自主学習用のまとめノートです
試験配点：30%（採点対象コンテンツ）
AWSを利用する上での「責任の境界線」を明確にし、ユーザーが自身のデータやシステムを保護するために必要なサービス、概念、およびアクセス管理手法について学びます。
1. AWS 責任共有モデル
AWSにおけるセキュリティは、AWSとユーザーが協力して維持する「責任共有モデル」に基づいています。
サービスの管理レベルによる責任の違い
| サービスタイプ | 代表例 | お客様の責任 | AWS の責任 | 覚え方 |
|---|---|---|---|---|
| IaaS （非マネージド） |
EC2 | OS パッチ、アプリ、ネットワーク設定 | 物理インフラ、ハイパーバイザ | 「サーバーを借りる」= 中身は自分で管理 |
| PaaS （マネージド） |
RDS, Lambda | データ管理、アクセス権限 | OS、エンジンのパッチ適用、インフラ | 「サービスを借りる」= AWS が面倒見てくれる |
2. セキュリティ、ガバナンス、コンプライアンス
コンプライアンスとデータ保護
| 概念 | 説明 | 具体例 | 試験での問われ方 |
|---|---|---|---|
| AWS Artifact | 第三者監査レポートをオンデマンド取得 | ISO、PCI、SOC レポート | 「SOC レポートが欲しい」→ Artifact |
| 保管中の暗号化 | ストレージ上のデータを保護 | S3、EBS の暗号化 | Encryption at Rest |
| 転送中の暗号化 | ネットワーク上のデータを保護 | SSL/TLS 通信 | Encryption in Transit |
| データの所在 | 明示的にコピーしない限りリージョン内に保持 | 東京リージョンのデータは東京に残る | コンプライアンス要件で重要 |
モニタリングと監査サービス（CloudWatch / CloudTrail / Config）
この3つのサービスは混同しやすいので、しっかり区別しましょう。
3つのサービスの違い
| サービス | 何を見る？ | 答える質問 | たとえ話 | 覚え方 |
|---|---|---|---|---|
| CloudWatch | メトリクス（数値） | 「今、調子はどう？」 | 体温計・血圧計 | Watch = 見張り番 |
| CloudTrail | API 操作履歴 | 「誰が何をした？」 | 防犯カメラの映像 | Trail = 足跡を追う |
| AWS Config | 設定の変更履歴 | 「設定がどう変わった？」 | 部屋の模様替え記録 | Config = 設定 |
具体例で理解する
ある日、EC2 インスタンスのセキュリティグループが変更されたとします。
| 質問 | 答えてくれるサービス | 回答例 |
|---|---|---|
| 「EC2 の CPU 使用率は？」 | CloudWatch | 「現在 45% です」 |
| 「誰がセキュリティグループを変えた？」 | CloudTrail | 「田中さんが 10:30 に変更しました」 |
| 「セキュリティグループは何がどう変わった？」 | AWS Config | 「ポート 22 が新たに開放されました」 |
各サービスの詳細
| サービス | 主な機能 | 具体的な使いどころ |
|---|---|---|
| CloudWatch | メトリクス監視、アラート、ログ集約 | CPU 80% 超えたら通知、エラーログの検索 |
| CloudTrail | 全 API コールの記録（90日間無料保存） | セキュリティ調査、不正アクセスの追跡 |
| AWS Config | 設定変更の記録、コンプライアンスルール | 「暗号化が無効になったら検知」などのルール設定 |
試験ポイント:
- 「パフォーマンス監視」「CPU 使用率」「アラート」→ CloudWatch
- 「誰が操作した」「API ログ」「監査」→ CloudTrail
- 「設定変更の追跡」「コンプライアンス違反の検出」→ AWS Config
その他の監査サービス
| サービス | 役割 | 使いどころ |
|---|---|---|
| Audit Manager | コンプライアンス評価の自動化 | SOC 2、PCI DSS などの監査準備 |
セキュリティ情報の入手先
AWS のセキュリティに関する情報は、以下のリソースから入手できます。
| リソース | 何がわかる？ | どんな時に使う？ | 覚え方 |
|---|---|---|---|
| AWS Knowledge Center | よくある質問と回答 | 具体的な問題の解決策を探す | 「困った時の Q&A 集」 |
| AWS セキュリティブログ | 最新情報、ベストプラクティス | 新機能やセキュリティ動向を知る | 「公式の最新ニュース」 |
| AWS ドキュメント | サービス別の詳細ガイド | 設定方法や仕様を確認 | 「公式マニュアル」 |
| AWS Health Dashboard | サービス障害、セキュリティイベント | AWS 側の問題を確認 | 「AWS の健康診断結果」 |
| AWS Trusted Advisor | 環境のセキュリティチェック | 自分の設定の問題点を発見 | 「自動セキュリティ診断」 |
サポートプランとセキュリティ支援
| サポートプラン | Trusted Advisor | セキュリティサポート | 想定ユーザー |
|---|---|---|---|
| Basic | 基本 7 項目のみ | フォーラムのみ | 個人学習、検証 |
| Developer | 基本 7 項目のみ | メール（営業時間内） | 開発・テスト環境 |
| Business | 全チェック項目 | 24/7 電話・チャット | 本番ワークロード |
| Enterprise | 全チェック項目 | TAM + セキュリティレビュー | ミッションクリティカル |
試験ポイント: 「全ての Trusted Advisor チェックを利用したい」→ Business 以上のサポートプラン
3. AWS のアクセス管理 (IAM)
アクセス管理の基本は、ユーザーに必要最小限の権限のみを与える最小権限の原則です。
IAM の主要コンポーネント
| コンポーネント | 説明 | 使いどころ | 例 |
|---|---|---|---|
| IAM ユーザー | 個人またはアプリに紐付く永続的な ID | 特定の人がコンソールにログイン | 開発者の田中さん |
| IAM グループ | ユーザーの集合 | 同じ権限を複数人に一括付与 | 「開発者グループ」 |
| IAM ロール | 一時的に引き受ける権限セット | サービス間連携、クロスアカウント | EC2 が S3 にアクセス |
| IAM ポリシー | 許可/拒否を定義した JSON | 権限の詳細設定 | 「S3 読み取り専用」 |
ルートユーザーの取り扱い
| 項目 | 内容 | 理由 |
|---|---|---|
| 権限 | 全リソースへの無制限なアクセス | アカウント作成時の最初のユーザー |
| 日常利用 | 禁止（使わない） | 権限が強すぎて危険 |
| MFA | 必須で有効化 | 不正アクセス防止 |
| ルート専用タスク | 請求情報の変更、アカウント閉鎖など | IAM ユーザーでは実行不可 |
ポリシーの種類
| ポリシータイプ | アタッチ先 | 使いどころ | 例 |
|---|---|---|---|
| アイデンティティベース | ユーザー、グループ、ロール | 「誰が何をできるか」 | 開発者に EC2 起動権限 |
| リソースベース | S3 バケット等のリソース | 「このリソースに誰がアクセスできるか」 | 他アカウントに S3 アクセス許可 |
IAM ポリシー（JSON）の例
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"s3:Get*",
"s3:List*"
],
"Resource": "arn:aws:s3:::example-bucket-name/*"
}
]
}
4. ネットワークセキュリティ
セキュリティグループ vs ネットワーク ACL
| 比較項目 | セキュリティグループ | ネットワーク ACL |
|---|---|---|
| 適用レベル | インスタンス（ENI） | サブネット |
| 通信の扱い | ステートフル（戻りは自動許可） | ステートレス（戻りも明示的に許可必要） |
| デフォルト動作 | インバウンド拒否、アウトバウンド許可 | すべて許可 |
| 拒否ルール | 設定不可（許可のみ） | 設定可能 |
| 覚え方 | 「個別のボディガード」 | 「サブネットの門番」 |
試験ポイント: 「サブネット内の全インスタンスに自動適用」「トラフィックを明示的に拒否」→ ネットワーク ACL
その他の主要セキュリティサービス
| サービス | 何を守る？ | どう守る？ | キーワード | 覚え方 |
|---|---|---|---|---|
| AWS Shield | インフラ全体 | DDoS 攻撃から保護 | Standard は無料、Advanced は有料 | Shield = 盾で攻撃を防ぐ |
| AWS WAF | Web アプリ | SQL インジェクション、XSS をブロック | ルールベースのフィルタリング | Web Application Firewall |
| Amazon Inspector | EC2、Lambda、コンテナ | 脆弱性を自動スキャン | 「脆弱性診断」 | Inspector = 検査官が弱点を見つける |
| AWS Trusted Advisor | AWS 環境全体 | ベストプラクティスを提示 | セキュリティ、コスト、パフォーマンス | 信頼できるアドバイザー |
| AWS Firewall Manager | 複数アカウント | WAF ルール、Shield を一元管理 | Organizations と連携 | 複数アカウントの FW を束ねる管理者 |
サードパーティセキュリティ製品（AWS Marketplace）
AWS ネイティブサービスだけでなく、Marketplace でサードパーティ製品も利用できます。
| カテゴリ | 代表製品 | AWS ネイティブとの違い | 選ぶ場面 |
|---|---|---|---|
| ファイアウォール | Palo Alto、Fortinet | より高度なルール、オンプレとの統一管理 | 既存製品との統合が必要な場合 |
| SIEM | Splunk、Sumo Logic | 複雑なログ相関分析、カスタムダッシュボード | CloudWatch では足りない高度な分析 |
| 脆弱性管理 | Qualys、Tenable | より詳細なレポート、業界標準のスコアリング | Inspector より詳細な評価が必要 |
| エンドポイント保護 | Trend Micro、CrowdStrike | リアルタイムマルウェア検出 | EC2 上のウイルス対策 |
試験ポイント: 「オンプレと同じセキュリティ製品を使いたい」「AWS サービスでは要件を満たせない」→ AWS Marketplace
5. AWS Organizations とマルチアカウント管理
なぜ複数のアカウントが必要なの？
企業では、1つの AWS アカウントだけでなく、複数のアカウントを使い分けることが一般的です。
たとえ話: 1つの大きな家に全員で住むより、部屋（アカウント）を分けた方が管理しやすいのと同じです。
AWS Organizations とは？
複数の AWS アカウントをまとめて管理するサービスです。会社の「本社」のような役割を果たします。
| できること | 説明 | たとえ話 |
|---|---|---|
| アカウントの一括管理 | 複数アカウントを1つの組織としてまとめる | 本社が支社を管理 |
| 一括請求 | 全アカウントの請求を1つにまとめる | 経理部門で一括処理 |
| OU（組織単位） | アカウントをグループ分けできる | 部署ごとにフォルダ分け |
| ルールの一括適用 | 全アカウントに共通ルールを設定 | 全社ルールを通達 |
OU（Organizational Unit）: フォルダのようなもの。アカウントをグループ分けして、グループ単位でルールを適用できます。
サービスコントロールポリシー (SCP) とは？
「やってはいけないこと」を組織全体に強制するルールです。
IAM ポリシーとの違い
| IAM ポリシー | SCP | |
|---|---|---|
| 役割 | 「できること」を許可する | 「できること」の上限を決める |
| たとえ話 | 社員証で入れる部屋を決める | そもそも立入禁止エリアを決める |
| 適用対象 | 個人やグループ | アカウント全体 |
覚え方: SCP は「ガードレール」。道路の端に設置して「ここから先は行けない」と制限するもの。権限を与えるのではなく、制限するのが役割。
| よくある SCP の例 | 効果 |
|---|---|
| 特定リージョン以外を禁止 | 東京リージョン以外でリソースを作れない |
| 特定サービスを禁止 | 高額なサービスを使えないようにする |
| ルートユーザーの操作を制限 | 危険な操作を防ぐ |
試験ポイント: 「組織全体で特定の操作を禁止したい」→ SCP
AWS Control Tower とは？
マルチアカウント環境を「ベストプラクティス通りに」自動で構築してくれるサービスです。
Organizations との違い
| Organizations | Control Tower | |
|---|---|---|
| 役割 | アカウント管理の「道具」 | 道具を使って「お手本通りの環境」を自動構築 |
| たとえ話 | 工具セット | 工具 + 設計図 + 職人さん |
| セットアップ | 自分で設定が必要 | AWS のベストプラクティスで自動設定 |
| Control Tower の機能 | 説明 | たとえ話 |
|---|---|---|
| ランディングゾーン | 安全なマルチアカウント環境を自動構築 | 「モデルハウス」をそのまま建ててくれる |
| ガードレール | セキュリティルールを自動で設定・監視 | 自動でフェンスを設置 |
| アカウントファクトリー | 標準化されたアカウントを簡単に作成 | 規格統一された部屋を追加 |
試験ポイント: 「ベストプラクティスに従ったマルチアカウント環境を素早く構築」→ Control Tower
AWS Resource Access Manager (RAM) とは？
アカウント間でリソースを共有するサービスです。
なぜ必要？
| 共有できるリソースの例 | 使いどころ |
|---|---|
| VPC サブネット | 共通のネットワークを複数アカウントで利用 |
| Transit Gateway | アカウント間の通信を一元管理 |
| Route 53 Resolver | DNS 設定を共有 |
試験ポイント: 「アカウント間でリソースを共有したい」→ AWS RAM（覚え方：RAM = リソースのシェアハウス）
AWS Directory Service とは？
Active Directory（AD）を AWS で使えるようにするサービスです。
Active Directory って何？
Windows の世界で広く使われている「ユーザー管理システム」です。会社の PC にログインする時に使う仕組みと考えてください。
| タイプ | いつ使う？ | たとえ話 | 覚え方 |
|---|---|---|---|
| AWS Managed Microsoft AD | 新しく AD を作りたい時 | AWS に新しい社員名簿を作る | 「AWS 上に AD を建てる」 |
| AD Connector | 既存の AD をそのまま使いたい時 | 会社の社員名簿と AWS を連携 | 「既存 AD への橋渡し」 |
| Simple AD | 小規模・低コストで AD が欲しい時 | 簡易版の社員名簿 | 「軽量版 AD」 |
試験ポイント: 「既存の Active Directory と AWS を連携」→ AWS Directory Service
6. 脅威検出とセキュリティ監視
セキュリティサービスの比較
| サービス | 主な機能 | 検出対象 | キーワード |
|---|---|---|---|
| GuardDuty | 脅威の継続的検出 | 侵害されたインスタンス、不正アクセス | 「脅威検出」「機械学習」 |
| Macie | S3 の機密データ検出 | PII、クレジットカード番号 | 「S3」「機密データ」 |
| Inspector | 脆弱性スキャン | ソフトウェアの脆弱性、ネットワーク露出 | 「脆弱性診断」 |
| Detective | セキュリティ調査 | GuardDuty アラートの根本原因 | 「調査」「分析」 |
| Security Hub | アラート一元管理 | 複数サービスの検出結果を集約 | 「一元管理」「ダッシュボード」 |
GuardDuty の詳細
| 項目 | 内容 |
|---|---|
| データソース | VPC フローログ、CloudTrail ログ、DNS ログ |
| 検出方法 | 機械学習 + 脅威インテリジェンス |
| 検出例 | マルウェア通信、暗号通貨マイニング、不正 API コール |
試験ポイント: 「侵害されたインスタンスやアカウントを特定」→ GuardDuty
Macie の詳細
| 項目 | 内容 |
|---|---|
| 対象 | Amazon S3 バケット |
| 検出方法 | 機械学習による自動分類 |
| 検出例 | 氏名、住所、クレジットカード番号、マイナンバー |
試験ポイント: 「S3 の機密データを検出」→ Macie
7. 認証情報と暗号化キーの管理
認証情報管理サービスの比較
| サービス | 用途 | 管理対象 | 特徴 |
|---|---|---|---|
| KMS | 暗号化キー管理 | マスターキー（CMK） | 多くの AWS サービスと統合 |
| Secrets Manager | シークレット管理 | DB 認証情報、API キー | 自動ローテーション対応 |
| Parameter Store | 設定値管理 | 設定パラメータ、シークレット | 低コスト、シンプル |
| CloudHSM | 専用 HSM | 暗号化キー | FIPS 140-2 Level 3 準拠 |
Secrets Manager の詳細
| 管理対象 | 例 | 自動ローテーション |
|---|---|---|
| DB 認証情報 | RDS のユーザー名/パスワード | ✅ 対応 |
| API キー | サードパーティサービスのキー | ✅ 対応 |
| その他 | SSH キー、トークン | ✅ 対応 |
試験ポイント: Secrets Manager はアプリケーションが使う認証情報を管理。コンソールのセキュリティ強化には使わない。
8. AWS IAM Identity Center（旧 AWS SSO）
複数の AWS アカウントやアプリケーションへのシングルサインオン（SSO）を提供します。
IAM Identity Center vs Amazon Cognito
| 比較項目 | IAM Identity Center | Amazon Cognito |
|---|---|---|
| 対象ユーザー | 社内ユーザー（従業員） | アプリの一般ユーザー（顧客） |
| 主な用途 | AWS コンソール、SaaS アプリへの SSO | Web/モバイルアプリのユーザー認証 |
| ID ソース | Active Directory、外部 IdP | ソーシャルログイン、独自ユーザープール |
| 覚え方 | 「社員のログイン管理」 | 「お客様のログイン管理」 |
試験ポイント: 「AWS マネジメントコンソールへの SSO」→ IAM Identity Center
9. VPC フローログ
VPC 内のネットワークインターフェイスの IP トラフィック情報をキャプチャする機能です。
| 項目 | 内容 |
|---|---|
| 記録内容 | 送信元/宛先 IP、ポート、プロトコル、許可/拒否 |
| 用途 | トラブルシューティング、セキュリティ分析 |
| 保存先 | CloudWatch Logs または S3 |
| 注意点 | トラフィックを「記録」するだけ。フィルタリングはしない |
試験ポイント: VPC フローログはファイアウォールではない。トラフィック制御には NACL やセキュリティグループを使う。
10. サービス別の責任共有モデル（詳細）
サービスタイプ別の責任分担
| サービス | OS パッチ | DB/ランタイム | データ暗号化 | アクセス権限 | サービスタイプ |
|---|---|---|---|---|---|
| EC2 | お客様 | - | お客様 | お客様 | IaaS |
| RDS | AWS | AWS | お客様 | お客様 | PaaS |
| Lambda | AWS | AWS | お客様 | お客様 | FaaS |
| S3 | AWS | - | お客様 | お客様 | オブジェクトストレージ |
| DynamoDB | AWS | AWS | お客様 | お客様 | NoSQL |
| WorkSpaces | お客様 | - | お客様 | お客様 | DaaS（特殊） |
特に注意が必要なサービス
Amazon WorkSpaces（仮想デスクトップ）
| 責任区分 | 担当 | 理由 |
|---|---|---|
| OS・ソフトウェアのパッチ | お客様 | 仮想デスクトップは「借りた PC」のようなもの |
| 基盤インフラ | AWS | WorkSpaces サービス自体の運用 |
AWS Lambda（サーバーレス）
| 責任区分 | 担当 | 理由 |
|---|---|---|
| コードのセキュリティ | お客様 | 自分で書いたコードは自分で守る |
| 保管中のデータ暗号化 | お客様 | フルマネージドでもデータは自己責任 |
| IAM ロール設定 | お客様 | どのリソースにアクセスできるか |
| OS・ランタイム | AWS | 実行環境は AWS が管理 |
試験ポイント: 「Lambda でお客様の責任は？」→ 保管中のアプリケーションデータの暗号化
11. AWS マネジメントコンソールのセキュリティ強化
| 方法 | 説明 | 効果 |
|---|---|---|
| MFA | パスワード + 認証デバイス | 不正ログイン防止 |
| 複雑なパスワード要件 | 長さ、文字種を強制 | パスワード推測を困難に |
| IAM Identity Center | SSO による一元管理 | 認証の集中管理 |
コンソールセキュリティに使わないもの
| サービス | 本来の用途 | コンソールセキュリティには？ |
|---|---|---|
| セキュリティグループ | VPC インスタンスの保護 | ❌ 使わない |
| Secrets Manager | アプリの認証情報管理 | ❌ 使わない |
| ACM | SSL/TLS 証明書管理 | ❌ 使わない |
12. 試験対策：サービス早見表
「〇〇したい」→ 使うサービス
| やりたいこと | サービス | 覚え方 |
|---|---|---|
| API 呼び出し履歴を記録 | CloudTrail | Trail = 足跡（誰が何をした） |
| リソースのメトリクス監視 | CloudWatch | Watch = 見張り（数値を監視） |
| リソース設定の変更履歴 | AWS Config | Config = 設定（どう変わった） |
| 侵害されたインスタンス検出 | GuardDuty | Guard = 警備（脅威を見張る） |
| S3 の機密データ検出 | Macie | Macie = S3 専門の探偵 |
| EC2 の脆弱性診断 | Inspector | Inspector = 検査官（脆弱性チェック） |
| コンプライアンスレポート取得 | AWS Artifact | Artifact = 成果物（証明書類） |
| 複数アカウント一元管理 | AWS Organizations | 組織全体を束ねる |
| アカウント間でリソース共有 | AWS RAM | Resource Access Manager |
| コンソールへの SSO | IAM Identity Center | 社員のログイン管理 |
| Active Directory 連携 | AWS Directory Service | AD をクラウドで使う |
| DB 認証情報を管理 | Secrets Manager | シークレット（秘密）を守る |
| 暗号化キーを管理 | KMS | Key Management Service |
| DDoS 攻撃から保護 | AWS Shield | Shield = 盾 |
| Web 攻撃から保護 | AWS WAF | Web Application Firewall |
| 複数アカウントの FW 管理 | Firewall Manager | Organizations 全体の FW 管理者 |
| セキュリティアラート一元管理 | Security Hub | Hub = 中心（集約場所） |
| セキュリティの Q&A を調べる | Knowledge Center | 困った時の Q&A 集 |
| サードパーティ製品を導入 | AWS Marketplace | セキュリティ製品のストア |
混同しやすいサービスの違い
| 比較 | サービス A | サービス B | 決定的な違い |
|---|---|---|---|
| ログ系 | CloudTrail | CloudWatch | Trail = 操作ログ / Watch = 数値監視 |
| 設定系 | CloudTrail | Config | Trail = 誰がやった / Config = 何が変わった |
| 脅威系 | GuardDuty | Inspector | GuardDuty = 脅威検出 / Inspector = 脆弱性診断 |
| FW 系 | セキュリティグループ | NACL | SG = インスタンス / NACL = サブネット |
| 認証系 | Secrets Manager | KMS | Secrets = 認証情報 / KMS = 暗号化キー |
| SSO 系 | IAM Identity Center | Cognito | Identity Center = 社内 / Cognito = アプリユーザー |
13. 試験で頻出のシナリオ問題
シナリオ別の回答パターン
| シナリオ | キーワード | 回答 |
|---|---|---|
| 「アカウントで実行されたアクションのログ」 | ログ、操作履歴、API | CloudTrail |
| 「SOC 2 レポートを監査人に提供」 | コンプライアンス、監査レポート | AWS Artifact |
| 「サブネット内の全インスタンスにファイアウォール」 | サブネット、自動適用 | ネットワーク ACL |
| 「侵害されたインスタンスを検出」 | 脅威、侵害、検出 | GuardDuty |
| 「アカウントを作成して管理」 | マルチアカウント、一元管理 | AWS Organizations |
| 「Lambda でお客様の責任」 | 責任共有、Lambda | データの暗号化 |
| 「トラフィックを明示的に拒否」 | 拒否、ブロック | ネットワーク ACL |
| 「コンソールへの SSO」 | シングルサインオン、コンソール | IAM Identity Center |
| 「S3 の機密データを検出」 | S3、PII、機密 | Macie |