セキュアエンクレーブを使用して、機密性の高いワークロードを保護および分離する
このガイダンスは、国家安全保障、防衛、国の法執行機関における機密性の高いワークロードのための包括的なクラウドアーキテクチャを構築する方法を示します。AWS でマルチアカウントアーキテクチャを使用することで、機密データとワークロードを安全に保ちながらミッションを遂行できます。このガイダンスは、厳格で独自のセキュリティとコンプライアンスの要件を満たすのに役立つように設計されており、さまざまな米国のセキュリティフレームワークに沿った、中心的な ID およびアクセス管理、ガバナンス、データセキュリティ、包括的なログ記録、ならびにネットワーク設計とセグメント化に対応します。
注意: [免責事項]
アーキテクチャ図

-
概要
-
組織管理アカウント
-
セキュリティアカウント
-
インフラストラクチャアカウント
-
アプリケーション、コミュニティ、チーム、またはグループアカウント (機密)
-
概要
-
このアーキテクチャ図は、独自のセキュリティとコンプライアンス要件を満たす必要がある包括的なマルチアカウントワークロードを設定する方法の概要を示しています。このガイダンスをデプロイする方法の詳細については、他のタブを開いてください。
ステップ 1
サービスコントロールポリシー (SCP) によってガイドされる、AWS Organizations 内の複数のアカウントを持つ組織。組織は、単一のお客様エンティティによって管理される複数の個別の AWS アカウントをグループ化します。個別の AWS アカウントは、AWS の異なるお客様によって所有されているかのように、ワークロードまたは環境間の強力なコントロールプレーンとデータプレーンの分離を提供します。 -
組織管理アカウント
-
このアーキテクチャ図は、組織が複数のアカウントをグループ化する方法を示しています。すべてのアカウントは、単一のお客様エンティティによって管理されます。 このアーキテクチャ図のステップに従って、このガイダンスの組織管理アカウント部分をデプロイします。
ステップ 1
複数のアカウントを持つ組織: 組織は、単一のお客様エンティティによって管理される複数の個別の AWS アカウントをグループ化します。これにより、請求が統合されるとともに、OU を使用してアカウントがグループ化され、SCP を使用した組織の予防的コントロールのデプロイが容易になります。 -
セキュリティアカウント
-
このアーキテクチャ図は、AWS のサービスとアカウント全体で包括的なログ収集を一元的に設定する方法を示しています。 このアーキテクチャ図のステップに従って、このガイダンスのセキュリティアカウントの部分をデプロイします。
ステップ 1
一元的なログ記録: このアーキテクチャは、AWS のサービスとアカウント全体で包括的なログ収集と一元化を規定しています。AWS CloudTrail ログは組織全体で機能し、クラウド環境全体で完全なコントロールプレーン監査機能を提供します。 -
インフラストラクチャアカウント
-
このアーキテクチャ図は、仮想プライベートクラウド (VPC) を使用して一元化され、分離されたネットワーク環境を構築する方法を示しています。 このアーキテクチャ図のステップに従って、このガイダンスのインフラストラクチャアカウント部分をデプロイします。
ステップ 1
一元化され、分離されたネットワーク: Amazon Virtual Private Cloud (Amazon VPC) を通じて構築された VPC は、共有ネットワークアカウントで一元化された、ワークロード間のデータプレーン分離を作成するために使用されます。一元化により、強力な職務の分離とコスト最適化が促進されます。 -
アプリケーション、コミュニティ、チーム、またはグループアカウント (機密)
-
このアーキテクチャ図は、ソフトウェア開発ライフサイクルの異なるステージに属するワークロード間、または異なる IT 管理ロール間のセグメント化と分離を設定する方法を示しています。このアーキテクチャ図のステップに従って、このガイダンスのアプリケーション、コミュニティ、チーム、またはグループアカウントの部分をデプロイします。
ステップ 1
セグメント化と分離: アーキテクチャは、ソフトウェア開発ライフサイクルの異なるステージに属するワークロード間、または異なる IT 管理ロール間 (ネットワーク、イングレスおよびエグレスファイアウォール、ワークロードなど) における強力なセグメント化と分離を提供するだけではありません。
Well-Architected Pillars

AWS Well-Architected フレームワークは、クラウドでシステムを構築する際に行う決定の長所と短所を理解するのに役立ちます。フレームワークの 6 つの柱により、信頼性が高く、安全かつ効率的で、費用対効果が高く、持続可能なシステムを設計および運用するためのアーキテクチャのベストプラクティスを学ぶことができます。AWS マネジメントコンソールで無料で提供されている AWS Well-Architected Tool を使用し、各柱の一連の質問に回答することで、これらのベストプラクティスに照らしてワークロードを確認できます。
上記のアーキテクチャ図は、Well-Architected のベストプラクティスを念頭に置いて作成されたソリューションの例です。完全に Well-Architected であるためには、可能な限り多くの Well-Architected ベストプラクティスに従う必要があります。
-
運用上の優秀性
このガイダンスは、Organizations と AWS CloudFormation スタックおよび設定を使用して、AWS 環境のための安全な基盤を構築します。これは、技術的なセキュリティコントロールの実装を加速する Infrastructure as Code (IaC) ソリューションを提供します。Config ルールは、規定のアーキテクチャに悪影響を及ぼすと判断された設定デルタを是正します。機密として分類されたワークロードのために AWS グローバル商用インフラストラクチャを使用し、安全なシステムを自動化して、プロセスと手順を継続的に改善しながら、ミッションをより迅速に実行できます。
-
セキュリティ
このガイダンスは、Organizations を使用して、CloudTrail を利用した API ログ記録などの組織ガードレールのデプロイを容易にします。また、このガイダンスは、ガードレールメカニズムとして規範的な AWS SCP を使用する予防的コントロールも提供します。これは主に、環境内の API の特定のカテゴリまたはカテゴリ全体を拒否したり (ワークロードが指定されたリージョンにのみデプロイされるようにするため)、特定の AWS サービスへのアクセスを拒否したりするために使用されます。CloudTrail および CloudWatch ログは、AWS のサービスとアカウント全体で規定された包括的なログ収集と一元化をサポートします。AWS のセキュリティ機能と多数のセキュリティ関連サービスは、定義されたパターンで設定されており、世界でも極めて厳しいセキュリティ要件の一部を満たすのに役立ちます。
-
信頼性
このガイダンスは複数のアベイラビリティーゾーン (AZ) を使用するため、1 つの AZ が失われてもアプリケーションの可用性には影響しません。CloudFormation を利用して、安全かつ管理された方法でインフラストラクチャのプロビジョニングと更新を自動化できます。また、このガイダンスは、環境内の AWS リソース設定と設定変更を評価するための事前構築済みルールも提供します。あるいは、AWS Lambda でカスタムルールを作成して、ベストプラクティスとガイドラインを定義することもできます。需要に合わせて環境をスケールする機能を自動化し、設定ミスや一時的なネットワークの問題などの中断を軽減できます。
-
パフォーマンス効率
このガイダンスは、Transit Gateway を利用してクラウドインフラストラクチャ管理を簡素化します。Transit Gateway は、単一のゲートウェイを通じて複数の VPC を接続する中心的なハブとして機能し、ネットワークアーキテクチャのスケールと維持をより容易にします。これにより、ネットワークアーキテクチャが簡素化され、組織内の異なる AWS アカウント間でのトラフィックの効率的なルーティングが容易になります。
-
コストの最適化
このガイダンスは、不要なコストや最適でないリソースの使用を回避したり、なくしたりする機能を提供します。Organizations は、一元化と一括請求 (コンソリデーティッドビリング) を提供し、リソースの使用とコスト最適化を厳密に分離します。このガイダンスは、コスト効率を高めるために一元化されたエンドポイントを使用して、AWS パブリック API エンドポイントを、プライベート VPC アドレス空間に移行することを規定しています。さらに、AWS コストと使用状況レポート (AWS CUR) を使用して、AWS の使用状況を追跡したり、料金を見積もったりできます。
-
持続可能性
このガイダンスは、独自のデータセンター内でのワークロードの管理に関連する二酸化炭素排出量を削減するのに役立ちます。AWS グローバルインフラストラクチャは、サポートインフラストラクチャ (電源、冷却、ネットワークなど) と、従来のデータセンターよりも高い使用率およびより迅速なテクノロジーの更新を提供します。さらに、ワークロードのセグメント化と分離は、不要なデータ移動を削減するのに役立ちます。また、Amazon S3 はストレージ階層と、効率的なストレージ階層にデータを自動的に移動する機能を提供します。
関連コンテンツ

TSE-SE サンプル設定 (LZA オートメーションエンジンを使用)
Trusted Secure Enclaves - Sensitive Edition
免責事項
サンプルコード、ソフトウェアライブラリ、コマンドラインツール、概念の実証、テンプレート、またはその他の関連技術 (私たちの担当者から提供される前述のものを含む) は、AWS カスタマーアグリーメント、またはお客様と AWS との間の関連文書契約 (いずれか該当する方) に基づき、AWS コンテンツとしてお客様に提供されるものです。お客様は、この AWS コンテンツを、お客様の本番アカウント、または本番データもしくはその他の重要なデータで使用すべきではありません。お客様は、サンプルコードなどの AWS コンテンツを、お客様固有の品質管理手法および基準に基づいて、本番グレードでの使用に適したテスト、セキュリティ確保、および最適化を行う責任を負います。AWS コンテンツのデプロイには、Amazon EC2 インスタンスの実行や Amazon S3 ストレージの使用など、AWS の課金対象リソースを作成または使用するための AWS 料金が発生する場合があります。
本ガイダンスにおける第三者のサービスまたは組織への言及は、Amazon または AWS と第三者との間の承認、後援、または提携を意味するものではありません。AWS からのガイダンスは技術的な出発点であり、アーキテクチャをデプロイするときにサードパーティのサービスとの統合をカスタマイズできます。