データ境界を使用してアクセス許可のガードレールを確立する

データ境界ガードレールは、さまざまな AWS アカウントやリソースでデータを保護するための、常時オンの境界として機能します。データ境界は、IAM セキュリティのベストプラクティスに従い、複数のアカウントにまたがるアクセス許可ガードレールを確立します。このような組織全体のアクセス許可ガードレールは、既存のきめ細かいアクセスコントロールに取って代わるものではありません。その代わり、ユーザー、ロール、リソースが定義された一連のセキュリティ標準に準拠するようにすることで、セキュリティ戦略の改善に役立つ、粗粒度のアクセスコントロールの役割を果たします。

データ境界は、信頼できる ID のみが想定されるネットワークから信頼できるリソースにアクセス可能にし、AWS 環境内の一連のアクセス許可ガードレールです。

データ境界コントロールは、情報セキュリティおよびリスク管理プログラムにおける他のセキュリティコントロールと同様に扱う必要があります。つまり、脅威分析を行ってクラウド環境内の潜在的なリスクを特定し、独自のリスク許容基準に基づいて、適切なデータ境界コントロールを選択して実装する必要があります。データ境界を実装するための反復的なリスクベースのアプローチをより効果的に理解するには、データ境界コントロールによって対処されるセキュリティリスクおよび脅威ベクトルと、セキュリティの優先事項を理解する必要があります。

データ境界コントロール

データ境界の粗粒度のコントロールでは、ポリシータイプおよび条件キーのさまざまな組み合わせを実装することで、3 つのデータ境界で 6 つの異なるセキュリティ目標を達成できます。

データ境界は、意図しないアクセスパターンを防ぐためにデータの周囲に強固な境界を作ることと考えることができます。データ境界は広範囲にわたる意図しないアクセスを防ぐことができますが、それでもきめ細かなアクセスコントロールに関する決定を行う必要があります。データ境界を設定しても、最小特権の実現に向けた取り組みの一環として IAM Access Analyzer などのツールを使用してアクセス許可を継続的に微調整する必要性が軽減されることはありません。

現在 RCP によってサポートされていないリソースに対してデータ境界コントロールを強制適用するには、リソースに直接アタッチされているリソースベースのポリシーを使用できます。RCP とリソースベースのポリシーをサポートするサービスのリストについては、「Resource control policies (RCPs)」および「AWSIAM と連携する のサービス」を参照してください。

ネットワーク境界コントロールを適用するために、アクセスを制限する対象のすべてのサービスが現在サポートされている場合に限り、aws:VpceOrgID、aws:VpceOrgPaths、および aws:VpceAccount を使用することをお勧めします。サポートされていないサービスでこれらの条件キーを使用すると、意図しない認可結果につながる可能性があります。キーをサポートするサービスのリストについては、「AWS グローバル条件コンテキストキー」を参照してください。より広い範囲のサービスにコントロールを適用する必要がある場合は、代わりに aws:SourceVpc と aws:SourceVpce を使用することを検討してください。

ID 境界

ID 境界は、一連の粗粒な予防的アクセス制御です。信頼できる ID のみがリソースにアクセスでき、信頼できる ID のみがネットワークから許可されるようにします。信頼できる ID には、通常は AWS アカウントのプリンシパル (ロールまたはユーザー)、およびユーザーに代わって動作する AWS サービスが含まれます。それ以外のすべての ID は信頼できないと見なされ、明示的な例外が付与されない限り ID 境界によって阻止されます。

以下のグローバル条件キーは、信頼できる ID の定義に基づいて ID 境界コントロールを適用するのに役立ちます。これらのキーをリソースコントロールポリシーで使用してリソースへのアクセスを制限したり、VPC エンドポイントポリシーでネットワークへのアクセスを制限したりします。

ユーザーが所有する ID

以下の条件キーを使用して、AWS アカウント で作成および管理する IAM プリンシパルを定義できます。

ユーザーに代わって動作する AWS サービスの ID

以下の条件キーを使用して、AWS サービスがユーザーに代わって動作する場合に独自の ID を使用してリソースにアクセスすることを許可できます。

詳細については、「Establishing a data perimeter on AWS: Allow only trusted identities to access company data」を参照してください。

リソース境界

リソース境界は、一連の粗粒な予防的アクセス制御です。ID が信頼できるリソースにのみアクセスでき、信頼できるリソースのみがネットワークからアクセスできるようにします。信頼できるリソースには、通常は AWS アカウントまたはユーザーに代わって動作する AWS サービスが所有するリソースが含まれます。

以下のグローバル条件キーは、信頼できるリソースの定義に基づいてリソース境界コントロールを適用するのに役立ちます。サービスコントロールポリシーでこれらのキーを使用して、ID がアクセスできるリソースを制限したり、VPC エンドポイントポリシーでネットワークからアクセスできるリソースを制限したりします。

所有するリソース

以下の条件キーを使用して、AWS アカウント で作成および管理する AWS リソースを定義できます。

ユーザーに代わって動作する AWS サービスのリソース

場合によっては、AWS 所有リソースへのアクセスを許可する必要があります。このようなリソースはユーザーの組織に属さず、プリンシパルまたはユーザーに代わって動作する AWS サービスによってアクセスされます。これらのシナリオの詳細については、「Establishing a data perimeter on AWS: Allow only trusted resources from my organization」を参照してください。

ネットワーク境界

ネットワーク境界は、一連の粗粒な予防的アクセス制御です。ID が想定されるネットワークからのみリソースにアクセスでき、リソースは想定されるネットワークからのみアクセスできるようにします。想定されるネットワークには、通常はオンプレミスデータセンター、仮想プライベートクラウド (VPC)、およびユーザーに代わって動作する AWS サービスのネットワークが含まれます。

以下のグローバル条件キーは、想定されるネットワークの定義に基づいてネットワーク境界コントロールを適用するのに役立ちます。これらのキーをサービスコントロールポリシーで使用して ID の通信元となるネットワークを制限したり、リソースコントロールポリシー (RCP) でリソースアクセスを想定されるネットワークに制限したりします。

ユーザーが所有するネットワーク

次の条件キーを使用して、従業員やアプリケーションがリソースへのアクセスに使用する 企業 IP CIDR 範囲や VPC などのネットワークを定義できます。

aws:VpceAccount、aws:VpceOrgPaths、および aws:VpceOrgID は、新しいエンドポイントを作成するときにポリシーを更新することなく、VPC エンドポイントの使用状況に合わせて自動的にスケールするネットワーク境界コントロールを実装する場合に特に役立ちます。これらのキーをサポートする AWS のサービス のリストについては、「AWS グローバル条件コンテキストキー」を参照してください。

ユーザーに代わって動作する AWS サービスのネットワーク

以下の条件キーを使用して、AWS サービスがユーザーに代わって動作する場合にネットワークからリソースにアクセスすることを許可できます。

ネットワークの外部からリソースにアクセスする AWS のサービスへのアクセスを許可する必要があるシナリオは他にもあります。詳細については、「Establishing a data perimeter on AWS: Allow access to company data only from expected networks」を参照してください。

データ境界について詳しく学ぶためのリソース

次のリソースは、AWS 全体のデータ境界について詳しく学ぶのに役立ちます。