メインコンテンツに移動

AWS ソリューションライブラリ

Guidance for Trusted Secure Enclaves on AWS

セキュアエンクレーブを使用して、機密性の高いワークロードを保護および分離する

概要

このガイダンスは、国家安全保障、防衛、国の法執行機関における機密性の高いワークロードのための包括的なクラウドアーキテクチャを構築する方法を示します。AWS でマルチアカウントアーキテクチャを使用することで、機密データとワークロードを安全に保ちながらミッションを遂行できます。このガイダンスは、厳格で独自のセキュリティとコンプライアンスの要件を満たすのに役立つように設計されており、さまざまな米国のセキュリティフレームワークに沿った、中心的な ID およびアクセス管理、ガバナンス、データセキュリティ、包括的なログ記録、ならびにネットワーク設計とセグメント化に対応します。

仕組み

概要

このアーキテクチャ図は、独自のセキュリティとコンプライアンス要件を満たす必要がある包括的なマルチアカウントワークロードを設定する方法を示しています。

アーキテクチャダイアグラムをダウンロード
Architecture diagram illustrating AWS Trusted Secure Enclaves, showing the organization management account, security accounts, infrastructure accounts, sensitive application OUs, and network connections to a corporate data center and the internet.

組織管理アカウント

このアーキテクチャ図は、組織が複数のアカウントをグループ化する方法を示しています。すべてのアカウントは、単一のお客様エンティティによって管理されます。 このアーキテクチャ図のステップに従って、このガイダンスの組織管理アカウント部分をデプロイします。

アーキテクチャダイアグラムをダウンロード
Architecture diagram illustrating AWS Trusted Secure Enclaves organization management. The diagram shows organizational units (Security OU, Infrastructure OU, Dev OU, Prod OU, Central OU, Test OU), AWS KMS, SCPs, and integration with a Virtual Private Cloud (VPC), AD Connector, AWS IAM Identity Center, and corporate users.

セキュリティアカウント

このアーキテクチャ図は、AWS のサービスとアカウント全体で包括的なログ収集を一元的に設定する方法を示しています。 このアーキテクチャ図のステップに従って、このガイダンスのセキュリティアカウントの部分をデプロイします。

アーキテクチャダイアグラムをダウンロード
Architecture diagram illustrating AWS trusted and secure enclave organization security, showing management and security accounts, log archive (Amazon S3, CloudWatch, CloudTrail), and security tooling such as GuardDuty, Security Hub, AWS Config, Firewall Manager, Macie, IAM Access Analyzer, and Alarm.

インフラストラクチャアカウント

このアーキテクチャ図は、仮想プライベートクラウド (VPC) を使用して一元化され、分離されたネットワーク環境を構築する方法を示しています。 このアーキテクチャ図のステップに従って、このガイダンスのインフラストラクチャアカウント部分をデプロイします。

アーキテクチャダイアグラムをダウンロード
Architecture diagram showing an AWS infrastructure design for trusted secure enclaves. The diagram illustrates the organization management account, infrastructure accounts for operations and DevOps, shared network components, perimeter security including AWS Network Firewall, ELB, AWS WAF, NAT gateway, and integration with corporate data centers via AWS Direct Connect. The layout demonstrates central VPCs, CI/CD tooling, firewalls, and connectivity to the internet.

アプリケーション、コミュニティ、チーム、またはグループアカウント (機密)

このアーキテクチャ図は、ソフトウェア開発ライフサイクルの異なるステージに属するワークロード間、または異なる IT 管理ロール間のセグメント化と分離を設定する方法を示しています。このアーキテクチャ図のステップに従って、このガイダンスのアプリケーション、コミュニティ、チーム、またはグループアカウントの部分をデプロイします。 

アーキテクチャダイアグラムをダウンロード
Architecture diagram showing the AWS Trusted Secure Enclaves setup for sensitive accounts, including organization management accounts, organizational units, and teams (Dev, Test, Prod, Shared) using VPCs, AWS Nitro System hosts, ELB, and AWS WAF.

Well-Architected の柱

上記のアーキテクチャ図は、Well-Architected のベストプラクティスを念頭に置いて作成されたソリューションの例です。完全に Well-Architected であるためには、可能な限り多くの Well-Architected ベストプラクティスに従う必要があります。

    このガイダンスは、Organizations と AWS CloudFormation スタックおよび設定を使用して、AWS 環境のための安全な基盤を構築します。これは、技術的なセキュリティコントロールの実装を加速する Infrastructure as Code (IaC) ソリューションを提供します。Config ルールは、規定のアーキテクチャに悪影響を及ぼすと判断された設定デルタを是正します。機密として分類されたワークロードのために AWS グローバル商用インフラストラクチャを使用し、安全なシステムを自動化して、プロセスと手順を継続的に改善しながら、ミッションをより迅速に実行できます。

    オペレーショナルエクセレンスに関するホワイトペーパーを読む

    このガイダンスは、Organizations を使用して、CloudTrail を利用した API ログ記録などの組織ガードレールのデプロイを容易にします。また、このガイダンスは、ガードレールメカニズムとして規範的な AWS SCP を使用する予防的コントロールも提供します。これは主に、環境内の API の特定のカテゴリまたはカテゴリ全体を拒否したり (ワークロードが指定されたリージョンにのみデプロイされるようにするため)、特定の AWS サービスへのアクセスを拒否したりするために使用されます。CloudTrail および CloudWatch ログは、AWS のサービスとアカウント全体で規定された包括的なログ収集と一元化をサポートします。AWS のセキュリティ機能と多数のセキュリティ関連サービスは、定義されたパターンで設定されており、世界でも極めて厳しいセキュリティ要件の一部を満たすのに役立ちます。

    セキュリティに関するホワイトペーパーを読む

    このガイダンスは複数のアベイラビリティーゾーン (AZ) を使用するため、1 つの AZ が失われてもアプリケーションの可用性には影響しません。CloudFormation を利用して、安全かつ管理された方法でインフラストラクチャのプロビジョニングと更新を自動化できます。また、このガイダンスは、環境内の AWS リソース設定と設定変更を評価するための事前構築済みルールも提供します。あるいは、AWS Lambda でカスタムルールを作成して、ベストプラクティスとガイドラインを定義することもできます。需要に合わせて環境をスケールする機能を自動化し、設定ミスや一時的なネットワークの問題などの中断を軽減できます。

    信頼性に関するホワイトペーパーを読む

    このガイダンスは、Transit Gateway を利用してクラウドインフラストラクチャ管理を簡素化します。Transit Gateway は、単一のゲートウェイを通じて複数の VPC を接続する中心的なハブとして機能し、ネットワークアーキテクチャのスケールと維持をより容易にします。これにより、ネットワークアーキテクチャが簡素化され、組織内の異なる AWS アカウント間でのトラフィックの効率的なルーティングが容易になります。

    パフォーマンス効率に関するホワイトペーパーを読む

    このガイダンスは、不要なコストや最適でないリソースの使用を回避したり、なくしたりする機能を提供します。Organizations は、一元化と一括請求 (コンソリデーティッドビリング) を提供し、リソースの使用とコスト最適化を厳密に分離します。このガイダンスは、コスト効率を高めるために一元化されたエンドポイントを使用して、AWS パブリック API エンドポイントを、プライベート VPC アドレス空間に移行することを規定しています。さらに、AWS コストと使用状況レポート (AWS CUR) を使用して、AWS の使用状況を追跡したり、料金を見積もったりできます。

    コスト最適化に関するホワイトペーパーを読む

    このガイダンスは、独自のデータセンター内でのワークロードの管理に関連する二酸化炭素排出量を削減するのに役立ちます。AWS グローバルインフラストラクチャは、サポートインフラストラクチャ (電源、冷却、ネットワークなど) と、従来のデータセンターよりも高い使用率およびより迅速なテクノロジーの更新を提供します。さらに、ワークロードのセグメント化と分離は、不要なデータ移動を削減するのに役立ちます。また、Amazon S3 はストレージ階層と、効率的なストレージ階層にデータを自動的に移動する機能を提供します。

    持続可能性に関するホワイトペーパーを読む

免責事項

サンプルコード、ソフトウェアライブラリ、コマンドラインツール、概念の実証、テンプレート、またはその他の関連技術 (私たちの担当者から提供される前述のものを含む) は、AWS カスタマーアグリーメント、またはお客様と AWS との間の関連文書契約 (いずれか該当する方) に基づき、AWS コンテンツとしてお客様に提供されるものです。お客様は、この AWS コンテンツを、お客様の本番アカウント、または本番データもしくはその他の重要なデータで使用すべきではありません。お客様は、サンプルコードなどの AWS コンテンツを、お客様固有の品質管理手法および基準に基づいて、本番グレードでの使用に適したテスト、セキュリティ確保、および最適化を行う責任を負います。AWS コンテンツのデプロイには、Amazon EC2 インスタンスの実行や Amazon S3 ストレージの使用など、AWS の課金対象リソースを作成または使用するための AWS 料金が発生する場合があります。

今日お探しの情報は見つかりましたか?

ページコンテンツの品質向上のため、皆さまのご意見をお寄せください