SEC08-BP04 アクセスコントロールを適用する - AWS Well-Architected Framework
実装のガイダンスリソース

SEC08-BP04 アクセスコントロールを適用する

保管中のデータを保護するには、分離やバージョニングなどのメカニズムを使ってアクセス制御を実施し、最小特権の原則を適用してください。データへパブリックアクセスが付与されるのを防止します。

期待される成果: 「知る必要」に基づき、認証されたユーザーのみがデータへアクセスできるようにします。定期的なバックアップとバージョニングでデータを保護し、意図しない、または不注意によるデータの改ざんや削除を防止します。重要なデータを他のデータから分離して、機密性とデータ整合性を保護します。

一般的なアンチパターン:

  • 機密度要件と分類の異なるデータを一緒に保管する。

  • 復号化キーに、過度に寛容なアクセス許可を使用する。

  • データを不適切に分類する。

  • 重要なデータの詳細なバックアップを保持しない。

  • 本番データへの永続的なアクセスを提供する。

  • データアクセスを監査することも、定期的にアクセス許可を審査することもしていない。

このベストプラクティスが確立されていない場合のリスクレベル: 低

実装のガイダンス

アクセス (最小特権を使用)、分離、バージョニングなど、複数のコントロールによって保管中のデータを保護できます。データへのアクセスは、AWS CloudTrail などの探査メカニズムと、Amazon Simple Storage Service (Amazon S3) アクセスログなどのサービスレベルログを使用して監査する必要があります。パブリックにアクセス可能なデータをインベントリし、時間の経過とともにパブリックで利用可能なデータ量の削減します。

Amazon S3 Glacier のボールトロックと Amazon S3 オブジェクトロックは、Amazon S3 のオブジェクトに対して必須のアクセス制御を提供します。ボールトポリシーがコンプライアンスオプションを使用してロックされると、ロックの有効期限が切れるまではルートユーザーでも変更できません。

実装手順

  • アクセスコントロールを適用する: 暗号キーへのアクセスを含め、最小特権を用いたアクセスコントロールを適用します。

  • さまざまな分類レベルに基づいてデータを分離する: データ分類レベルには異なる AWS アカウント を使用し、それらのアカウントの管理には AWS Organizations を使用します。

  • AWS Key Management Service (AWS KMS) ポリシーをレビューする: AWS KMS ポリシーで付与されるアクセスのレベルを確認します。

  • Amazon S3 バケットとオブジェクトアクセス許可をレビューする: S3 バケットのポリシーで付与されるアクセスのレベルを定期的に確認します。ベストプラクティスは、バケットを公開で読み取ったり書き込んだりできないようにすることです。AWS Config を使用して公開されているバケットを検出し、Amazon CloudFront を使用して Amazon S3 からコンテンツを提供することを検討します。パブリックアクセスを許可してはならないバケットが、パブリックアクセスを防ぐように正しく構成されていることを確認します。デフォルトでは、すべての S3 バケットはプライベートであり、明示的にアクセスが許可されたユーザーのみがアクセスできます。

  • AWS IAM Access Analyzer を有効にする: IAM Access Analyzer は、Amazon S3 バケットを分析して、S3 ポリシーが外部エンティティにアクセスを付与した時点で検出結果を生成します。

  • Amazon S3 バージョニングとオブジェクトロックを有効にします (該当する場合)。

  • Amazon S3 インベントリを使用する: Amazon S3 インベントリは、S3 オブジェクトのレプリケーションと暗号化ステータスの監査とレポートに使用できます。

  • Amazon EBS および AMI 共有アクセス許可をレビューする: 共有アクセス許可は、イメージとボリュームをワークロード外の AWS アカウント に共有することを可能にします。

  • AWS Resource Access Manager Shares を定期的にレビューして、リソースを共有し続けるかどうかを決定します。 Resource Access Manager では、AWS Network Firewall ポリシー、Amazon Route 53 リゾルバールール、およびサブネットなど、Amazon VPC 内のリソースを共有できます。定期的に共有リソースを監査し、共有が不要になったリソースは共有を停止します。

リソース

関連するベストプラクティス:

関連するドキュメント:

関連動画: