AWS アカウントへの一時的な昇格アクセス

へのすべてのアクセスには、ある程度の権限 AWS アカウント が必要です。本番環境など高価値のリソースの構成変更等、機密性の高い操作には、影響のおよぶ範囲や度合いを考慮して、特別な対応が必要になります。一時的な昇格アクセス (ジャストインタイムアクセスとも呼ばれる) は、特定のタスクを指定された期間に実行するための権限を要求、承認、および追跡する方法です。一時的な昇格アクセスは、権限セットや多要素認証など、他の形式のアクセス制御を補完します。

AWS IAM Identity Center には、さまざまなビジネス環境と技術環境で一時的に昇格されたアクセス管理のための以下のオプションが用意されています。

• ベンダーが管理しサポートするソリューション — AWS は、厳選されたパートナーベンダーが提供する IAM アイデンティティセンターの統合を検証し、「共通の顧客要件」に照らしてその能力を評価しています。シナリオに最も合ったソリューションを選択し、プロバイダーのガイダンスに従って IAM Identity Center の機能を有効にしてください。

• セルフマネージド型およびセルフサポート型 – このオプションは、 AWS のみへの一時的な昇格アクセスに関心があり、この機能を自分でデプロイ、調整、維持できる場合の出発点となります。詳細については、「一時的な昇格アクセス管理 (TEAM)」を参照してください。

一時的な昇格アクセスのための検証済み AWS セキュリティパートナー

AWS セキュリティパートナーは、さまざまなアプローチを使用して、一時的な昇格されたアクセス要件の一般的なセットに対処します。各パートナーソリューションを詳しく検討したうえで、事業内容、クラウド環境のアーキテクチャ、予算など、お客様のニーズや優先事項に最も適したソリューションをお選びください。

注記

ディザスタリカバリのため、AWS Management Consoleへの緊急アクセスを設定しておくことをお勧めします。

AWS Identity は、 AWS セキュリティパートナーによる以下のjust-in-timeサービスについて、IAM Identity Center との統合と機能を検証しました。

• CyberArk Secure Cloud Access – の一部であるこのサービスはCyberArk Identity Security Platform、 AWS およびマルチクラウド環境へのオンデマンドの昇格アクセスをプロビジョニングします。承認は ITSM ツールまたは ChatOps ツールとの統合によって処理されます。すべてのセッションを記録して、監査とコンプライアンスを確保できます。

• Tenable (previously Ermetic) – Tenableプラットフォームには、 AWS およびマルチクラウド環境での管理オペレーションのためのjust-in-time特権アクセスのプロビジョニングが含まれています。 AWS CloudTrail アクセスログを含むすべてのクラウド環境のセッションログを単一のインターフェースで分析と監査に使用できます。この機能は、Slack や Microsoft Teams などのエンタープライズツールや開発者ツールと統合できます。

• Okta アクセスリクエスト — Okta ID ガバナンスの一部であり、IAM アイデンティティセンターの外部 ID プロバイダー (IdP) と IAM アイデンティティセンターの権限セットとして Okta を使用して、ジャストインタイムのアクセスリクエストワークフローを設定することができます。

このリストは、 が追加のパートナーソリューションの機能 AWS を検証し、これらのソリューションを IAM アイデンティティセンターと統合するために更新されます。パートナーは、 AWS パートナーネットワーク (APN) セキュリティコンピテンシーを通じてソリューションを指名できます。詳細については、AWS 「セキュリティコンピテンシーパートナー」を参照してください。

注記

リソースベースのポリシー、Amazon Elastic Kubernetes Service (Amazon EKS)、または AWS Key Management Service (AWS KMS) を使用している場合は、ジャストインタイムソリューションを選択する前に、「リソースポリシー、Amazon EKS クラスター設定マップ、および AWS KMS キーポリシーでのアクセス許可セットの参照」を参照してください。

AWS パートナー検証のために評価された一時的な昇格されたアクセス機能

AWS ID は、CyberArk Secure Cloud Access、、および Okta アクセスリクエストによって提供される一時的な昇格されたアクセス機能がTenable、以下の一般的な顧客要件に対応していることを検証しました。

• ユーザーは、 AWS アカウント、アクセス許可セット、期間、理由を指定して、ユーザーが指定した期間のアクセス許可セットへのアクセスをリクエストできます。

• ユーザーはリクエストの承認ステータスを受け取ることができます。

• 一致するスコープの承認済みリクエストがあり、かつ承認された期間中にそのセッションを呼び出す場合を除いて、ユーザーは特定のスコープのセッションを呼び出すことはできません。

• リクエストを承認できるユーザーを指定する方法があります。

• 承認者は自分の要求を承認することはできません。

• 承認者は、承認待ち、承認済み、および却下済みのリクエストのリストを保有しており、これらのリクエストを監査人にエクスポートできます。

• 承認者は承認待ちのリクエストを承認および却下できます。

• 承認者は決定理由を説明するメモを追加できます。

• 承認者は、承認済みのリクエストを取り消すことで、今後昇格されたアクセス権が使用されないようにすることができます。

  注記

  承認されたリクエストが取り消されたときに、ユーザーが昇格されたアクセスでサインインした場合、そのユーザーはすぐにアクセスを失います。認証セッションの情報については、「IAM アイデンティティセンターを使用した認証」を参照してください。

• ユーザーアクションと承認は監査可能です。