翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon ElastiCache Well-Architected レンズのセキュリティの柱

セキュリティの柱は、情報とシステムの保護に焦点を当てています。主なトピックは、データの機密性と完全性、権限ベースの管理による誰が何を実行できるのかの特定と管理、システムの保護、セキュリティイベントを検出するための制御の確立です。

SEC 1: ElastiCache データへの許可されたアクセスを制御するためにどのような措置を講じているか。

質問レベルの紹介: すべての ElastiCache クラスターは、VPC 内の Amazon Elastic Compute Cloud インスタンス、サーバーレス関数 (AWS Lambda)、またはコンテナ (Amazon Elastic Container Service) からアクセスできるように設計されています。最もよく遭遇するシナリオは、同じ Amazon Virtual Private Cloud (Amazon Virtual Private Cloud) の Amazon Elastic Compute Clou インスタンスから ElastiCache クラスターにアクセスすることです。Amazon EC2 インスタンスからクラスターに接続するには、Amazon EC2 インスタンスにクラスターへのアクセスを許可する必要があります。VPC で実行されている ElastiCache クラスターにアクセスするには、クラスターへのネットワーク進入を許可する必要があります。

質問レベルのメリット: クラスターへのネットワーク進入は VPC セキュリティグループによって制御されます。セキュリティグループは、Amazon EC2 インスタンスの仮想ファイアウォールとして機能し、受信トラフィックと送信トラフィックを制御します。インバウンドルールはインスタンスへの受信トラフィックを制御し、アウトバウンドルールはインスタンスからの送信トラフィックをコントロールします。ElastiCache の場合、クラスターを起動するときに、セキュリティグループを関連付ける必要があります。これにより、インバウンドとアウトバウンドのトラフィックルールがクラスターを構成するすべてのノードに適用されるようになります。さらに、ElastiCache はプライベートサブネットにのみデプロイするように設定されているため、VPC のプライベートネットワーク経由でのみアクセスできます。

SEC 2: アプリケーションでは、ネットワークベースの制御に加えて、ElastiCache への追加の認可が必要か。

質問レベルの概要: 個々のクライアントレベルでクラスターへのアクセスを制限または制御する必要がある場合は、AUTH コマンドを使用して認証することをお勧めします。ElastiCache 認証トークンは、オプションでユーザーとユーザーグループを管理できるため、クライアントがコマンドとアクセスキーを実行できるようにする前に ElastiCache がパスワードを要求できるため、データプレーンのセキュリティが向上します。

質問レベルのメリット: データの安全性を維持するために、ElastiCache はデータの不正アクセスから保護するメカニズムを提供します。これには、承認されたコマンドを実行する前にクライアントが ElastiCache に接続するために使用するロールベースのアクセス制御 (RBAC) AUTH または AUTH トークン (パスワード) を強制することが含まれます。

SEC 3: コマンドが誤って実行され、データが失われたり失敗するリスクはあるか。

質問レベルの導入: 誤って実行されたり、悪意のある攻撃者によって実行されたりすると、オペレーションに悪影響を及ぼす可能性のある Valkey または Redis OSS コマンドが多数あります。これらのコマンドは、パフォーマンスとデータ安全性の観点から、意図しない結果をもたらす可能性があります。例えば、開発者が開発環境で日常的に FLUSHALL コマンドを呼び出している場合、間違って本番システムでこのコマンドを呼び出そうとすると、誤ってデータが失われる可能性があります。

質問レベルのメリット: Redis OSS 用の ElastiCache バージョン 5.0.3 以降では、ワークロードに支障をきたす可能性のある特定のコマンドの名前を変更することができます。コマンドの名前を変更すると、クラスターでコマンドが誤って実行されるのを防ぐことができます。

SEC 4: ElastiCache を使用して保存中のデータの暗号化をどのように実現しているか。

質問レベルの紹介: ElastiCache はインメモリデータストアですが、クラスターの標準オペレーションの一部として保持 (ストレージ上) される可能性のあるデータを暗号化できます。これには、Amazon S3 に書き込まれたスケジュールバックアップと手動バックアップ、および同期およびスワップオペレーションの結果としてディスクストレージに保管されたデータが含まれます。M6g および R6g ファミリーのインスタンスタイプには、常時オンのインメモリ暗号化も備わっています。

質問レベルの利点: ElastiCache は、データセキュリティを向上させるために、保管時の暗号化をオプションで提供します。

SEC 5: 転送中のデータを ElastiCache でどのように暗号化するか。

質問レベルの導入: 一般要件として、転送中のデータ漏えいを防止することが必要です。これには、分散システムのコンポーネント内のデータだけでなく、アプリケーションクライアントとクラスターノード間のデータも含まれます。ElastiCache は、クライアントとクラスター間、およびクラスターノード自体間で転送中のデータを暗号化できるようにすることで、この要件をサポートします。M6g および R6g ファミリーのインスタンスタイプには、常時オンのインメモリ暗号化も備わっています。

質問レベルのメリット: Amazon ElastiCache 転送時の暗号化は、ある場所から別の場所に移動するときに、データの最も脆弱なポイントでのデータのセキュリティを強化できるオプション機能です。

SEC 6: コントロールプレーンリソースへのアクセスをどのように制限するか。

質問レベルの紹介: IAM ポリシーと ARN によりElastiCache for Valkey および Redis OSS のきめ細かなアクセスコントロールが可能になり、クラスターの作成、変更、削除をより厳密に制御できます。

質問レベルのメリット: レプリケーショングループ、ノードなどの Amazon ElastiCache リソースの管理を、IAM ポリシーに基づいて特定の権限を持つ AWS アカウントに制限できるため、リソースのセキュリティと信頼性が向上します。

SEC 7: セキュリティイベントをどのように検出して対応しているか。

質問レベルの紹介: ElastiCache は RBAC を有効にしてデプロイするとき、CloudWatch メトリクスをエクスポートしてユーザーにセキュリティイベントを通知します。これらのメトリクスは、接続する RBAC ユーザーに許可されていない認証、キーのアクセス、コマンドの実行の試みが失敗したことを特定するのに役立ちます。

さらに、 AWS 製品とサービスのリソースは、デプロイを自動化し、すべてのアクションと変更をログに記録して後でレビュー/監査できるようにすることで、ワークロード全体を保護するのに役立ちます。

質問レベルのメリット: イベントをモニタリングすることで、組織は要件、ポリシー、手順に従って対応できるようになります。これらのセキュリティイベントのモニタリングと対応を自動化すると、全体的なセキュリティ体制が強化されます。