これは AWS CDK v2 デベロッパーガイドです。旧版の CDK v1 は 2022 年 6 月 1 日にメンテナンスを開始し、2023 年 6 月 1 日にサポートを終了しました。
翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# AWS クラウド開発キット (AWS CDK) のセキュリティ
クラウドセキュリティは Amazon Web Services (AWS) の最優先事項です。お客様は AWS 、セキュリティを最も重視する組織の要件を満たすように構築されたデータセンターとネットワークアーキテクチャを活用できます。セキュリティは、 AWS お客様とお客様の間の責任共有です。[責任共有モデル](https://aws.amazon.com/compliance/shared-responsibility-model/)では、これをクラウドのセキュリティおよびクラウド内のセキュリティとして説明しています。
**クラウドのセキュリティ** – AWS クラウドで提供されるすべてのサービスを実行するインフラストラクチャ AWS を保護し、安全に使用できるサービスを提供します。における当社のセキュリティ責任は最優先事項であり AWS、当社のセキュリティの有効性は、[AWS コンプライアンスプログラムの一環としてサードパーティーの監査者によって定期的にテストおよび検証されています](https://aws.amazon.com/compliance/programs/)。
**クラウド内のセキュリティ** – お客様の責任は、使用している AWS サービス、データの機密性、組織の要件、適用される法律や規制などのその他の要因によって決まります。
AWS CDK は、サポートする特定の Amazon Web Services (AWS) サービスを通じて[責任共有モデル](https://aws.amazon.com/compliance/shared-responsibility-model/)に従います。 AWS サービスセキュリティ情報については、[AWS 「サービスセキュリティドキュメント」ページ](https://docs.aws.amazon.com/security/?id=docs_gateway#aws-security)と[AWS 、コンプライアンスプログラムによる AWS コンプライアンスの取り組みの対象となるサービス](https://aws.amazon.com/compliance/services-in-scope/)を参照してください。
# AWS Cloud Development Kit (AWS CDK) の Identity and Access Management
AWS Identity and Access Management (IAM) は、管理者が AWS リソースへのアクセスを安全に制御するのに役立つ AWS サービスです。IAM 管理者は、誰を*認証* (サインイン) し、誰に AWS リソースの使用*を許可する* (アクセス許可を付与する) かを制御します。IAM は、追加料金なしで使用できる AWS サービスです。
## オーディエンス
AWS Identity and Access Management (IAM) の使用方法は、作業内容によって異なります AWS。
**サービスユーザー** – AWS サービスを使用してジョブを実行する場合、管理者から必要な認証情報とアクセス許可が提供されます。さらに多くの AWS 機能を使用して作業を行う場合は、追加のアクセス許可が必要になる場合があります。アクセスの管理方法を理解すると、管理者に適切なアクセス許可をリクエストするのに役に立ちます。
**サービス管理者** – 社内の AWS リソースを担当している場合は、通常、 AWS リソースへのフルアクセスがあります。サービスユーザーがどの AWS サービスやリソースにアクセスするかを決めるのは管理者の仕事です。その後、IAM 管理者にリクエストを送信して、サービスユーザーの権限を変更する必要があります。このページの情報を点検して、IAM の基本概念を理解してください。
**IAM 管理者** – IAM 管理者は、 AWS サービスへのアクセスを管理するポリシーの作成方法の詳細について確認する場合があります。
## アイデンティティを使用した認証
認証とは、ID 認証情報 AWS を使用して にサインインする方法です。 AWS アカウントのルートユーザーとして、IAM ユーザーとして、または IAM ロールを引き受けて*認証* (サインイン AWS) される必要があります。
ID ソースから提供された認証情報を使用して、フェデレーティッド ID AWS として にサインインできます。 AWS IAM Identity Center (IAM Identity Center) ユーザー、会社のシングルサインオン認証、Google または Facebook 認証情報は、フェデレーティッド ID の例です。フェデレーティッド ID としてサインインする場合、IAM ロールを使用して、前もって管理者により ID フェデレーションが設定されています。フェデレーションを使用して にアクセスすると、間接的 AWS にロールを引き受けることになります。
ユーザーの種類に応じて、 AWS マネジメントコンソールまたは AWS アクセスポータルにサインインできます。へのサインインの詳細については AWS、[「サインインユーザーガイド」の AWS 「アカウントにサインインする方法](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)」を参照してください。 * AWS *
AWS プログラムで にアクセスするには、 は AWS CDK、 Software Development Kit (SDKs)、およびコマンドラインインターフェイス (CLI) AWS を提供し、認証情報を使用してリクエストを暗号化して署名します。 AWS ツールを使用しない場合は、自分でリクエストに署名する必要があります。推奨される方法を使用してリクエストに署名する方法の詳細については、* AWS 「 全般のリファレンス*」の[「署名バージョン 4 の署名プロセス](https://docs.aws.amazon.com/general/latest/gr/signature-version-4.html)」を参照してください。
使用する認証方法を問わず、追加セキュリティ情報の提供をリクエストされる場合もあります。たとえば、 では、アカウントのセキュリティを高めるために多要素認証 (MFA) を使用する AWS ことをお勧めします。詳細については、「IAM Identity Center ユーザーガイド」の[「多要素認証](https://docs.aws.amazon.com/singlesignon/latest/userguide/enable-mfa.html)」および*「IAM ユーザーガイド*」の「 [での多要素認証 (MFA) AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa.html) の使用」を参照してください。 * AWS *
### AWS アカウントのルートユーザー
AWS アカウントを作成するときは、アカウント内のすべての AWS サービスとリソースへの完全なアクセス権を持つ 1 つのサインインアイデンティティから始めます。この ID は AWS アカウントの*ルートユーザー*と呼ばれ、アカウントの作成に使用した E メールアドレスとパスワードでサインインすることでアクセスできます。日常的なタスクには、ルートユーザーを使用しないことを強くお勧めします。ルートユーザー資格情報は保護し、ルートユーザーでしか実行できないタスクを実行するときに使用します。ルートユーザーとしてサインインする必要があるタスクの完全なリストについては、「*IAM ユーザーガイド*」の「[ルートユーザー資格情報が必要なタスク](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)」を参照してください。
### フェデレーテッドアイデンティティ
ベストプラクティスとして、管理者アクセスを必要とするユーザーを含む人間のユーザーに、ID プロバイダーとのフェデレーションを使用して一時的な認証情報を使用して AWS サービスにアクセスすることを要求します。
フェ*デレーティッド ID* は、エンタープライズユーザーディレクトリ、ウェブ ID プロバイダー、 AWS Directory Service、Identity Center ディレクトリ、または ID ソースを介して提供された認証情報を使用して AWS サービスにアクセスするユーザーです。フェデレーティッドアイデンティティが AWS アカウントにアクセスすると、ロールを引き受け、ロールは一時的な認証情報を提供します。
一元的なアクセス管理を行うには、IAM Identity Center AWS を使用することをお勧めします。IAM Identity Center でユーザーとグループを作成するか、独自の ID ソースのユーザーとグループのセットに接続して同期し、すべての AWS アカウントとアプリケーションで使用できます。IAM Identity Center の詳細については、[IAM Identity Center ユーザーガイドの「IAM Identity Center とは](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)」を参照してください。 * AWS *
### IAM ユーザーとグループ
* [IAM ユーザーは](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)*、1 人のユーザーまたはアプリケーションに対して特定のアクセス許可を持つ AWS アカウント内の ID です。可能であれば、パスワードやアクセスキーなどの長期的な認証情報を保有する IAM ユーザーを作成する代わりに、一時的な認証情報を使用することをお勧めします。ただし、IAM ユーザーでの長期的な認証情報が必要な特定のユースケースがある場合は、アクセスキーをローテーションすることをお勧めします。詳細については、「*IAM ユーザーガイド*」の「[長期的な認証情報を必要とするユースケースのためにアクセスキーを定期的にローテーションする](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#rotate-credentials)」を参照してください。
[IAM グループ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)は、IAM ユーザーの集団を指定するアイデンティティです。グループとしてサインインすることはできません。グループを使用して、複数のユーザーに対して一度に権限を指定できます。多数のユーザーグループがある場合、グループを使用することで権限の管理が簡単になります。例えば、*IAMAdmins* という名前のグループを設定して、そのグループに IAM リソースを管理する許可を与えることができます。
ユーザーは、ロールとは異なります。ユーザーは 1 人の人または 1 つのアプリケーションに一意に関連付けられますが、ロールはそれを必要とする任意の人が引き受けるようになっています。ユーザーには永続的な長期の認証情報がありますが、ロールでは一時認証情報が提供されます。詳細については、「*IAM ユーザーガイド*」の「[IAM ユーザーに関するユースケース](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)」を参照してください。
### IAM ロール
* [IAM ロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)*は、特定のアクセス許可を持つ AWS アカウント内の ID です。これは IAM ユーザーに似ていますが、詳細のユーザーに関連付けられていません。ロールを切り替えることで、 AWS マネジメントコンソールで IAM [ロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)を一時的に引き受けることができます。CLI または AWS API AWS オペレーションを呼び出すか、カスタム URL を使用してロールを引き受けることができます。ロールを使用する方法の詳細については、「IAM ユーザーガイド」の「[IAM ロールの使用](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use.html)」を参照してください。
IAM ロールと一時的な認証情報は、次の状況で役立ちます:
+ **フェデレーションユーザーアクセス** – フェデレーティッド ID に許可を割り当てるには、ロールを作成してそのロールの許可を定義します。フェデレーテッド ID が認証されると、その ID はロールに関連付けられ、ロールで定義されている許可が付与されます。フェデレーションのロールについては、*IAM ユーザーガイド* の [サードパーティー ID プロバイダー (フェデレーション) 用のロールを作成する](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-idp.html) を参照してください。IAM Identity Center を使用する場合は、許可セットを設定します。アイデンティティが認証後にアクセスできるものを制御するため、IAM Identity Center は、権限セットを IAM のロールに関連付けます。アクセス許可セットの詳細については、* AWS 「IAM Identity Center ユーザーガイド*」の[「アクセス許可セット](https://docs.aws.amazon.com/singlesignon/latest/userguide/permissionsetsconcept.html)」を参照してください。
+ **一時的な IAM ユーザー権限** - IAM ユーザーまたはロールは、特定のタスクに対して複数の異なる権限を一時的に IAM ロールで引き受けることができます。
+ **クロスアカウントアクセス** - IAM ロールを使用して、自分のアカウントのリソースにアクセスすることを、別のアカウントの人物 (信頼済みプリンシパル) に許可できます。クロスアカウントアクセス権を付与する主な方法は、ロールを使用することです。ただし、一部の AWS サービスでは、 (プロキシとしてロールを使用する代わりに) リソースに直接ポリシーをアタッチできます。クロスアカウントアクセスにおけるロールとリソースベースのポリシーの違いについては、「IAM ユーザーガイド」の「[IAM ロールとリソースベースのポリシーとの相違点](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_compare-resource-policies.html)」を参照してください。
+ **クロスサービスアクセス** – 一部の AWS サービスは、他の AWS サービスの機能を使用します。例えば、サービスで呼び出しを行うと、通常そのサービスによって Amazon EC2 でアプリケーションが実行されたり、Amazon S3 にオブジェクトが保存されたりします。サービスは、呼び出し元のプリンシパルの許可、サービスロール、サービスリンクロールを使用してこれを行う場合があります。
+ **サービスロール** - サービスがユーザーに代わってアクションを実行するために引き受ける [IAM ロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)です。IAM 管理者は、IAM 内からサービスロールを作成、変更、削除できます。詳細については、*IAM* [ユーザーガイドの「 AWS サービスにアクセス許可を委任するロールを作成する](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html)」を参照してください。
+ **サービスにリンクされたロール** – サービスにリンクされたロールは、 サービスにリンクされた AWS サービスロールの一種です。サービスは、ユーザーに代わってアクションを実行するロールを引き受けることができます。サービスにリンクされたロールは AWS アカウントに表示され、サービスによって所有されます。IAM 管理者は、サービスリンクロールのアクセス許可を表示できますが、編集することはできません。
+ **Amazon EC2 で実行されているアプリケーション** – IAM ロールを使用して、EC2 インスタンスで実行され、CLI または AWS API AWS リクエストを行うアプリケーションの一時的な認証情報を管理できます。これは、EC2 インスタンス内でのアクセスキーの保存に推奨されます。EC2 インスタンスに AWS ロールを割り当て、そのすべてのアプリケーションで使用できるようにするには、インスタンスにアタッチされたインスタンスプロファイルを作成します。インスタンスプロファイルにはロールが含まれ、EC2 インスタンスで実行されるプログラムは一時的な認証情報を取得できます。詳細については、「*IAM ユーザーガイド*」の「[Amazon EC2 インスタンスで実行されるアプリケーションに IAM ロールを使用して許可を付与する](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-ec2.html)」を参照してください。
IAM ロールと IAM ユーザーのどちらを使用するかについては、*IAM ユーザーガイド*の[(IAM ユーザーではなく) IAM ロールをいつ作成したら良いのか?](https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html#id_which-to-choose_role)を参照してください。
# AWS クラウド開発キット (AWS CDK) のコンプライアンス検証
AWS CDK は、サポートする特定の Amazon Web Services (AWS) サービスを通じて[責任共有モデル](https://aws.amazon.com/compliance/shared-responsibility-model/)に従います。 AWS サービスセキュリティ情報については、[AWS 「サービスセキュリティドキュメント」ページ](https://docs.aws.amazon.com/security/?id=docs_gateway#aws-security)と[AWS 、コンプライアンスプログラムによる AWS コンプライアンスの取り組みの対象となるサービス](https://aws.amazon.com/compliance/services-in-scope/)を参照してください。
AWS サービスのセキュリティとコンプライアンスは、複数の AWS コンプライアンスプログラムの一環として、サードパーティーの監査者によって評価されます。これには、SOC、PCI、FedRAMP、HIPAA などが含まれます。 は、コンプライアンスプログラムによる対象範囲内 AWS のサービスで[AWS 、特定のコンプライアンスプログラムの範囲内で頻繁に更新されるサービス](https://aws.amazon.com/compliance/services-in-scope/)のリスト AWS を提供します。
サードパーティーの監査レポートは Artifact AWS を使用してダウンロードできます。詳細については、[AWS 「アーティファクトでのレポートのダウンロード](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html)」を参照してください。
AWS コンプライアンスプログラムの詳細については、[AWS 「 コンプライアンスプログラム](https://aws.amazon.com/compliance/programs/)」を参照してください。
AWS CDK を使用して AWS サービスにアクセスする場合のお客様のコンプライアンス責任は、お客様のデータの機密性、組織のコンプライアンス目的、適用可能な法律および規制によって決まります。 AWS サービスの使用が HIPAA、PCI、FedRAMP などの標準への準拠の対象である場合、 は以下に役立つリソース AWS を提供します。
+ [セキュリティとコンプライアンスのクイックスタートガイド](https://aws.amazon.com/quickstart/?quickstart-all.sort-by=item.additionalFields.updateDate&quickstart-all.sort-order=desc&awsf.quickstart-homepage-filter=categories%23security-identity-compliance) – アーキテクチャ上の考慮事項について説明し、セキュリティとコンプライアンスに重点を置いたベースライン環境をデプロイする手順を提供するデプロイガイド AWS。
+ [AWS コンプライアンスリソース](https://aws.amazon.com/compliance/resources/) – お客様の業界や地域に適用される可能性のあるワークブックとガイドのコレクション。
+ [AWS Config](https://aws.amazon.com/config/) – リソース設定が社内プラクティス、業界ガイドライン、規制にどの程度準拠しているかを評価するサービス。
+ [AWS Security Hub](https://aws.amazon.com/security-hub/) – セキュリティ業界標準とベストプラクティスへの準拠を確認するのに役立つ AWS 、 内のセキュリティ状態の包括的なビュー。
# AWS クラウド開発キット (AWS CDK) の耐障害性
アマゾン ウェブ サービス (AWS) グローバルインフラストラクチャは、 AWS リージョンとアベイラビリティーゾーンを中心に構築されています。
AWS リージョンは、低レイテンシー、高スループット、高度に冗長なネットワークで接続された、物理的に分離および分離された複数のアベイラビリティーゾーンを提供します。
アベイラビリティーゾーンでは、アベイラビリティーゾーン間で中断せずに、自動的にフェイルオーバーするアプリケーションとデータベースを設計および運用することができます。アベイラビリティーゾーンは、従来の単一または複数のデータセンターインフラストラクチャよりも可用性、耐障害性、およびスケーラビリティが優れています。
AWS リージョンとアベイラビリティーゾーンの詳細については、[AWS 「 グローバルインフラストラクチャ](https://aws.amazon.com/about-aws/global-infrastructure/)」を参照してください。
AWS CDK は、サポートする特定の Amazon Web Services (AWS) サービスを通じて[責任共有モデル](https://aws.amazon.com/compliance/shared-responsibility-model/)に従います。 AWS サービスセキュリティ情報については、[AWS 「サービスセキュリティドキュメント」ページ](https://docs.aws.amazon.com/security/?id=docs_gateway#aws-security)と[AWS 、コンプライアンスプログラムによる AWS コンプライアンスの取り組みの対象となるサービス](https://aws.amazon.com/compliance/services-in-scope/)を参照してください。
# AWS クラウド開発キット (AWS CDK) のインフラストラクチャセキュリティ
AWS CDK は、サポートする特定の Amazon Web Services (AWS) サービスを通じて[責任共有モデル](https://aws.amazon.com/compliance/shared-responsibility-model/)に従います。 AWS サービスセキュリティ情報については、[AWS 「サービスセキュリティドキュメント」ページ](https://docs.aws.amazon.com/security/?id=docs_gateway#aws-security)と[AWS 、コンプライアンスプログラムによる AWS コンプライアンスの取り組みの対象となるサービス](https://aws.amazon.com/compliance/services-in-scope/)を参照してください。