SEC01-BP01 アカウントを使用してワークロードを分ける - AWS Well-Architected フレームワーク
実装のガイダンスリソース

SEC01-BP01 アカウントを使用してワークロードを分ける

マルチアカウント戦略を取り、環境 (本番稼働、開発、テストなど) とワークロードの間に共通ガードレールを構成し、分離を確立します。アカウントレベルの分類は、セキュリティ、請求、アクセスのために強力な分離境界を提供するため、強く推奨されます。

期待される成果: クラウドオペレーション、関連しないワークロード、環境を別々のアカウントに分離し、クラウドインフラストラクチャ全体のセキュリティを強化するアカウント構造。

一般的なアンチパターン:

  • データ重要度レベルの異なる複数の無関係のワークロードを同一アカウントに配置する。

  • きちんと定義されていない組織単位 (OU) 構造。

このベストプラクティスを活用するメリット:

  • 誤ってワークロードにアクセスした場合の影響範囲を軽減。

  • AWS サービス、リソース、およびリージョンへのアクセスの一元的ガバナンス。

  • ポリシーとセキュリティサービスの一元管理により、クラウドインフラストラクチャのセキュリティを維持する。

  • アカウント作成とメンテナンスプロセスの自動化。

  • コンプライアンスや規制要件に対応した、インフラストラクチャの集中監査。

このベストプラクティスを活用しない場合のリスクレベル: 高

実装のガイダンス

AWS アカウントは、さまざまなデータ重要度レベルで稼働するワークロードまたはリソース間にセキュリティ分離境界を提供します。AWS は、マルチアカウント戦略を通して大規模にクラウドワークロードを管理し、この分離境界を活用するためのツールを提供します。AWS でのマルチアカウント戦略の概念、パターン、実装に関するガイダンスについては、「複数のアカウントで AWS 環境を構成する」を参照してください。

一元管理下に複数の AWS アカウントがある場合、アカウントを組織単位 (OU) の層によって定義された階層に組織化する必要があります。次に、OU とメンバーアカウントに対してセキュリティ管理を組織化して適用することにより、組織内のメンバーアカウントに対して一貫性のある予防的制御を確立できます。セキュリティ管理は継承されるため、OU 階層の下位レベルにあるメンバーアカウントに対するアクセス許可をフィルタリングすることができます。優れた設計では継承を利用して、各メンバーアカウントに対して望ましいセキュリティ管理を達成するのに必要なセキュリティポリシーの件数と複雑性を軽減します。

AWS Organizations と AWS Control Tower は、AWS 環境でマルチアカウント構造を実装および管理するサービスです。AWS Organizations では、アカウントを OU の 1 つ以上のレイヤーで定義された階層に整理できます。各 OU には複数のメンバーアカウントが含まれます。サービスコントロールポリシー (SCP) を使用すると、組織管理者はメンバーアカウントに対してきめ細かな予防的コントロールを確立できます。AWS Config を使用してメンバーアカウントに対してプロアクティブコントロールと検出コントロールを確立できます。多くの AWS サービスは AWS Organizations と統合して、委任された管理コントロールを提供し、組織内のすべてのメンバーアカウントでサービス固有のタスクを実行します。

AWS Organizations の上にレイヤー化される AWS Control Tower は、ランディングゾーンを持つマルチアカウント AWS 環境のワンクリックのベストプラクティス設定を提供します。ランディングゾーンは、Control Tower によって確立されるマルチアカウント環境への入口です。Control Tower には、AWS Organizations よりもいくつかの利点があります。アカウントガバナンスを改善する 3 つの利点には次のようなものがあります。

  • 組織に対して承認されたアカウントに自動適用される、統合された必須のセキュリティコントロール。

  • 所定の OU セットに対してオン/オフと切り替えられるオプションのコントロール。

  • AWS Control Tower Account Factory は、事前承認されたベースラインと設定オプションを含むアカウントを組織内に自動デプロイします。

実装手順

  1. 組織単位構造の設計: 適切に設計された組織単位構造により、サービスコントロールポリシーやその他のセキュリティコントロールの作成と維持に必要な管理負担が軽減されます。組織単位の構造は、ビジネスニーズ、データ機密性、ワークロード構造と整合させる必要があります。

  2. マルチアカウント環境のランディングゾーンを作成する: ランディングゾーンは、組織がワークロードを迅速に開発、起動、デプロイできる一貫したセキュリティとインフラストラクチャの基盤を提供します。カスタム構築のランディングゾーンまたは AWS Control Tower を使用して、環境をオーケストレーションできます。

  3. ガードレールの確立: ランディングゾーンを通して環境に一貫したセキュリティガードレールを実装します。AWS Control Tower には、デプロイできる一連の必須およびオプションのコントロールが用意されています。必須コントロールは、Control Tower 実装時に自動的にデプロイされます。強く推奨されたコントロールとオプションのコントロールのリストを確認し、ニーズに適したコントロールを実装します。

  4. 新しく追加されたリージョンへのアクセスを制限する: 新しい AWS リージョンについて、ユーザーやロールなどの IAM リソースは、有効にしたリージョンのみに伝播されます。このアクションは、Control Tower を使用する場合はコンソールから、または AWS Organizations の IAM アクセス権限ポリシーを調整することで実行できます。

  5. AWS CloudFormation StackSets を検討する: StackSets を使用すると、IAM ポリシー、ロール、グループなどのリソースをさまざまな AWS アカウントとリージョンに承認されたテンプレートからデプロイできます。

リソース

関連するベストプラクティス:

関連ドキュメント:

関連動画:

関連するワークショップ: