翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

テーマ 2: 安全なパイプラインによる、イミュータブルなインフラストラクチャの管理

イミュータブルインフラストラクチャの場合は、システム変更のデプロイパイプラインを保護する必要があります。 AWS 著名エンジニアである Colm MacC árthaigh は、2022 AWS re:Invent カンファレンスの「ゼロ特権オペレーション: データにアクセスできないサービスの実行YouTube」プレゼンテーションでこの原則について説明しました。

AWS リソースを設定するための直接アクセスを制限することで、承認済み、セキュア、自動化されたパイプラインを通じてすべてのリソースをデプロイまたは変更することを要求できます。具体的には、通常、AWS Identity and Access Management (IAM) ポリシーを作成し、ユーザーがデプロイパイプラインをホストするアカウントにのみアクセスできるようにし、限られた数のユーザーにブレークグラスアクセスを許可する IAM ポリシーも設定します。また、手動の変更を防ぐために、セキュリティグループを使用して、SSH および Windows リモートデスクトッププロトコル (RDP) によるサーバーアクセスをブロックできます。の一機能である Session Manager は AWS Systems Manager、インバウンドポートを開いたり踏み台ホストを維持したりすることなく、インスタンスへのアクセスを提供できます。

Amazon マシンイメージ (AMI) とコンテナイメージは、安全で反復可能な方法で構築しなければなりません。Amazon EC2 インスタンスの場合、EC2 Image Builder を使用して、インスタンス検出、アプリケーション制御、ログ記録などのセキュリティ機能を組み込んだ AMI を構築できます。アプリケーション制御の詳細については、ACSC ウェブサイトの「Implementing Application Control」を参照してください。また、Image Builder でコンテナイメージを構築して、Amazon Elastic Container Registry (Amazon ECR) を使用し、それらのイメージをアカウント間で共有することも可能です。中央のセキュリティチームでは、こうした AMI とコンテナイメージを構築する自動プロセスを承認でき、これによって、作成された AMI またはコンテナイメージをアプリケーションチームで使用することが承認されます。

アプリケーションは、AWS CloudFormation や AWS Cloud Development Kit (AWS CDK) などのサービスを使用して、Infrastructure as Code (IaC) で定義する必要があります。cfn-nag AWS CloudFormation Guardや cdk-nag などのコード分析ツールは、承認されたパイプラインのセキュリティのベストプラクティスに照らしてコードを自動的にテストできます。

テーマ 1: マネージドサービスの使用 と同様に、Amazon Inspector を使用すると、 AWS アカウント全体の脆弱性をレポートできます。一元化されたクラウドおよびセキュリティチームでは、こうした情報を使用して、アプリケーションチームがセキュリティおよびコンプライアンス要件を満たしていることを確認できます。

コンプライアンスをモニタリングし報告するには、IAM リソースとログを継続的にレビューします。 AWS Config ルールを使用して、承認された AMIs のみを使用し、Amazon Inspector が Amazon ECR リソースの脆弱性をスキャンするように設定されていることを確認します。

AWS Well-Architected フレームワークの関連するベストプラクティス

このテーマの実装

AMI およびコンテナビルドパイプラインの実装

安全なアプリケーションビルドパイプラインの実装

脆弱性スキャンの実装

このテーマのモニタリング

IAM とログの継続的なモニタリング

次の AWS Config ルールを実装する