セキュリティ

責任共有モデル、クラウドのセキュリティはAWS、アプリケーションやデータの暗号化はクライアントが守る。

責任共有モデル

誰がセキュリティに対して責任を持つのか？AWSもクライアントも責任がある。AWSはシステムを構築するオブジェクトの一部に対して責任を持つ。クラウドのセキュリティをAWSが守り、クラウド内のセキュリティをクライアントが守る。

例えばEC2はデータセンターにあるが、そこのセキュリティはAWS。物理的、ネットワーク、ハイパーバイザーなど。その上で走るOSやアプリケーションやデータはクライアントが守る。なぜならどのOSを選ぶかはクライアントの自由で、AWSはそこまで責任を負うことができない。セキュリティパッチも自分たちでメンテナンスする必要がある。データは常にクライアントのセキュリティ責任になる。なぜならクライアントｄはデータの公開の有無を自分で選べる。

AWS Identity and Access Management (IAM)

AWSのユーザーと認可の設定。
AWSを作る時AWSアカウントrootユーザーが作られる。すべての権限がある。rootだから。なので、危険なので多要素認証を推奨。ただ、rootですべての処理をやるのはあまりよくないので、AWS Identity and Access Management (IAM)を使うことが当たり前。

IAMユーザー

IAMで作ったユーザーアカウントはデフォルトで何も許可がない。これは安全側に倒している、Principle of least privilege（最小限の権限の原則）。なので使うサービス単位で認可を設定する。
AWSを使う人単位でIAMユーザーを作ることを推奨。

IAMポリシー

IAMポリシーは、ユーザーやグループにまとめて権限を設定できる。たとえば、S3のすべてのバケットにたいしてアクセス可能にするか、一部のバケットのみにするか、など。サービス単位でのアクセスももちろん設定可能。JSONで認可ステートメントを記述することが出来る。EffectはAllowかDenyかの二択。

IAMグループ

IAMグループを作ることで同様の権限を持つユーザーをまとめて管理できる。たとえば、「ブログ運営」みたいなグループを作ってブログ運営に必要な権限を認可する。

IAMロール

IAMロールは、例えば異なる役割を日々によって付け替えたい場合、役割を決めて特定の役割を果たせるように出来る。
ロールは一時的な認可として使われる。長期的なアクセスの場合はグループでの管理を推奨する感じ。ロールの変更もオーナーにより権限が与えられる必要がある。

AWS Organizations

組織が巨大な場合、グループやロールの付け替えだと大変になっちゃう。そういうときはAWS Organizationsで複数のアカウントの管理をする。Centralized Managementを提供し、すべての管理がここでできる。また、支払いの統合もここでできる。階層的なアカウントのグループも、組織図にあわせて作ることが可能。全体的なアクセスコントロールをかけることができる。

コンプライアンス

監査がある。税周りの話とか、データの管理とか。AWSでどのサービスを使っているかに寄って、必要なコンプライアンス対応が変わる。GDPRとかもあるし。健康系のデータを持っていたらHIPPAとかもある。まず、セキュリティはAWSのアーキテクチャーである程度対応している。
AWSは様々なリージョンで展開しているので、データの保存場所に関するコンプライアンスに対応することが可能。

AWS Artifactにアクセスし、コンプライアンスの遵守に関するドキュメントなどをダウンロードして、提出することも出来る。

どこまでいっても責任共有モデルは存在しているので、そこは常にクライアント側が守るようにしなくてはいけない。

Distributed Denial-of-service attacks (DDoS)

リクエストを大量に送ることでサービスのダウンを狙うBoTなどを使った分散型攻撃。UDPフラッド、HTTPレベル攻撃、スローロリス攻撃（あえて遅いNWで同時にアクセスしサービスをブロックする）。これらはすでに説明してきたサービスで対応できたりする。

UDPフラッドはセキュリティグループで対応できる
スローロリスはElastic Load Balancerで対応できる

これらを超える攻撃もできるが、コスト的に攻撃者に見合わない。そのぐらいAWSのインフラが強い。

AWS Shield

DDoS攻撃からアプリケーションを保護するサービス。AWS Shieldは、スタンダードとアドバンスの2つの保護レベルを提供する。

その他セキュリティサービス

暗号化＆複合。保存されてるデータの暗号化（DynamoDBなどのデータの暗号化）とデータの送付時の暗号化（SSLなど）の２種類がある。

Amazon Inspector

自動化されたセキュリティアセスメントのサービス。ベストプラクティスを教えてくれる。

ネットワーク設定
Amazonエージェント
セキュリティアセスメント

問題がアレばコンソールで表示してくれる。

Amazon GuardDuty

ネットワークアクティビティなどをログから見ながら危険をアラートしてくれる。他のAWSサービスと独立して動くので、影響を受けない。