翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
SEC08-BP04 アクセスコントロールを適用する
保管中のデータを保護するには、分離やバージョニングなどのメカニズムを使ってアクセス制御を実施し、最小特権の原則を適用してください。データへパブリックアクセスが付与されるのを防止します。
望ましい結果： 許可されたユーザーのみがデータにアクセスできる need-to-knowことを確認します。定期的なバックアップとバージョニングでデータを保護し、意図しない、または不注意によるデータの改ざんや削除を防止します。重要なデータを他のデータから分離して、機密性とデータ整合性を保護します。
一般的なアンチパターン:
-
機密度要件と分類の異なるデータを一緒に保管する。
-
復号化キーに、過度に寛容なアクセス許可を使用する。
-
データを不適切に分類する。
-
重要なデータの詳細なバックアップを保持しない。
-
本番データへの永続的なアクセスを提供する。
-
データアクセスを監査することも、定期的にアクセス許可を審査することもしていない。
このベストプラクティスを活用しない場合のリスクレベル: 低
実装のガイダンス
アクセス (最小特権を使用)、分離、バージョニングなど、複数のコントロールによって保管中のデータを保護できます。データへのアクセスは、 などの検出メカニズム AWS CloudTrailと、Amazon Simple Storage Service (Amazon S3) アクセスログなどのサービスレベルログを使用して監査する必要があります。パブリックにアクセス可能なデータをインベントリし、時間の経過とともにパブリックで利用可能なデータ量を削減する計画を策定します。
Amazon S3 Glacier のボールトロックと Amazon S3 Object Lock は、Amazon S3 のオブジェクトに必須のアクセス制御を提供します。ボールトポリシーがコンプライアンスオプションによってロックされると、そのロックの有効期限が切れるまでルートユーザーであっても変更できません。
実装手順
-
アクセスコントロールを適用する: 暗号キーへのアクセスを含め、最小権限を用いたアクセスコントロールを適用します。
-
さまざまな分類レベルに基づいてデータを分離する: データ分類レベルにはそれぞれ異なる AWS アカウント を使用し、それらのアカウントは AWS Organizations を使って管理します。
-
AWS Key Management Service （AWS KMS) ポリシーの確認: AWS KMS ポリシーで付与されるアクセスレベルを確認します。
-
Amazon S3 バケットとオブジェクトアクセス許可をレビューする: S3 バケットのポリシーで付与されるアクセスのレベルを定期的にレビューします。ベストプラクティスは、バケットを公開で読み取ったり書き込んだりできないようにすることです。AWS Config を使用して公開されているバケットを検出し、Amazon CloudFront を使用して Amazon S3 のコンテンツを配信することを検討してください。パブリックアクセスを許可してはならないバケットが、パブリックアクセスを防ぐように正しく構成されていることを確認します。デフォルトでは、すべての S3 バケットはプライベートであり、明示的にアクセスが許可されたユーザーのみがアクセスできます。
-
AWS IAM Access Analyzer の使用： IAM Access Analyzer は Amazon S3 バケットを分析し、S3 ポリシーが外部エンティティへのアクセスを許可すると検出結果を生成します。
-
必要に応じて、Amazon S3 のバージョニングと Object Lock を使用します。
-
Amazon S3 インベントリを使用する: S3 オブジェクトのレプリケーションと暗号化ステータスの監査およびレポートには Amazon S3 インベントリを使用します。
-
Amazon EBS を確認してアクセス許可AMIを共有する: アクセス許可を共有すると、ワークロードの外部 AWS アカウント にある とイメージとボリュームを共有できます。
-
AWS Resource Access Manager の共有を定期的にレビューして、リソースを共有し続けるかどうかを決定します。Resource Access Manager を使用すると、 AWS Network Firewall ポリシー、Amazon Route 53 リゾルバールール、サブネットなどのリソースを Amazon 内で共有できますVPCs。定期的に共有リソースを監査し、共有が不要になったリソースは共有を停止します。
リソース
関連するベストプラクティス:
関連ドキュメント:
関連動画:
