セキュリティ、アイデンティティ、コンプライアンス
セキュリティ、アイデンティティ、コンプライアンスについての備忘録
サービスの概要・特徴・料金などを簡潔（できれば）に記載します。
AWS Identity and Access Management (IAM)
概要
AWSリソースをセキュアに操作するために、認証・認可の仕組を提供するマネージドサービス
特徴
- 各AWSリソースに対して別々のアクセス権限をユーザー毎に付与できる
- 多要素認証(MFA)の提供
- 一時的な認証トークンを用いた権限の委任することができる
- 他のIDプロバイダーで認証されたユーザーにAWSリソースへの一時的なアクセス許可
- 本サービスの利用は、無料
IDと認証情報の管理
- ルートユーザー
- アクセスキーを持たない
- AWSリソース全てに完全なアクセス権を持つ為、通常用途に用いないことを推奨
- IAMユーザーを作成する
- アクセスキー
- 手動で取り消すまで有効
- プログラムにハードコードしない、Githubあげない
- 共有しないようにする
- IAMロールを利用することを推奨
- IAMユーザー
- 認証情報をユーザー毎に管理することが可能となりセキュリティを強化できる
- 協力なパスワードポリシー設定を推奨
- MFAの有効化
- ルートユーザーや権限の強いユーザーには設定することを推奨
- MFAデバイスも厳重に管理する
- 万が一！！デバイスを紛失・盗難・不具合など発生したら Eメールアドレス・電話番号で認証しアカウント情報を更新する
アクセス権限の管理
- AWS管理ポリシー、AWSにより事前定義された管理ポリシーで、サービス・ジョブ切り口で設定されている
- 最小限のアクセス権限から開始し、必要に応じてアクセス権限を追加する
- IAMグループ（IAMユーザーの集合）を利用して、管理コストを抑える
権限の委任
- IAMロール、AWSサービスやアプリケーション等のエンティティに対してAWSリソースの操作権限を付与するための仕組
- EC2インスタンスで実行するアプリケーションに対してIAMロールを使用する
- IDフェデレーションによる一元管理
IDと権限のライフサイクル管理
- AWS アカウントのアクティビティの監視
- AWSリソースの操作ログとして AWS CloudTrail
- IAM認証情報レポート（Credential Report）を活用し、不要な認証情報を削除する
- IAMユーザーパスワード、アクセスキーのローテーションを定期的に実施する
Amazon Cognito
概要
ウェブアプリケーションおよびモバイルアプリに素早く簡単にユーザーのサインアップ/サインインおよびアクセスコントロールの機能を追加できる
特徴
- SAML 2.0 によるエンタープライズ ID プロバイダーを使用したサインインをサポート
- Facebook、Google、Amazon などのソーシャル ID プロバイダーのサインインをサポート
- Oauth 2.0、SAML 2.0、OpenID Connect などの ID およびアクセス管理標準をサポート
Amazon GuardDuty
概要
悪意のある操作や不正な動作を継続的にモニタリングする脅威検出サービス
特徴
- 機械学習、異常検出、および統合された脅威インテリジェンスを使用することで、潜在的な脅威を識別し、優先順位を付ける
- AWS CloudTrail、Amazon VPC フローログ、DNS ログなど、複数の AWS データソースにわたる数千億のイベントを分析
- AWS CloudWatch イベントと統合することで、GuardDuty アラートは実用的
Amazon Inspector
概要
自動化されたセキュリティ評価サービス
特徴
- 自動的にアプリケーションを評価し、露出、脆弱性、ベストプラクティスからの逸脱がないかどうかを確認できる
- 評価の実行後、重大性の順に結果を表示した詳細なリストが Amazon Inspector によって作成される
- Amazon EC2 インスタンスへの意図しないネットワークアクセスや、EC2 インスタンス上の脆弱性をチェックできる
Amazon Macie
AWS Artifact
AWS Certificate Manager
概要
AWS のサービスとお客様の内部接続リソースで使用するパブリックとプライベートの Secure Sockets Layer/Transport Layer Security (SSL/TLS) 証明書のプロビジョニング、管理、デプロイ
特徴
- Elastic Load Balancing、Amazon CloudFront ディストリビューション、Amazon API Gateway の API など ACM に統合された AWS リソースでデプロイできる
- AWS Certificate Manager でプロビジョニングされたパブリック証明書やプライベート証明書は、無料
- マネージド型証明書
AWS CloudHSM
概要
マネージド型ハードウェアセキュリティモジュール (HSM)
特徴
AWS Directory Service
AWS Firewall Manager
AWS Key Management Service(AWS KMS)
概要
キーを簡単に作成・管理し、幅広い AWS のサービスやアプリケーションで暗号化の使用を制御できる
特徴
- 完全マネージド型
- AWS KMS は AWS サービスと統合されている
- サービスに格納されているデータの暗号化と、それを復号するキーへのアクセスを制御する
AWS Resource Access Manager
AWS Secrets Manager
AWS Security Hub
AWS Shield
概要
マネージド型の分散サービス妨害 (DDoS) に対する保護サービス
特徴
- ネットワークおよびトランスポートレイヤーの DDoS 攻撃を防御
- スタンダードとアドバンストの 2 つの階層