デジタル庁が推進するガバメントクラウド（AWS）と東京都が独自に構築している東京都クラウドインフラ（AWS）の違いについて、ネットワーク構造、利用可能なサービス、セキュリティ統制、運用アクセス、および費用構造の観点から詳細化します。
両者の最大の違いは、「共通利用を前提とした柔軟なプラットフォーム（ガバメントクラウド）」か、「東京都庁の既存ネットワーク（TAIMS）とセキュリティポリシーに最適化された強統制プラットフォーム（東京都クラウドインフラ）」かという設計思想にあります。
1. ネットワークアーキテクチャと環境分離の詳細
| 比較項目 | ガバメントクラウド（AWS） | 東京都クラウドインフラ（AWS） |
|---|---|---|
| 接続元ネットワーク | ガバメントクラウドネットワーク、各自治体の庁内LANなど、要件に応じて柔軟に設計可能。 | 東京都の高度情報化推進システム（TAIMS）または各局の独自ネットワークに強く依存。 |
| ネットワークの分離 | ガバメントクラウドのベストプラクティスに基づき、マルチアカウント構成でVPCを分離。 | 5つのネットワーク系統（TAIMS領域の「個人番号系」「LGWAN系」「内部系」、汎用領域の「インターネット接続なし」「あり」）に厳格に分離。 |
| 系統間の通信 | 要件に応じ、Transit Gateway等を用いてアカウント間・VPC間の通信制御を設計可能。 | 原則としてネットワーク系統を跨いだ通信は不可。ただし、TAIMS領域（内部系）から汎用領域（インターネット接続あり）への一方向通信のみ、申請によりVPCエンドポイントとNLBを利用して可能。 |
| 環境（本番・検証） | アカウントレベルで本番・検証・開発環境を分割し運用。 | 本番環境と検証環境・試験環境も開発中資産の誤反映防止のため完全に分離されている（申請により同一系統内の本番・検証間の通信は許可可能）。 |
2. AWSサービスの利用制限と統制の詳細
東京都クラウドインフラでは、管理者が基盤全体を統制するため、利用者が触れられないAWSサービス（制限事項）が数多く定義されています。
-
ネットワーク・管理系の制限
-
ガバメントクラウド: デジタル庁が
AWS Control TowerやAWS Organizationsを用いてアカウントを統合管理。利用者がAWS Direct Connect等で専用線を引く。 -
東京都:
AWS Control Tower、AWS Organizations、AWS Direct Connect、AWS VPNは東京都側で管理するため、利用者は使用不可。VPCの作成やTransit Gatewayのアタッチメント作成も管理者側で行われる。また、利用者がインターネットゲートウェイを作成することは禁止されている。 -
サードパーティ製品の制限
-
東京都: サードパーティ製品やOSテンプレートの使用を禁止するため、
AWS Marketplaceの利用が全面的に禁止されている。 -
インターネット直接通信の制限
-
東京都（TAIMS領域）: 東京都サイバーセキュリティ対策基準に基づき、インターネットと直接通信するサービス（例：
Amazon SES）はTAIMS領域では利用不可。Amazon S3などのパブリックアクセスも禁止されている。 -
コスト最適化オプションの制限
-
東京都: 会計上の理由により、
AWS Savings PlansやAWS Reserved Instancesといった割引購入オプションは現在利用できない（オンデマンド料金が前提となる）。
3. OSおよびセキュリティ統制の詳細
ガバメントクラウドではセキュリティの「ガードレール（予防的・発見的統制）」を提供しますが、OSのレイヤーやエンドポイントのセキュリティは各システムの責任（責任共有モデル）となるのが一般的です。一方、東京都クラウドインフラは、OSやエンドポイントセキュリティまで踏み込んだ統制を行います。
-
OSテンプレートの強制
-
東京都: 業務システムの構築には、あらかじめ各種エージェントが導入された指定のOSテンプレート（Windows Server 2019/2022, RHEL 8/9, Ubuntu 22.04 LTS/24.04 LTS）を使用する必要がある。テンプレートに導入済みのパラメータ設定やエージェントの変更・削除は不可。
-
OSリポジトリ機能の提供
-
東京都: セキュリティパッチや更新プログラムを提供するための「OSリポジトリサーバー」がネットワーク系統ごとに設置されており、指定されたOSリポジトリ以外への接続は禁止されている。
-
仮想マシン・ネットワークセキュリティ機能の強制提供
-
東京都: EPP/EDR（マルウェア対策、ふるまい検知等）が標準機能として提供され、利用者がセキュリティポリシーを変更することはできない。誤動作防止のため、利用者が独自にMicrosoft Defender等の他セキュリティ機能を有効化することも禁止されている。また、汎用領域（インターネット接続あり）にはIPS/IDSやWAFが管理者によって設置され、共通のセキュリティポリシーが適用される。
4. システムへのアクセス・運用方式（踏み台サーバー）
-
ガバメントクラウド: 一般的には、開発端末から踏み台環境やAWS Systems Manager (Session Manager) などを経由してアクセスするよう、各開発ベンダーが要件に沿ってアクセス経路を構築します。
-
東京都: 業務システムへのアクセスは、東京都が提供する「踏み台サーバー（Windows）」を経由することが義務付けられています。
-
踏み台サーバーにはTera Term、WinSCP、Google Chrome、Microsoft Edgeがインストール済みで、変更や削除は不可。
-
ストレージ容量は130GB（実質利用可能は約100GB）。
-
踏み台サーバーが受け付ける同時接続数は「最大2」に制限されており、それ以上の接続が必要な場合は増設の申請が必要。
-
その他の専用ソフトウェアが必要な場合は、利用者が独自に「運用サーバー」を構築し、踏み台サーバーから運用サーバーを経由して業務システムにアクセスする構成をとる必要がある。
5. 費用構造と役割分担
- ガバメントクラウド: 利用したAWSリソースの利用料を、利用する自治体（または国）がクラウド提供事業者等を通じて支払います。
- 東京都: 東京都クラウドインフラに係る経費は明確に分割されています。
-
基本機能部分（基盤分）: クラウド基盤の運用、ネットワーク基盤、共通セキュリティ（IPS/IDS、WAFなど）にかかる経費で、東京都クラウドインフラ管理者が維持・管理する（利用者の負担外）。
-
業務システム分（従量課金分）: 各局が構築する仮想サーバーやストレージなど、業務システムで利用するAWSサービスの利用料。AWSサポート（エンタープライズサポート）は東京都側から提供されるため、サポート料の見積もりは不要。
-
開発・運用保守経費: 業務システム自体の開発や保守にかかる費用。
- 受託者（ベンダー）は、上記のうち「2（従量課金分）」と「3（開発・運用保守）」の部分を見積もる必要があります。
まとめ
デジタル庁のガバメントクラウド（AWS）が自由度の高いAWSの良さを活かしつつ、最低限のガバナンスを効かせるプラットフォームであるのに対し、東京都クラウドインフラは、東京都の厳格なセキュリティポリシー（東京都サイバーセキュリティポリシー等）を適用するため、ネットワークアーキテクチャ、利用可能なAWSサービス、OSの選定、パッチの適用経路、アクセス経路（踏み台サーバー経由の強制）に至るまで、東京都が強い統制（ガバナンス）を敷いているのが特徴です。
Gemini Notebookで作成した比較スライド
