責任共有モデルとは?AWSと利用者の役割分担
責任共有モデルは、AWSと利用者のセキュリティの分担です。基盤とデータの管理、サービスで変わる担当範囲を説明します。
情報確認日:
目次を開く ＋を閉じる −
ひとことで言うと
責任共有モデルは、セキュリティの責任をAWSと利用者で分ける考え方です。AWSはクラウドを支える施設や機器などを守り、利用者はデータやアクセス権限を管理します。OSなどをどこまで利用者が管理するかは、使うサービスで変わります。
AWSが担当する範囲
AWSが守るのは、クラウドを動かす土台です。
- データセンターの建物と物理的な安全
- サーバーやネットワークなどの機器
- クラウドを動かすソフトウェア
- ホストOSと仮想化の仕組み
OSは、コンピューターを動かす基本ソフトウェアです。ホストOSは、物理サーバー上で動く土台のOSを指します。
仮想化は、物理サーバーの能力を分け、複数の仮想サーバーとして使う技術です。これらの基盤はAWSが管理します。
利用者が担当する範囲
利用者は、クラウド上に置くデータや、自分たちの環境の設定を管理します。
- 保存するデータと暗号化の設定
- 誰に何を許可するかというアクセス権限
- 自分で動かすOSやアプリケーション
- 通信を許可する範囲
アプリケーションは、目的に合わせて動くソフトウェアです。利用者の担当には、こうしたソフトウェアの管理も含まれます。
サービスによって担当が変わる
| 項目 | EC2 | S3 |
|---|---|---|
| 使うもの | 仮想サーバー | データの保存サービス |
| OSの更新 | 利用者 | AWS |
| データの管理 | 利用者 | 利用者 |
| 権限の設定 | 利用者 | 利用者 |
EC2の中で動くOSを、ゲストOSと呼びます。ゲストOSの更新やパッチの適用は、利用者の担当です。
パッチは、不具合や弱点を直す修正プログラムです。S3ではOSの運用をAWSに任せられますが、保存データや権限の管理は残ります。
具体例
S3に社内資料を保存するとします。保存に使う機器やOSはAWSが管理し、資料を読める相手は利用者が設定します。
誤って誰でも読める状態にした場合は、利用者側の権限設定の問題です。
注意点
- 物理機器の保守をAWSに任せても、データの公開範囲は利用者が管理します。
- パッチ管理や構成管理、教育・訓練は、両者に関わります。AWSは基盤、利用者は自分の環境を対象に行います。
- EC2で必要なOS更新を、S3でも自分が行うとは限りません。サービスごとに担当範囲が異なります。