メインコンテンツに移動

AWS ソリューションライブラリ

Guidance for Trusted Secure Enclaves on AWS

セキュアエンクレーブを使用して、機密性の高いワークロードを保護および分離する

概要

このガイダンスは、国家安全保障、防衛、国の法執行機関における機密性の高いワークロードのための包括的なクラウドアーキテクチャを構築する方法を示します。AWS でマルチアカウントアーキテクチャを使用することで、機密データとワークロードを安全に保ちながらミッションを遂行できます。このガイダンスは、厳格で独自のセキュリティとコンプライアンスの要件を満たすのに役立つように設計されており、さまざまな米国のセキュリティフレームワークに沿った、中心的な ID およびアクセス管理、ガバナンス、データセキュリティ、包括的なログ記録、ならびにネットワーク設計とセグメント化に対応します。

仕組み

概要

このアーキテクチャ図は、独自のセキュリティ要件とコンプライアンス要件を備えた包括的なマルチアカウントワークロードを構成する方法を示しています。

アーキテクチャ図をダウンロードする
Architecture diagram illustrating AWS Trusted Secure Enclaves, showing the organization management account, security accounts, infrastructure accounts, sensitive application OUs, and network connections to a corporate data center and the internet.

組織管理アカウント

このアーキテクチャ図は、組織が複数のアカウントをグループ化する方法を示しています。すべてのアカウントは、単一のお客様エンティティによって管理されます。 このアーキテクチャ図のステップに従って、このガイダンスの組織管理アカウント部分をデプロイします。

アーキテクチャ図をダウンロードする
Architecture diagram illustrating AWS Trusted Secure Enclaves organization management. The diagram shows organizational units (Security OU, Infrastructure OU, Dev OU, Prod OU, Central OU, Test OU), AWS KMS, SCPs, and integration with a Virtual Private Cloud (VPC), AD Connector, AWS IAM Identity Center, and corporate users.

セキュリティアカウント

このアーキテクチャ図は、AWS のサービスとアカウント全体で包括的なログ収集を一元的に設定する方法を示しています。 このアーキテクチャ図のステップに従って、このガイダンスのセキュリティアカウントの部分をデプロイします。

アーキテクチャ図をダウンロードする
Architecture diagram illustrating AWS trusted and secure enclave organization security, showing management and security accounts, log archive (Amazon S3, CloudWatch, CloudTrail), and security tooling such as GuardDuty, Security Hub, AWS Config, Firewall Manager, Macie, IAM Access Analyzer, and Alarm.

インフラストラクチャアカウント

このアーキテクチャ図は、仮想プライベートクラウド (VPC) を使用して一元化され、分離されたネットワーク環境を構築する方法を示しています。 このアーキテクチャ図のステップに従って、このガイダンスのインフラストラクチャアカウント部分をデプロイします。

アーキテクチャ図をダウンロードする
Architecture diagram showing an AWS infrastructure design for trusted secure enclaves. The diagram illustrates the organization management account, infrastructure accounts for operations and DevOps, shared network components, perimeter security including AWS Network Firewall, ELB, AWS WAF, NAT gateway, and integration with corporate data centers via AWS Direct Connect. The layout demonstrates central VPCs, CI/CD tooling, firewalls, and connectivity to the internet.

アプリケーション、コミュニティ、チーム、またはグループアカウント (機密)

このアーキテクチャ図は、ソフトウェア開発ライフサイクルの異なるステージに属するワークロード間、または異なる IT 管理ロール間のセグメント化と分離を設定する方法を示しています。このアーキテクチャ図のステップに従って、このガイダンスのアプリケーション、コミュニティ、チーム、またはグループアカウントの部分をデプロイします。 

アーキテクチャ図をダウンロードする
Architecture diagram showing the AWS Trusted Secure Enclaves setup for sensitive accounts, including organization management accounts, organizational units, and teams (Dev, Test, Prod, Shared) using VPCs, AWS Nitro System hosts, ELB, and AWS WAF.

Well-Architected の柱

上記のアーキテクチャ図は、Well-Architected のベストプラクティスを念頭に置いて作成されたソリューションの例です。完全に Well-Architected であるためには、可能な限り多くの Well-Architected ベストプラクティスに従う必要があります。

このガイダンスでは、 AWS CloudFormation スタックと構成を使用する組織を使用して、AWS 環境の安全な基盤を構築します。これは、技術的なセキュリティコントロールの実装を加速する Infrastructure as Code (IaC) ソリューションを提供します。設定ルールは、規定のアーキテクチャに悪影響を及ぼすと判断された設定の差分を修正します。機密として分類されたワークロードのために AWS グローバル商用インフラストラクチャを使用し、安全なシステムを自動化して、プロセスと手順を継続的に改善しながら、ミッションをより迅速に実行できます。

オペレーショナルエクセレンスに関するホワイトペーパーを読む

このガイダンスでは、組織を使用して CloudTrail による API ロギングなどの組織的なガードレールの導入を促進しています。また、このガイダンスは、ガードレールメカニズムとして規範的な AWS SCP を使用する予防的コントロールも提供します。これは主に、環境内の API の特定のカテゴリまたはカテゴリ全体を拒否したり (ワークロードが指定されたリージョンにのみデプロイされるようにするため)、特定の AWS サービスへのアクセスを拒否したりするために使用されます。CloudTrail と CloudWatch のログは、AWS のサービスとアカウント全体にわたる規定の包括的なログ収集と一元化をサポートします。AWS のセキュリティ機能と多数のセキュリティ関連サービスは、定義されたパターンで設定されており、世界でも極めて厳しいセキュリティ要件の一部を満たすのに役立ちます。

セキュリティに関するホワイトペーパーを読む

このガイダンスは複数のアベイラビリティーゾーン (AZ) を使用するため、1 つの AZ が失われてもアプリケーションの可用性には影響しません。CloudFormationを使用すると、安全で制御された方法でインフラストラクチャのプロビジョニングと更新を自動化できます。このガイダンスには、環境内の AWS リソース設定と設定変更を評価するための事前構築済みルールも用意されています。また、 AWS Lambda でカスタムルールを作成してベストプラクティスやガイドラインを定義することもできます。需要に合わせて環境をスケールする機能を自動化し、設定ミスや一時的なネットワークの問題などの中断を軽減できます。

信頼性に関するホワイトペーパーを読む

このガイダンスは、単一のゲートウェイを介して複数のVPCを接続する中央ハブとして機能するTransit Gatewayを使用してクラウドインフラストラクチャの管理を簡素化し、ネットワークアーキテクチャの拡張と保守を容易にします。これにより、ネットワークアーキテクチャが簡素化され、組織内の異なる AWS アカウント間でのトラフィックの効率的なルーティングが容易になります。

パフォーマンス効率に関するホワイトペーパーを読む

このガイダンスは、不要なコストや最適でないリソースの使用を回避したり、なくしたりする機能を提供します。組織では、一元管理と一括請求が可能なため、リソース使用とコスト最適化の強力な分離が容易になります。このガイダンスは、コスト効率を高めるために一元化されたエンドポイントを使用して、AWS パブリック API エンドポイントを、プライベート VPC アドレス空間に移行することを規定しています。さらに、AWS コストと使用状況レポート (AWS CUR) を使用して AWS の使用状況を追跡し、料金を見積もることができます。

コスト最適化に関するホワイトペーパーを読む

このガイダンスは、独自のデータセンター内でのワークロードの管理に関連する二酸化炭素排出量を削減するのに役立ちます。AWS グローバルインフラストラクチャは、サポートインフラストラクチャ (電源、冷却、ネットワークなど) と、従来のデータセンターよりも高い使用率およびより迅速なテクノロジーの更新を提供します。さらに、ワークロードのセグメンテーションと分離は不要なデータ移動を減らすのに役立ち、 Amazon S3 にはストレージ階層があり、効率的なストレージ階層にデータを自動的に移動する機能も用意されています。

持続可能性に関するホワイトペーパーを読む

免責事項

サンプルコード、ソフトウェアライブラリ、コマンドラインツール、概念の実証、テンプレート、またはその他の関連技術 (私たちの担当者から提供される前述のものを含む) は、AWS カスタマーアグリーメント、またはお客様と AWS との間の関連文書契約 (いずれか該当する方) に基づき、AWS コンテンツとしてお客様に提供されるものです。お客様は、この AWS コンテンツを、お客様の本番アカウント、または本番データもしくはその他の重要なデータで使用すべきではありません。お客様は、サンプルコードなどの AWS コンテンツを、お客様固有の品質管理手法および基準に基づいて、本番グレードでの使用に適したテスト、セキュリティ確保、および最適化を行う責任を負います。AWS コンテンツのデプロイには、Amazon EC2 インスタンスの実行や Amazon S3 ストレージの使用など、AWS の課金対象リソースを作成または使用するための AWS 料金が発生する場合があります。

今日お探しの情報は見つかりましたか?

ぜひご意見をお寄せください。ページのコンテンツ品質の向上のために役立てさせていただきます