これは AWS CDK v2 デベロッパーガイドです。旧版の CDK v1 は 2022 年 6 月 1 日にメンテナンスを開始し、2023 年 6 月 1 日にサポートを終了しました。

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# AWS クラウド開発キット (AWS CDK) のセキュリティ
<a name="security"></a>

## 責任 AWS 共有モデル
<a name="the_shared_aws_shared_responsibility_model"></a>

クラウドセキュリティは Amazon Web Services (AWS) の最優先事項です。お客様は AWS 、セキュリティを最も重視する組織の要件を満たすように構築されたデータセンターとネットワークアーキテクチャを活用できます。セキュリティは、お客様と AWS お客様の間の責任共有です。[責任共有モデル](https://aws.amazon.com/compliance/shared-responsibility-model/)では、これをクラウドのセキュリティおよびクラウド内のセキュリティとして説明しています。

 **クラウドのセキュリティ** – AWS クラウドで提供されているすべてのサービスを実行するインフラストラクチャ AWS を保護し、安全に使用できるサービスを提供します。における当社のセキュリティ責任は最優先事項であり AWS、当社のセキュリティの有効性は、[AWS コンプライアンスプログラムの一環としてサードパーティーの監査者によって定期的にテストおよび検証されます](https://aws.amazon.com/compliance/programs/)。

 **クラウド内のセキュリティ** – お客様の責任は、使用している AWS サービス、データの機密性、組織の要件、適用される法律や規制などのその他の要因によって決まります。

 AWS CDK は、サポートする特定の Amazon Web Services (AWS) サービスを通じて[責任共有モデル](https://aws.amazon.com/compliance/shared-responsibility-model/)に従います。 AWS サービスセキュリティ情報については、[AWS 「サービスセキュリティドキュメント」ページ](https://docs.aws.amazon.com/security/?id=docs_gateway#aws-security)と[AWS 、コンプライアンスプログラムによる AWS コンプライアンスの取り組みの対象となるサービス](https://aws.amazon.com/compliance/services-in-scope/)を参照してください。

## AWS CDK のセキュリティ
<a name="security_of_the_shared_aws_cdk"></a>

目的のインフラストラクチャの形状を記述する汎用プログラミング言語で記述されたプログラムがある場合、 AWS CDK はそのインフラストラクチャを作成する一連のデプロイ可能なアーティファクトを生成します。

### デフォルトで生成されたインフラストラクチャのセキュリティ
<a name="_security_of_default_generated_infrastructure"></a>

 *(AWSの責任)* コンストラクトライブラリの AWS コンストラクトは、権限のない第三者によるデータ開示、データ操作、特権の昇格、またはその他の改ざんを許可しないインフラストラクチャを生成するように設計されています ([責任共有モデル](https://aws.amazon.com/compliance/shared-responsibility-model/)に従って明示的に設定されていない限り）。

この期待に対する違反は、[会社全体の脆弱性報告メカニズムを通じて](https://aws.amazon.com/security/vulnerability-reporting/)報告できます。

### 信頼された環境での実行
<a name="_execution_in_a_trusted_environment"></a>

 *(お客様の責任)* CDK は、*信頼できる入力を持つ信頼できる環境で*実行されるように設計されています。 **ユーザーコード、メモリにロードされたライブラリ (NPM や pip などのパッケージマネージャーを介してインターネットからダウンロードされたライブラリを含む）、または CDK コンストラクトライブラリへの入力が信頼できることを確認するのはユーザーの責任です。CDK は悪意のある意図からユーザーを保護することはできません。

信頼されていない作成者が CDK アプリケーションを駆動するコードの一部を記述する環境や、信頼されていない当事者が検証なしで CDK コンストラクトへの入力を制御する環境では、CDK を使用しないでください。

### コンプライアンス検証は外部プロセスです
<a name="_compliance_verification_is_an_external_process"></a>

 *(お客様の責任)* 汎用プログラミング言語には無制限の表現性があるため、カスタム CDK コンストラクトはセキュリティポリシーへのバイパス不可能なコンプライアンス*を保証する*ことはできません。CDK には、[左のコンプライアンスチェックを移行](compliance-validation.md)するメカニズムと、[開発者が最小限の労力でコンプライアンス要件を満たすのに役立つ](blueprints.md)メカニズムがありますが、十分に判断された開発者は常に特別に設計されたコンストラクトの出力をバイパスできます。

コンプライアンスの保証が必要な場合は、[CloudFormation Hooks](https://docs.aws.amazon.com/cloudformation-cli/latest/hooks-userguide/what-is-cloudformation-hooks.html) などの CDK アプリケーションの外部プロセス、または CI Pipeline の別の CloudFormation テンプレート検証ステップを介して強制します。