SEC02-BP01 強力なサインインメカニズムを使用する - AWS Well-Architected フレームワーク
実装のガイダンスリソース

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

SEC02-BP01 強力なサインインメカニズムを使用する

サインイン (サインイン認証情報を使用した認証) は、多要素認証 (MFA) などのメカニズムを使用しない場合、特にサインイン認証情報が誤って開示されたり推測されやすい状況では、リスクをもたらす可能性があります。強力なサインインメカニズムを使用して、 MFAおよび強力なパスワードポリシーを要求することで、これらのリスクを軽減します。

望ましい結果： AWS Identity and Access Management （IAM） ユーザー AWS 、AWS アカウント ルートユーザー、 AWS IAM Identity Center ( AWS シングルサインオンの後継）、およびサードパーティー ID プロバイダーに強力なサインインメカニズムを使用することで、 の認証情報への意図しないアクセスのリスクを減らします。つまりMFA、 を要求し、強力なパスワードポリシーを適用し、異常なログイン動作を検出します。

一般的なアンチパターン:

  • 複雑なパスワードや など、ID に強力なパスワードポリシーを適用しないMFA。

  • 複数のユーザー間で同一の認証情報を共有する。

  • 疑わしいサインインに対して検出コントロールを使用しない。

このベストプラクティスを活用しない場合のリスクレベル: 高

実装のガイダンス

人的 ID が AWSにサインインする方法は多数あります。を認証するときは、フェデレーション (直接フェデレーションまたは を使用 AWS IAM Identity Center) を使用して、一元化された ID プロバイダーに依存することが AWS ベストプラクティスです AWS。この場合、ID プロバイダーまたは Microsoft Active Directory を使って、セキュアなサインインプロセスを確立する必要があります。

を初めて開くときは AWS アカウント、 AWS アカウント ルートユーザーから始めます。アカウントのルートユーザーは、ユーザー (およびルートユーザーを必要とするタスク) のアクセスを設定するときのみに使用することを推奨します。を開いた直後にアカウントルートユーザーMFAをオンに AWS アカウント し、 AWS ベストプラクティスガイド を使用してルートユーザーを保護することが重要です。

でユーザーを作成する場合は AWS IAM Identity Center、そのサービスでサインインプロセスを保護します。コンシューマーアイデンティティについては、Amazon Cognito ユーザープールを使用して、そのサービスで、または Amazon Cognito ユーザープールユーザープールがサポートする ID プロバイダーの 1 つを使ってサインインプロセスをセキュリティ保護します。

AWS Identity and Access Management （IAM） ユーザーを使用している場合は、 を使用してサインインプロセスを保護しますIAM。

サインイン方法に関係なく、強力なサインインポリシーを適用することが不可欠です。

実装手順

一般的な強力なサインインに関する推奨事項は次のとおりです。設定する実際の設定は、会社のポリシーによって設定するか、NIST800～63 などの標準を使用する必要があります。

  • が必要ですMFA。これは、人間のアイデンティティとワークロードに IAM を要求するベストプラクティスMFAです。をオンにすると、ユーザーがサインイン認証情報とワンタイムパスワード (OTP）、またはハードウェアデバイスから暗号化して検証および生成された文字列を提供する必要がある追加のセキュリティレイヤーMFAが提供されます。

  • 最小パスワード文字数を適用します。これは、パスワードの強さにおける主な要素です。

  • パスワードの複雑性を適用すると、パスワードを推測しにくくなります。

  • 自分のパスワードの変更をユーザーに許可します。

  • 共有認証情報ではなく、個別の ID を作成します。個別の ID を作成することで、各ユーザーに固有のセキュリティ認証情報を付与することができます。個別のユーザーを作成することで、各ユーザーのアクティビティを監査する機能が利用できます。

IAM Identity Center の推奨事項：

Amazon Cognito ユーザープールディレクトリのレコメンデーション:

IAM ユーザーレコメンデーション：

  • Identity IAM Center または直接フェデレーションを使用するのが理想的です。ただし、IAMユーザーが必要な場合があります。この場合、IAMユーザーのパスワードポリシーを設定します。パスワードポリシーを使用して、最小文字数、またはアルファベット以外の文字が必要かどうかなどの要件を定義できます。

  • ユーザーが独自のパスワードとMFAデバイスを管理できるようにMFA、サインインを強制するIAMポリシーを作成します。

リソース

関連するベストプラクティス:

関連ドキュメント:

関連動画: