一緒に署名済みの1つの束として受け取るには、証跡パッケージを参照してください。