美国国际武器贸易条例 (ITAR)

概览

AWS GovCloud（美国）支持遵守美国国际武器贸易条例 (ITAR)。作为管理综合 ITAR 合规计划的一部分，受 ITAR 出口条例制约的公司必须通过只允许授权人员访问来控制计划外出口。AWS GovCloud（美国）提供了一个实际上位于美国境内的环境，只有是美国公民的 AWS 员工才可访问该环境，从而使有资质的公司在使用 AWS 传输、处理和存储受保护的文章和数据时遵循 ITAR 限制。AWS GovCloud（美国）环境由独立的第三方评估组织（3PAO）来审计，以验证是否采取了适当控制措施来支持客户出口合规性计划。

• 什么是 ITAR？

  国际武器贸易条例 (ITAR) 用于控制美国对国防相关文章的出口，并且条例规定，任何非美国人都无权对 ITAR 环境中存储的文章进行物理或逻辑访问。

  ITAR 美国武器列表 (USML) 涵盖的文章包括除非获得特殊授权或豁免，否则仅能与美国人共享的设备、组件、材料、软件和技术信息。美国人指的是美国绿卡（永久居民卡）持有人，也就是美国公民。
  

• 如何在云中应用 ITAR 要求？

  云中的 ITAR 合规性致力于确保被视为 ITAR 技术数据的信息不会在未经适当授权的情况下意外发布给外国人或其他国家。
  

• AWS 如何向受 ITAR 出口条例约束的客户提供支持？

  AWS 允许客户选择将其数据存储在由美国公民在美国领土上单独管理的 AWS GovCloud（美国）中。AWS GovCloud（美国）是 Amazon 的隔离云环境，仅允许为美国组织工作的美国人设立账户。

  由于 AWS 无法得知客户在我们的网络中上传的内容，包括此数据是否受 ITAR 条例的约束，因此 AWS GovCloud（美国）中的所有客户数据均被视为 ITAR 数据。

• AWS GovCloud（美国）如何向客户保证其数据满足 ITAR 要求？

  虽然没有正式的 ITAR 认证，但获得认可的联邦风险与授权管理计划 (FedRAMP) 独立第三方评估机构 (3PAO) 会持续对 AWS GovCloud（美国）进行审计，且该区域已获得联合授权委员会 (JAB) 授予的高基准 FedRAMP 临时操作授权 (P-ATO)。美国国防部、国土安全局和总务管理局的首席信息官 (CIO) 组成了 JAB。有关更多信息，请参阅在 AWS GovCloud（美国）实现 FedRAMP 高合规性。
  

• 当客户在 AWS 中传输、处理和存储 ITAR 数据时，AWS 责任共担应如何应用？

  AWS 负责实现我们提供的云基础设施和核心服务的逻辑和物理合规性。客户负责他们自己的本地 IT 基础设施、应用程序和系统。从联合授权委员会 (JAB) 获得的高基准 AWS GovCloud FedRAMP 临时操作授权 (P-ATO) 证明了在 AWS GovCloud（美国）内实施了相应的控制措施。AWS 支持在 AWS 中构建符合 ITAR 标准的系统的客户。以下是一些可帮助客户管理自己的安全合规性义务的 AWS 服务示例：

  保护敏感数据：客户可以使用 Amazon S3 中的服务器端加密保护敏感的非机密数据；使用 AWS CloudHSM 或我们的一键 AWS Key Management Service (KMS) 存储和管理安全密钥。

  提高云可见性：客户可以使用 Amazon CloudTrail（我们的 API 日志记录服务）审计由美国人管理和运行的敏感数据的访问和使用。

  加强身份管理：客户可以按个人、时间、位置限制对敏感数据的访问。您还可以使用联合身份、简单密钥轮换和 AWS 中其他可用的强大访问控制测试工具来限制用户可以执行的 API 调用。