翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
テーマ 4: ID を管理する
対象となる Essential Eight 戦略
管理者権限の制限、多要素認証
アイデンティティとアクセス許可の堅牢な管理は、クラウドでセキュリティを管理する上で重要な側面です。強力なアイデンティティプラクティスは、必要なアクセスと最小特権のバランスを取ります。これにより、開発チームはセキュリティを損なうことなく迅速に作業できます。
ID フェデレーションを使用して、ID の管理を一元化します。これにより、1 つの場所からアクセスを管理できるため、複数のアプリケーションやサービス間のアクセスを簡単に管理できます。これにより、一時的なアクセス許可と多要素認証 (MFA) を実装することもできます。
タスクの実行に必要なアクセス許可のみをユーザーに付与します。 AWS Identity and Access Management Access Analyzer はポリシーを検証し、パブリックアクセスとクロスアカウントアクセスを検証できます。 AWS Organizations サービスコントロールポリシー (SCPs)、IAM ポリシー条件、IAM アクセス許可の境界、 AWS IAM Identity Center アクセス許可セットなどの機能は、きめ細かなアクセスコントロール (FGAC) の設定に役立ちます。
どのような種類の認証を行う場合も、一時的な認証情報を使用して、認証情報が誤って開示、共有、盗難されるなどのリスクを軽減または排除することをお勧めします。IAM ユーザーの代わりに IAM ロールを使用します。
MFA などの強力なサインインメカニズムを使用して、サインイン認証情報が誤って開示されたり、簡単に推測されたりするリスクを軽減します。ルートユーザーに MFA を要求し、フェデレーションレベルで要求することもできます。IAM ユーザーの使用が避けられない場合は、MFA を適用します。
コンプライアンスをモニタリングして報告するには、継続的にアクセス許可の削減、IAM Access Analyzer からの検出結果のモニタリング、未使用の IAM リソースの削除を行う必要があります。 AWS Config ルールを使用して、強力なサインインメカニズムが強制され、認証情報が有効期間が短く、IAM リソースが使用されていることを確認します。
AWS Well-Architected フレームワークの関連するベストプラクティス
このテーマの実装
ID フェデレーションを実装する
最小特権アクセス許可を適用する
認証情報のローテーション
MFA を強制する
このテーマのモニタリング
最小特権アクセスをモニタリングする
次の AWS Config ルールを実装する
-
ACCESS_KEYS_ROTATED -
IAM_ROOT_ACCESS_KEY_CHECK -
IAM_USER_MFA_ENABLED -
IAM_USER_UNUSED_CREDENTIALS_CHECK -
IAM_PASSWORD_POLICY -
ROOT_ACCOUNT_HARDWARE_MFA_ENABLED
