自社のオペレーターからデータを分離する
AWS Nitro System には、ゼロオペレーターがアクセスがあります。AWS システムまたはユーザーが Amazon EC2 Nitro ホストにログインしたり、EC2 インスタンスのメモリにアクセスしたり、ローカルの暗号化されたインスタンスストレージまたはリモートの暗号化された Amazon EBS ボリュームに保存されている顧客データにアクセスしたりするためのメカニズムはありません。
高度の機密データを処理するときは、自社のオペレーターでも EC2 インスタンスにアクセスできないようにして、そのデータへのアクセスを制限することを検討してください。
分離されたコンピューティング環境を提供するように設定されたカスタム Attestable AMI を作成できます。AMI の設定は、ワークロードとアプリケーションの要件によって異なります。AMI を構築して分離されたコンピューティング環境を作成するときは、以下のベストプラクティスを考慮してください。
-
オペレーターまたはユーザーがインスタンスにアクセスできないように、すべてのインタラクティブアクセスを削除します。
-
信頼できるソフトウェアとコードのみが AMI に含まれているようにします。
-
アクセスをブロックするようにインスタンス内のネットワークファイアウォールを設定します。
-
すべてのストレージおよびファイルシステムを読み取り専用かつイミュータブルな状態にします。
-
認証され、認可され、ログに記録された API コールにインスタンスへのアクセスを制限します。