クラウドセキュリティ設定

目次

• 概要
• 使用場面
• クイックスタート
• リファレンスガイド
• ベストプラクティス

概要

クラウドセキュリティは、ID管理、暗号化、ネットワークコントロール、コンプライアンス、脅威検出にわたる包括的な戦略が必要です。複数層の保護と継続的な監視により、多層防御を実装しましょう。

使用場面

• クラウド内の機密データの保護
• 規制への準拠 (GDPR、HIPAA、PCI-DSS)
• ゼロトラストセキュリティの実装
• マルチクラウド環境の保護
• 脅威検出と対応
• ID およびアクセス管理
• ネットワークの分離とセグメンテーション
• 暗号化とキー管理

クイックスタート

最小限の動作例：

# GuardDuty を有効化 (脅威検出)
aws guardduty create-detector \
  --enable \
  --finding-publishing-frequency FIFTEEN_MINUTES

# CloudTrail を有効化 (監査ログ)
aws cloudtrail create-trail \
  --name organization-trail \
  --s3-bucket-name audit-bucket \
  --is-multi-region-trail

# S3 バケットのデフォルト暗号化を有効化
aws s3api put-bucket-encryption \
  --bucket my-bucket \
  --server-side-encryption-configuration '{
    "Rules": [{
      "ApplyServerSideEncryptionByDefault": {
        "SSEAlgorithm": "aws:kms",
        "KMSMasterKeyID": "arn:aws:kms:region:account:key/key-id"
      },
      "BucketKeyEnabled": true
    }]
  }'

# VPC フローログを有効化
// ... (完全な実装についてはリファレンスガイドを参照)

リファレンスガイド

references/ ディレクトリの詳細な実装：

ベストプラクティス

✅ すべきこと

• 最小権限アクセスの実装
• 全てのシステムで MFA を有効化
• アプリケーション用のサービスアカウントを使用
• 保存時と転送時のデータ暗号化
• 包括的なログの有効化
• ネットワークセグメンテーションの実装
• シークレット管理の使用
• 脅威検出の有効化
• 定期的なセキュリティ評価
• システムを最新の状態に保つ

❌ してはいけないこと

• ルート/デフォルト認証情報の使用
• コード内にシークレットを保存
• セキュリティグループの権限設定が過度に広い
• 暗号化を無効化
• ログと監視を無視
• 認証情報の共有
• コンプライアンス要件をスキップ
• 検証されていないデータソースを信頼