ECSタスクにEFSボリュームをマウントする際のベストプラクティス -セキュリティ編-

Posted at 2025-11-28

こんにちは。

アシミネです。
最近はCDKを練習してます。

CDKにてECSタスクにEFSボリュームをアタッチする際にエラーではまりまして、、、
そのエラーを解消するにあたりベストプラクティスを紹介するドキュメントを参考にしたのですが、初知りの情報が多く理解に時間がかかったので、ここにまとめることで頭のなかを整理したいと思います。

早速いきましょうか。

ECSタスクにEFSボリュームをマウントする際のベストプラクティス -セキュリティ編-

セキュリティを確保するために必要なことは ”データの暗号化” と “アクセス制御” 。

ここでは設定方法も紹介します。設定方法が簡単である、ということが分かっていただければと。

🔐データの暗号化

EFSが保存しているデータ、および転送中のデータを暗号化することでセキュリティを確保します。

簡単な操作だけでデータ暗号化を有効化できます。

データ暗号化設定方法

①マネコンのタスク定義画面のボリューム設定個所にて、「ボリュームタイプ→EFS」、「ファイルシステム→作成したEFS」と選択して「詳細設定」を開く

②詳細設定にて「転送暗号化」に✅

データ暗号化に関する操作、簡単ですね。

🛂アクセス制御

EFSボリュームへのアクセスを制限する方法が3つ紹介されています。

セキュリティグループによるアクセス制御
IAM認証によるアクセス制御
EFSアクセスポイントによるアクセス制御

一つずつ見ていきましょう。

1. セキュリティグループによるアクセス制御

EFSマウントターゲットにはセキュリティグループをアタッチできます。

EFSマウントターゲットのセキュリティグループには、アクセス元であるECSタスクのセキュリティグループからのNFSトラフィックのみを許可しましょう。

基本的な手法で、理解しやすい内容ですね。

2. IAM認証によるアクセス制御

その名の通りIAMロールを利用しEFSへのアクセス権を制御します。

EFSのファイルシステムポリシーにてアクセス許可するIAMロールを設定します。

さらに、タスク定義のボリューム設定にてIAM認証の有効化が必要です。

ファイルシステムポリシーの設定方法

①EFSのマネコン画面にて、「ファイルシステム」タブを開き、編集を開く

②JSON形式で下記ポリシーを記載し保存

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Principal": {
            "AWS": "arn:aws:iam::<AWSアカウントID>:role/ecs-task-role" // アクセス許可したいIAMロール
          },
          "Action": [
            "elasticfilesystem:ClientMount",
            "elasticfilesystem:ClientRootAccess",
            "elasticfilesystem:ClientWrite"
          ],
          "Resource": "arn:aws:elasticfilesystem:<リージョン>:<アカウントID>:file-system/<ファイルシステムID>"
        }
      ]
    }

IAM認証有効化方法