このガイダンスは、国家安全保障、防衛、国の法執行機関における機密性の高いワークロードのための包括的なクラウドアーキテクチャを構築する方法を示します。AWS でマルチアカウントアーキテクチャを使用することで、機密データとワークロードを安全に保ちながらミッションを遂行できます。このガイダンスは、厳格で独自のセキュリティとコンプライアンスの要件を満たすのに役立つように設計されており、さまざまな米国のセキュリティフレームワークに沿った、中心的な ID およびアクセス管理、ガバナンス、データセキュリティ、包括的なログ記録、ならびにネットワーク設計とセグメント化に対応します。

注意: [免責事項]

アーキテクチャ図

アーキテクチャダイアグラムの PDF をダウンロード 
  • 概要

  • このアーキテクチャ図は、独自のセキュリティとコンプライアンス要件を満たす必要がある包括的なマルチアカウントワークロードを設定する方法の概要を示しています。このガイダンスをデプロイする方法の詳細については、他のタブを開いてください。

  • 組織管理アカウント

  • このアーキテクチャ図は、組織が複数のアカウントをグループ化する方法を示しています。すべてのアカウントは、単一のお客様エンティティによって管理されます。 このアーキテクチャ図のステップに従って、このガイダンスの組織管理アカウント部分をデプロイします。

  • セキュリティアカウント

  • このアーキテクチャ図は、AWS のサービスとアカウント全体で包括的なログ収集を一元的に設定する方法を示しています。 このアーキテクチャ図のステップに従って、このガイダンスのセキュリティアカウントの部分をデプロイします。

  • インフラストラクチャアカウント

  • このアーキテクチャ図は、仮想プライベートクラウド (VPC) を使用して一元化され、分離されたネットワーク環境を構築する方法を示しています。 このアーキテクチャ図のステップに従って、このガイダンスのインフラストラクチャアカウント部分をデプロイします。

  • アプリケーション、コミュニティ、チーム、またはグループアカウント (機密)

  • このアーキテクチャ図は、ソフトウェア開発ライフサイクルの異なるステージに属するワークロード間、または異なる IT 管理ロール間のセグメント化と分離を設定する方法を示しています。このアーキテクチャ図のステップに従って、このガイダンスのアプリケーション、コミュニティ、チーム、またはグループアカウントの部分をデプロイします。 

Well-Architected Pillars

AWS Well-Architected フレームワークは、クラウドでシステムを構築する際に行う決定の長所と短所を理解するのに役立ちます。フレームワークの 6 つの柱により、信頼性が高く、安全かつ効率的で、費用対効果が高く、持続可能なシステムを設計および運用するためのアーキテクチャのベストプラクティスを学ぶことができます。AWS マネジメントコンソールで無料で提供されている AWS Well-Architected Tool を使用し、各柱の一連の質問に回答することで、これらのベストプラクティスに照らしてワークロードを確認できます。

上記のアーキテクチャ図は、Well-Architected のベストプラクティスを念頭に置いて作成されたソリューションの例です。完全に Well-Architected であるためには、可能な限り多くの Well-Architected ベストプラクティスに従う必要があります。

  • このガイダンスは、Organizations と AWS CloudFormation スタックおよび設定を使用して、AWS 環境のための安全な基盤を構築します。これは、技術的なセキュリティコントロールの実装を加速する Infrastructure as Code (IaC) ソリューションを提供します。Config ルールは、規定のアーキテクチャに悪影響を及ぼすと判断された設定デルタを是正します。機密として分類されたワークロードのために AWS グローバル商用インフラストラクチャを使用し、安全なシステムを自動化して、プロセスと手順を継続的に改善しながら、ミッションをより迅速に実行できます。

    運用上の優秀性に関するホワイトペーパーを読む 

  • このガイダンスは、Organizations を使用して、CloudTrail を利用した API ログ記録などの組織ガードレールのデプロイを容易にします。また、このガイダンスは、ガードレールメカニズムとして規範的な AWS SCP を使用する予防的コントロールも提供します。これは主に、環境内の API の特定のカテゴリまたはカテゴリ全体を拒否したり (ワークロードが指定されたリージョンにのみデプロイされるようにするため)、特定の AWS サービスへのアクセスを拒否したりするために使用されます。CloudTrail および CloudWatch ログは、AWS のサービスとアカウント全体で規定された包括的なログ収集と一元化をサポートします。AWS のセキュリティ機能と多数のセキュリティ関連サービスは、定義されたパターンで設定されており、世界でも極めて厳しいセキュリティ要件の一部を満たすのに役立ちます。

    セキュリティに関するホワイトペーパーを読む 

  • このガイダンスは複数のアベイラビリティーゾーン (AZ) を使用するため、1 つの AZ が失われてもアプリケーションの可用性には影響しません。CloudFormation を利用して、安全かつ管理された方法でインフラストラクチャのプロビジョニングと更新を自動化できます。また、このガイダンスは、環境内の AWS リソース設定と設定変更を評価するための事前構築済みルールも提供します。あるいは、AWS Lambda でカスタムルールを作成して、ベストプラクティスとガイドラインを定義することもできます。需要に合わせて環境をスケールする機能を自動化し、設定ミスや一時的なネットワークの問題などの中断を軽減できます。

    信頼性に関するホワイトペーパーを読む 

  • このガイダンスは、Transit Gateway を利用してクラウドインフラストラクチャ管理を簡素化します。Transit Gateway は、単一のゲートウェイを通じて複数の VPC を接続する中心的なハブとして機能し、ネットワークアーキテクチャのスケールと維持をより容易にします。これにより、ネットワークアーキテクチャが簡素化され、組織内の異なる AWS アカウント間でのトラフィックの効率的なルーティングが容易になります。

    パフォーマンス効率に関するホワイトペーパーを読む 

  • このガイダンスは、不要なコストや最適でないリソースの使用を回避したり、なくしたりする機能を提供します。Organizations は、一元化と一括請求 (コンソリデーティッドビリング) を提供し、リソースの使用とコスト最適化を厳密に分離します。このガイダンスは、コスト効率を高めるために一元化されたエンドポイントを使用して、AWS パブリック API エンドポイントを、プライベート VPC アドレス空間に移行することを規定しています。さらに、AWS コストと使用状況レポート (AWS CUR) を使用して、AWS の使用状況を追跡したり、料金を見積もったりできます。

    コスト最適化に関するホワイトペーパーを読む 

  • このガイダンスは、独自のデータセンター内でのワークロードの管理に関連する二酸化炭素排出量を削減するのに役立ちます。AWS グローバルインフラストラクチャは、サポートインフラストラクチャ (電源、冷却、ネットワークなど) と、従来のデータセンターよりも高い使用率およびより迅速なテクノロジーの更新を提供します。さらに、ワークロードのセグメント化と分離は、不要なデータ移動を削減するのに役立ちます。また、Amazon S3 はストレージ階層と、効率的なストレージ階層にデータを自動的に移動する機能を提供します。

    持続可能性に関するホワイトペーパーを読む 

実装リソース

サンプルコードは出発点です。これは業界で検証済みであり、規範的ではありますが決定的なものではなく、内部を知ることができ、開始に役立ちます。

GitHub でサンプルコードを開く

関連コンテンツ

サンプルコード

TSE-SE サンプル設定 (LZA オートメーションエンジンを使用)

このサンプルコードは、これらの TSE-SE サンプル設定ファイルを LZA とともに使用して、規範的であり、こだわりの強い Trusted Secure Enclaves Sensitive Edition リファレンスアーキテクチャのデプロイを自動化する方法をデモンストレーションします。
認定パートナー

Trusted Secure Enclaves - Sensitive Edition

これらの AWS パートナーは、お客様が TSE-SE を実装するのをサポートすることについて認定を受けています。TSE-SE は、さまざまなセキュリティフレームワークに沿った、中心的な ID およびアクセス管理、ガバナンス、データセキュリティ、包括的なログ記録、ならびにネットワーク設計とセグメント化に対応するソリューションです。

免責事項

サンプルコード、ソフトウェアライブラリ、コマンドラインツール、概念の実証、テンプレート、またはその他の関連技術 (私たちの担当者から提供される前述のものを含む) は、AWS カスタマーアグリーメント、またはお客様と AWS との間の関連文書契約 (いずれか該当する方) に基づき、AWS コンテンツとしてお客様に提供されるものです。お客様は、この AWS コンテンツを、お客様の本番アカウント、または本番データもしくはその他の重要なデータで使用すべきではありません。お客様は、サンプルコードなどの AWS コンテンツを、お客様固有の品質管理手法および基準に基づいて、本番グレードでの使用に適したテスト、セキュリティ確保、および最適化を行う責任を負います。AWS コンテンツのデプロイには、Amazon EC2 インスタンスの実行や Amazon S3 ストレージの使用など、AWS の課金対象リソースを作成または使用するための AWS 料金が発生する場合があります。

本ガイダンスにおける第三者のサービスまたは組織への言及は、Amazon または AWS と第三者との間の承認、後援、または提携を意味するものではありません。AWS からのガイダンスは技術的な出発点であり、アーキテクチャをデプロイするときにサードパーティのサービスとの統合をカスタマイズできます。

このページはお役に立ちましたか?

 フィードバック