AWS Cloud Control API のセキュリティ

AWS では、クラウドセキュリティが最優先事項です。AWS のお客様は、セキュリティを非常に重視する組織の要件を満たせるように構築されたデータセンターとネットワークアーキテクチャーの利点を活用できます。

セキュリティは、AWS とユーザーの間の責任共有です。責任共有モデルでは、これをクラウドのセキュリティおよびクラウド内のセキュリティと説明しています。

• クラウドのセキュリティ - AWS は、AWS クラウド で AWS のサービスを実行するインフラストラクチャを保護する責任を担います。また、AWS は、ユーザーが安全に使用できるサービスも提供します。AWS コンプライアンスプログラム の一環として、サードパーティーの監査が定期的にセキュリティの有効性をテストおよび検証しています。Cloud Control API に適用されるコンプライアンスプログラムの詳細については、「コンプライアンスプログラムによる対象範囲内の AWS のサービス」「」を参照してください。

• クラウド内のセキュリティ - ユーザーの責任は、使用する AWS のサービスに応じて異なります。またお客様は、データの機密性、企業要件、適用法令と規制などのその他の要因に対しても責任を担います。

AWS CloudFormation は Cloud Control API のセキュリティアーキテクチャを提供します。このため、Cloud Control API を使用する際は、セキュリティとコンプライアンスの目的を満たすように CloudFormation を設定する必要があります。AWS CloudFormation を使用するときに責任共有モデルを適用する方法を理解するには、「AWS CloudFormation ユーザーガイド」の「セキュリティ」セクションを参照してください。また、AWS CloudFormation および Cloud Control API リソースのモニタリングや保護に役立つ他の AWS サービスの使用方法についても説明しています。

セキュリティとコンプライアンスの問題に対処する際には、Cloud Control API が CloudFormation と異なる以下の点に注意してください。

• AWS Identity and Access Management (IAM) 統合の場合:

  • IAM ポリシーでは、Cloud Control API アクションは "cloudformation" プレフィックスで指定されます。

    例えば、以下のポリシーでは、リソースアクションの作成、読み取り、更新、一覧表示 (削除は許可しない) を付与します。

    {
        "Version":"2012-10-17",
        "Statement":[{
            "Effect":"Allow",
            "Action":[
                "cloudformation:CreateResource",
                "cloudformation:GetResource",
                "cloudformation:UpdateResource",
                "cloudformation:ListResources"
            ],
            "Resource":"*"
        }]
    }

  • Cloud Control API は現在、CloudFormation リソースレベルのアクセス許可をサポートしていません。

  • Cloud Control API は現在、CloudFormation 条件の使用をサポートしていません。

  詳細については、AWS CloudFormation ユーザーガイドの「Controlling access with AWS Identity and Access Management」を参照してください。

• Cloud Control API は現在、カスタムリソースをサポートしていません。

• Cloud Control API でアクティビティが発生して AWS CloudTrail で記録されると、イベントソースは cloudcontrolapi.amazonaws.com として表示されます。

  詳細については、「AWS CloudFormation ユーザーガイド」の「AWS CloudTrail による AWS CloudFormation API コールのログ記録」を参照してください。