AWS DevOps エージェントセキュリティ

独自の設定とアクセス許可で独立して動作します

エージェントがアクセスできる AWS アカウントとリソースを定義します。

サードパーティープラットフォームへの接続を確立します

欧州連合を起点とする推論リクエストは、欧州連合内で処理されます。

米国を起点とする推論リクエストは、米国内で処理されます。

オーストラリアを起点とする推論リクエストは、オーストラリア内で処理されます。

日本国内からの推論リクエストは、日本国内で処理されます。

推論リクエストがリストされていないエリアから発信された場合、デフォルトで米国内で処理されます。

DevOps エージェントと Bedrock は、顧客コンテンツを特定のリージョンに制限するサービスコントロールポリシー (SCPsまたは Control Tower の顧客ポリシーの影響を受けません。

Bedrock は、パフォーマンスと可用性を最適化するために、地域内の発信元リージョン以外のリージョンを使用してステートレス推論を実行する場合があります。

AWS アイデンティティセンターの統合 – プライマリ認証方法では、HTTP 専用 Cookie を使用したセッションベースの認証で OAuth 2.0 を使用します。 AWS アイデンティティセンターは、Okta、Ping Identity、Microsoft Entra ID などのプロバイダーを含む標準の OIDC および SAML プロトコルを通じて外部 ID プロバイダーとフェデレーションできます。このメソッドは、ID プロバイダーを介した多要素認証をサポートします。 AWS Identity Center はデフォルトで最大 12 時間のセッション期間に設定され、希望する期間に設定できます。

IAM 認証リンク – 別の方法では、既存の AWS マネジメントコンソールセッションから派生した JWT ベースのトークンを使用して、 AWS マネジメントコンソールからウェブアプリケーションに直接アクセスできます。このオプションは、完全な Identity Center 統合を実装する前に AWS DevOps エージェントを評価する場合や、Identity Center ベースの認証を通じて AWS DevOps Agent ウェブアプリケーションにアクセスできなくなった場合に管理アクセスを取得する場合に便利です。セッションは 10 分に制限されています。

プライマリアカウントロール – エージェントスペースを作成する AWS アカウントのリソースへのアクセスと、セカンダリアカウントロールへのアクセスをエージェントに許可します。

セカンダリアカウントロール – エージェントスペースに接続された追加の AWS アカウントのリソースへのアクセス権をエージェントに付与します。

ウェブアプリロール – ウェブアプリの AWS DevOps エージェント調査データと検出結果へのアクセスをユーザーに許可します。

保管時の暗号化 – すべてのデータは AWSマネージドキーで暗号化されます。

転送中の暗号化 – 取得されたすべてのログ、メトリクス、ナレッジ項目、チケットメタデータ、およびその他のデータは、エージェントのプライベートネットワーク内および外部ネットワークへの転送中に暗号化されます。

すべての推論ステップと実行されたアクションをログに記録する

エージェントの意思決定プロセスに完全な透明性を持たせる

エージェントが一度記録すると変更できないため、プロンプトインジェクションなどの攻撃が重要なアクションを非表示にできない

調査ページからすべてのチャットメッセージを含める

エージェントに対して行われたリクエスト

リクエストが行われた IP アドレス

リクエストを行ったユーザー

リクエストが行われた時刻

書き込み機能の制限 – エージェントが利用できるツールは、チケットの開封とサポートケースを除き、リソースを変更することはできません。これにより、悪意のある指示によってインフラストラクチャやアプリケーションが変更されるのを防ぐことができます。

アカウント境界の適用 – AWS DevOps エージェントは、プライマリアカウントと接続されたセカンダリ AWS アカウントのエージェントに割り当てられたロールによって許可された境界内でのみ動作します。エージェントは、設定された範囲外のリソースにアクセスしたり変更したりすることはできません。

AI 安全保護 – AWS DevOps エージェントは AI 安全レベル 3 (ASL-3) 保護を備えたモデルを使用します。これらの保護には、エージェントの動作に影響を与える前にプロンプトインジェクション攻撃を検出して防止する分類子が含まれます。

イミュータブルな監査証跡 – エージェントジャーナルは、すべての推論ステップと実行されたアクションを記録します。一度記録すると、エージェントがジャーナルエントリを変更することはできません。これにより、プロンプトインジェクション攻撃が悪意のあるアクションを非表示にできなくなります。

カスタム MCP サーバーツール – bring-your-own MCP 機能を使用すると、エージェントにカスタムツールを導入できます。これにより、プロンプト挿入の機会が増える可能性があります。カスタムツールにはネイティブの AWS DevOps エージェントツールと同じセキュリティコントロールがない可能性があり、悪意のある指示はこれらのツールを意図しない方法で活用する可能性があります。詳細については、「 責任共有モデル」セクションを参照してください。

許可されたユーザー攻撃 – AWS アカウント境界内または接続されたツール内で操作する権限を持つユーザーは、エージェントに対する攻撃を試みる可能性が高くなります。これらのユーザーは、ログやリソースタグなど、エージェントが消費するデータソースを変更できるため、エージェントが処理する悪意のある指示を簡単に埋め込むことができます。

ネイティブ双方向統合 – エージェントにデータを送信し、エージェントから更新を受信できる組み込み統合。これにより、ベンダーの認証方法が使用されます。

MCP サーバー – OAuth 2.0 認証フローと API キーを使用して外部システムと安全に通信するリモートモデルコンテキストプロトコルサーバー。

Webhook トリガー – チケットやオブザーバビリティシステムなどのリモートサービスからの調査トリガー。ウェブフックは、セキュリティにハッシュベースのメッセージ認証コード (HMAC) を使用します。

アウトバウンド通信 – Slack やチケットシステムなどの統合はエージェントから更新を受け取りますが、双方向通信はまだサポートされていません。

GitHub – OAuth フローを認証に使用します。アカウントレベルで GitHub を登録すると、各エージェントスペースは GitHub 組織内の特定のリポジトリに接続できます。

Dynatrace – OAuth トークン認証を使用します。アカウントレベルで Dynatrace を登録すると、各エージェントスペースは特定の Dynatrace 環境またはモニタリング設定に接続できます。

Slack – OAuth トークン認証を使用します。アカウントレベルで Slack を登録した後、各エージェントスペースは特定の Slack チャネルチャネルに接続できます。

Datadog – OAuth フローで MCP を認証に使用します。アカウントレベルで Datadog を登録すると、各エージェントスペースは特定の Datadog モニタリングリソースに接続できます。

New Relic – API キー認証を使用します。アカウントレベルで New Relic を登録すると、各エージェントスペースは特定の New Relic モニタリング設定に接続できます。

Splunk – ベアラートークン認証を使用します。アカウントレベルで Splunk を登録すると、各エージェントスペースは特定の Splunk データソースに接続できます。

GitLab – アクセストークン認証を使用します。アカウントレベルで GitLab を登録すると、各エージェントスペースは特定の GitLab リポジトリに接続できます。

ServiceNow – OAuth クライアントキー/トークン認証を使用します。アカウントレベルで ServiceNow を登録すると、各エージェントスペースは特定の ServiceNow インスタンスまたはチケットキューに接続できます。

一般公開アクセス可能なリモート MCP サーバー – OAuth フローを認証に使用します。アカウントレベルでリモート MCP サーバーを登録すると、各エージェントスペースはそのサーバーによって公開されている特定のリソースに接続できます。

プライベートにホストされたツール – ツールが AWS VPC 内から到達可能な場合は、 AWS DevOps Agent のプライベート接続を使用して、トラフィックを AWS ネットワークに隔離し、パブリックインターネットから切り離すことができます。詳細については、「プライベートにホストされたツールへの接続」を参照してください。

パブリックにホストされたツール – ツールがパブリックインターネット経由で到達可能で、IP 許可リストまたはファイアウォールルールを使用する場合は、次の AWS DevOps エージェントソース IP アドレスからのインバウンドトラフィックを許可する必要があります。

エージェントによって取得されたデータのセキュリティを維持する

エージェントで使用できるネイティブツールの保護

AWS DevOps エージェントを実行するインフラストラクチャの保護

エージェントスペースへのユーザーアクセスの管理

悪意のあるプロンプトインジェクションを試みるために使用される可能性のある、ログ、CloudTrail イベント、チケットを生成するサービスやリソースなど、エージェントに入力を提供する外部システムの信頼されたユーザーへのアクセスを制限する。

接続されたすべてのデータソースに、プロンプトインジェクション攻撃を試みるために使用されることはほとんどない信頼できるデータがあることを確認します。

bring-your-own MCP サーバー統合を安全に運用する

エージェントに割り当てられた IAM ロールが適切にスコープ設定されていることを確認する

オブザーバビリティログやその他のエージェントデータソースに保存する前に PII データを編集する

Bringbring-your-own MCP サーバーなど、接続されたデータソースに読み取り専用アクセス許可のみを付与するという推奨プラクティスに従う