翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。 # 管理者権限の制限 **** - **システムおよびアプリケーションに対する特権アクセスのリクエストは、最初のリクエスト時に検証しています。** - **実装のガイダンス:** [テーマ 4: ID の管理](theme-4.md): ID フェデレーションの実装 - **AWS リソース:** [一時的な認証情報を使用して AWS にアクセスする人間のユーザーには、ID プロバイダーとのフェデレーションを求めている](https://docs.aws.amazon.com/singlesignon/latest/userguide/manage-your-identity-source.html) - **AWS Well-Architected ガイダンス:** [SEC02-BP04 一元化された ID プロバイダーを利用する](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/sec_identities_identity_provider.html)
[SEC03-BP01 アクセス要件を定義する](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/sec_permissions_define.html) - **システムおよびアプリケーションへの特権アクセスは、それらが再検証されない限り、12 か月後に自動的に無効化しています。** - **実装のガイダンス:** [テーマ 4: ID の管理](theme-4.md): ID フェデレーションの実装 / **AWS リソース:** [一時的な認証情報を使用して AWS にアクセスする人間のユーザーには、ID プロバイダーとのフェデレーションを求めている](https://docs.aws.amazon.com/singlesignon/latest/userguide/manage-your-identity-source.html) / **AWS Well-Architected ガイダンス:** [SEC02-BP04 一元化された ID プロバイダーを利用する](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/sec_identities_identity_provider.html) - **実装のガイダンス:** [テーマ 4: ID の管理](theme-4.md): 認証情報のローテーション / **AWS リソース:** [ワークロードが IAM ロールを使用して にアクセスするよう要求する AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)
[使用されていない IAM ロールの削除を自動化する](https://aws.amazon.com/blogs/security/how-to-centralize-findings-and-automate-deletion-for-unused-iam-roles/)
[長期認証情報を必要とするユースケースのためにアクセスキーを定期的にローテーションする](https://docs.aws.amazon.com/prescriptive-guidance/latest/patterns/automatically-rotate-iam-user-access-keys-at-scale-with-aws-organizations-and-aws-secrets-manager.html)
[AWS Summit ANZ 2023: クラウドでの一時的な認証情報へのジャーニー](https://www.youtube.com/watch?v=jZnh9U-TA6Q) (YouTube 動画) / **AWS Well-Architected ガイダンス:** [SEC02-BP05 定期的に認証情報を監査およびローテーションする](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/sec_identities_audit.html) - **システムおよびアプリケーションへの特権アクセスが 45 日間アクティブでない場合は、それらを自動的に無効化しています。** - **実装のガイダンス:** [テーマ 4: ID の管理](theme-4.md): ID フェデレーションの実装
[テーマ 4: ID の管理](theme-4.md): 認証情報のローテーション - **AWS リソース:** [人間のユーザーに、一時的な認証情報 AWS を使用して にアクセスすることを ID プロバイダーと連携させる](https://docs.aws.amazon.com/singlesignon/latest/userguide/manage-your-identity-source.html)
[ワークロードが IAM ロールを使用して にアクセスするよう要求する AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)
[使用されていない IAM ロールの削除を自動化する](https://aws.amazon.com/blogs/security/how-to-centralize-findings-and-automate-deletion-for-unused-iam-roles/)
[長期認証情報を必要とするユースケースのためにアクセスキーを定期的にローテーションする](https://docs.aws.amazon.com/prescriptive-guidance/latest/patterns/automatically-rotate-iam-user-access-keys-at-scale-with-aws-organizations-and-aws-secrets-manager.html)
[AWS Summit ANZ 2023: クラウドでの一時的な認証情報へのジャーニー](https://www.youtube.com/watch?v=jZnh9U-TA6Q) (YouTube 動画) - **AWS Well-Architected ガイダンス:** [SEC02-BP04 一元化された ID プロバイダーを利用する](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/sec_identities_identity_provider.html)
[SEC02-BP05 定期的に認証情報を監査およびローテーションする](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/sec_identities_audit.html) - **システムおよびアプリケーションへの特権アクセスは、業務上ユーザーおよびサービスに必要なものにのみ制限しています。** - **実装のガイダンス:** [テーマ 4: ID の管理](theme-4.md): 最小特権アクセス許可の適用 - **AWS リソース:** [ルートユーザーの認証情報を保護し、日常的なタスクには使用しない](https://docs.aws.amazon.com/IAM/latest/UserGuide/root-user-best-practices.html)
[IAM Access Analyzer を使用して、アクセスアクティビティに基づいて最小特権ポリシーを生成する](https://docs.aws.amazon.com/prescriptive-guidance/latest/patterns/dynamically-generate-an-iam-policy-with-iam-access-analyzer-by-using-step-functions.html)
[IAM Access Analyzer を使用してリソースへのパブリックアクセスとクロスアカウントアクセスを検証する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-getting-started.html)
[IAM Access Analyzer を使用して IAM ポリシーを検証し、安全で機能的なアクセス許可を行う](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)
[複数のアカウントでアクセス許可ガードレールを確立する](https://docs.aws.amazon.com/prescriptive-guidance/latest/security-reference-architecture/organizations.html)
[アクセス許可の境界を使用して、ID ベースのポリシーで付与可能な権限の上限を設定する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)
[IAM ポリシーの条件を使用してアクセスをさらに制限する](https://aws.amazon.com/blogs/apn/top-recommendations-for-working-with-iam-from-our-aws-heroes-part-3-permissions-boundaries-and-conditions/)
[未使用のユーザー、ロール、アクセス許可、ポリシー、認証情報を定期的に確認して削除する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_last-accessed.html)
[AWS 管理ポリシーを開始し、最小特権のアクセス許可に移行する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)
[IAM Identity Center のアクセス許可セット機能を使用する](https://docs.aws.amazon.com/singlesignon/latest/userguide/permissionsetsconcept.html) - **AWS Well-Architected ガイダンス:** [SEC01-BP02 安全なアカウントのルートユーザーとプロパティ](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/sec_securely_operate_aws_account.html)
[SEC03-BP02 最小特権のアクセスを付与する](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/sec_permissions_least_privileges.html) - **特権アカウントでは、インターネット、E メール、ウェブサービスにアクセスできないようにしています。** - **実装のガイダンス:** 「[Technical example: Restrict administrative privileges](https://www.cyber.gov.au/resources-business-and-government/essential-cyber-security/small-business-cyber-security/small-business-cloud-security-guide/technical-example-restrict-administrative-privileges)」(ACSC ウェブサイト) を参照してください。 - **AWS リソース:** [インターネットへのアクセス機能を持たない VPC がその状態を維持する](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps_examples_vpc.html#example_vpc_2)ための SCP の実装を検討する - **AWS Well-Architected ガイダンス:** 該当しない - **特権ユーザーが特権運用環境と非特権運用環境を分けて使用するようにしています。** - **実装のガイダンス:** [テーマ 5: データ境界を確立する](theme-5.md) - **AWS リソース:** [データ境界を確立する。](https://docs.aws.amazon.com/whitepapers/latest/building-a-data-perimeter-on-aws/building-a-data-perimeter-on-aws.html)OFFICIAL:SENSITIVE または PROTECTED といった異なるデータ分類の環境間、あるいは、開発、テスト、本番といった異なるリスクレベルの環境間にデータ境界を実装することを検討してください。 - **AWS Well-Architected ガイダンス:** [SEC06-BP03 手動管理とインタラクティブアクセスを削減する](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/sec_protect_compute_reduce_manual_management.html) - **特権運用環境を非特権運用環境内で仮想化しないようにしています。** - **特権のないアカウントでは、特権アカウントの運用環境にログオンできないようにしています。** - **特権アカウント (ローカル管理者アカウントを除く) では、権限のない運用環境にログオンできないようにしています。** - **システムとアプリケーションの管理に、ジャストインタイム管理を使用しています。** - **実装のガイダンス:** [テーマ 4: ID の管理](theme-4.md): ID フェデレーションの実装 - **AWS リソース:** [人間のユーザーに、一時的な認証情報 AWS を使用して にアクセスすることを ID プロバイダーと連携させる](https://docs.aws.amazon.com/singlesignon/latest/userguide/manage-your-identity-source.html)
[環境への一時的な昇格アクセスを実装する AWS](https://aws.amazon.com/blogs/security/managing-temporary-elevated-access-to-your-aws-environment/) (AWS ブログ記事) - **AWS Well-Architected ガイダンス:** [SEC02-BP04 一元化された ID プロバイダーを利用する](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/sec_identities_identity_provider.html) - **管理アクティビティは、ジャンプサーバーを介して行っています。** - **実装のガイダンス:** [テーマ 1: マネージドサービスの使用](theme-1.md)
[テーマ 3: 自動化によるミュータブルなインフラストラクチャの管理](theme-3.md): 手動ではなく、自動プロセスを使用する - **AWS リソース:** SSH または RDP による直接アクセスではなく、[Session Manager](https://docs.aws.amazon.com/systems-manager/latest/userguide/session-manager.html) または [Run Command](https://docs.aws.amazon.com/systems-manager/latest/userguide/run-command.html) を使用する - **AWS Well-Architected ガイダンス:** [SEC01-BP05 セキュリティ管理の範囲を縮小する](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/sec_securely_operate_reduce_management_scope.html)
[SEC06-BP03 手動管理とインタラクティブアクセスを削減する](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/sec_protect_compute_reduce_manual_management.html) - **ローカル管理者アカウントとサービスアカウントの認証情報は、一意で、予測不可能であり、管理対象となっています。** - **実装のガイダンス:** 「[Technical example: Restrict administrative privileges](https://www.cyber.gov.au/resources-business-and-government/essential-cyber-security/small-business-cyber-security/small-business-cloud-security-guide/technical-example-restrict-administrative-privileges)」(ACSC ウェブサイト) を参照してください。 - **AWS リソース:** 該当しない - **AWS Well-Architected ガイダンス:** 該当しない - **Windows Defender Credential Guard と Windows Defender Remote Credential Guard を有効にしています。** - **特権アクセスの使用を一元的にログに記録し、それらのログを不正な変更や削除から保護しています。また、侵害の兆候がないかをモニタリングし、サイバーセキュリティイベントが検出されたらそれらに対処します。** - **実装のガイダンス:** [テーマ 7: ログ記録およびモニタリングの一元化](theme-7.md): ログ記録の有効化
[テーマ 7: ログ記録およびモニタリングの一元化](theme-7.md): ログを一元管理する - **AWS リソース:** [CloudWatch エージェントを使用して、OS レベルのログを CloudWatch Logs に発行する](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/Install-CloudWatch-Agent.html)
[組織の CloudTrail を有効にする](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/creating-trail-organization.html)
[監査と分析のために アカウントに CloudWatch Logs を一元化する](https://aws.amazon.com/blogs/architecture/stream-amazon-cloudwatch-logs-to-a-centralized-account-for-audit-and-analysis/) (AWS ブログ記事)
[Amazon Inspector の管理を一元化する](https://docs.aws.amazon.com/inspector/latest/user/managing-multiple-accounts.html)
[Security Hub CSPM の管理を一元化する](https://docs.aws.amazon.com/securityhub/latest/userguide/designate-orgs-admin-account.html)
[AWS Configで組織全体のアグリゲータを作成する](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/creating-trail-organization.html) (AWS ブログ記事)
[GuardDuty の管理を一元化する](https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_organizations.html)
[Amazon Security Lake の使用を検討する](https://docs.aws.amazon.com/security-lake/latest/userguide/what-is-security-lake.html)
[複数のアカウントから CloudTrail ログを受信する](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-receive-logs-from-multiple-accounts.html)
[ログアーカイブアカウントにログを送信する](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/security-ou-and-accounts.html#log-archive-account) - **AWS Well-Architected ガイダンス:** [SEC04-BP01 サービスとアプリケーションのログ記録を設定する](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/sec_detect_investigate_events_app_service_logging.html)
[SEC04-BP02 標準化された場所でログ、検出結果、メトリクスをキャプチャする](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/sec_detect_investigate_events_logs.html) - **特権アカウントおよびグループへの変更を一元的にログに記録し、それらのログを不正な変更や削除から保護しています。また、侵害の兆候がないかをモニタリングし、サイバーセキュリティイベントが検出されたらそれらに対処します。**