AWS Systems Manager におけるデータ境界

データ境界は、想定されるネットワークおよびリソースから信頼できる ID だけがデータにアクセスできるようにするために使用する、AWS 環境内の予防的ガードレールのセットです。データ境界コントロールを実装する場合、Systems Manager がユーザーに代わってアクセスする AWS サービス所有リソースの例外を含める必要がある場合があります。

シナリオ例: SSM ドキュメントカテゴリ S3 バケット

Systems Manager は AWS マネージド S3 バケットにアクセスして、AWS Systems Manager ドキュメント のドキュメントカテゴリ情報を取得します。このバケットには、コンソールで SSM ドキュメントを整理および分類するのに役立つドキュメントカテゴリに関するメタデータが含まれています。

データ境界ポリシーに関する考慮事項

サービスコントロールポリシー (SCP) または VPC エンドポイントポリシーを使用して aws:ResourceOrgID などの条件付きでデータ境界コントロールを実装する場合は、Systems Manager が必要とする AWS サービス所有リソースの例外を作成する必要があります。

例えば、SCP で aws:ResourceOrgID を使用して組織外のリソースへのアクセスを制限する場合は、SSM ドキュメントカテゴリバケットに例外を追加する必要があります。

このポリシーは組織外のリソースへのアクセスを必要としますが、適切な S3 バケットに関する例外が含まれているので、Systems Manager は引き続き正常に機能します。

同様に、VPC エンドポイントポリシーを使用して S3 アクセスを制限する場合は、SSM ドキュメントカテゴリバケットが VPC エンドポイントを介してアクセス可能であることを確認する必要があります。

シナリオ例: ハイブリッドノード登録 API

ハイブリッドノードは、本来 AWS アカウント に属しているのではなく、登録されているだけです。このため、ssm:RegisterManagedInstance、ssm:RequestManagedInstanceRoleToken、および ssm:UpdateManagedInstancePublicKey API は、ハイブリッドノードの認証時に AWS Signature Version 4 (SigV4) を使用しません。

その結果、ポリシー評価は、AWS プリンシパル ID または aws:PrincipalOrgId、aws:PrincipalAccount、aws:SourceAccount などのグローバルコンテキストキーにアクセスできません。ハイブリッドノードが登録を試みると、これらのグローバルキーまたは AWS プリンシパル ID に依存するサービスコントロールポリシー (SCP) と VPC エンドポイントポリシーによって、これらの 3 つの API がブロックされる可能性があります。これにより、ハイブリッドノードが登録を完了できなくなる可能性があります。

アカウントまたは組織のメンバーシップに基づいてこれらの API へのアクセスを制限するには、Amazon EC2 インスタンスとハイブリッドノードの両方で一貫して解決される次の Systems Manager 条件キーを使用します。

詳細情報

AWS のデータ境界の詳細については、次のトピックを参照してください。