Amazon Web Services のセキュリティー

Amazon Elastic Compute Cloud (EC2) で包括的なセキュリティー戦略を策定するには、さまざまなレベルでのセキュリティー計画が必要です。

Web サービスやアプリケーションへのアクセスは、Amazon Elastic Compute Cloud 以外の ArcGIS Enterprise で使用しているのと同じセキュリティーメカニズムを通じて管理されます。これは、ArcGIS Server と Portal for ArcGIS のヘルプで説明されています。

また、クラウド展開に特有のセキュリティー上の考慮事項もあります。以下のセクションでは、Amazon Web Services (AWS) でのデプロイに特有のセキュリティー上の考慮事項や手法について説明します。

クラウド管理環境のセキュリティー保護

AWS Management Console や AWS コマンドラインインターフェイスなどの AWS ツールを使用して、AWS 上で ArcGIS デプロイメントの高度な管理を行います。これらの管理作業には、Amazon Elastic Load Balancers (ELB) や Elastic IP の設定、Amazon Simple Storage Service (S3) バケットの作成、アカウントのアクティビティーや請求情報の閲覧などが含まれますが、これらに限定されません。

Amazon は、AWS アカウントに対してさまざまな権限レベルを持つユーザーグループを管理するために、Amazon Identity and Access Management (IAM) ロールを使用することを推奨しています。 IAM を使用して、AWS アカウントへのアクセス権を持つユーザーを最低でも 1 人作成し、そのユーザーに関連付けられたアクセスキーとシークレットアクセスキーをダウンロードします。 IAM ロールは、次の ArcGIS Enterprise ワークフローで使用されます:

Amazon アカウント名、パスワード、アクセスキー、シークレットアクセスキーは、管理コンソール、コマンドラインツール、API などの AWS ツールを使用してリソースを開始、編集、終了する方法を理解している、組織内の少数の人とのみ共有します。トレーニングを受けていない人員に広範なアクセスを許可すると、デプロイメントが深刻なシステム障害やアカウントへの過剰な請求に対して脆弱になります。これらの種類の問題は、最終的には外部ハッカーの攻撃よりもさらに深刻な被害をもたらす可能性があります。

Amazon では、アカウント名とパスワード以外にもオプションの保護層が用意されています。このオプションは AWS 多要素認証で、所有する小型ハードウェアデバイスで生成された 6 桁のコードが必要です。コードは頻繁に変更されるため、悪意のあるユーザーがアカウント名とパスワードを入手しても、AWS Management Console からアカウントにログインできません。

セキュアなインスタンスの管理

AWS ツールを使用してアカウントや EC2 インスタンスを管理するのは、AWS 上の ArcGIS 管理の一部にすぎません。クラウドデプロイメントの設定には、EC2 インスタンスにログインしてソフトウェアを承認またはアップグレードする、ArcGIS Enterprise にインストールされたツールを実行する、データ転送、アプリケーションの設定、ログインの追加といった部分もあります。

最初はコンピューター管理者として Microsoft Windows EC2 インスタンスにログインし、ランダムに生成されたパスワードをキーペアファイルで取得します。キーペアファイルは安全な場所に保管してください。そして、初めてインスタンスにログインするときは、覚えやすいパスワードに変更します。パスワードを書き留めたり、ローカルコンピューターのどこかに明文で保存したりするのは安全ではありません。

ヒント:

以下に示す、Microsoft Windows Server の複雑性の要件を満たすパスワードを選択します:

パスワードには、ユーザーのアカウント名や、フルネームの一部が、連続して 2 文字を超えて含まれてはいけません。
パスワードは 8 文字以上にする必要があります。
パスワードは、次の 4 つのカテゴリーのうち 3 つの文字を含むようにします:
- 英語の大文字 (A から Z まで)
- 英語の小文字 (a から z まで)
- 10 進数の数字 (0 から 9 まで)
- 英数字以外の文字 (例: !、$、#、%)

インスタンスにログインしたら、Windows ツールを使用して非管理者ユーザーを定義し、ログインできます。

外部攻撃に対してインスタンスのセキュリティーを保護する

すべての EC2 インスタンスは、不適切または未知の外部アクセスから保護するために、セキュリティーグループを使用しています。セキュリティーグループを構成し、さまざまな IP アドレス、ポート、プロトコルへのアクセスを許可する必要があります。新しい EC2 インスタンスを起動するたびに、インスタンスがどのセキュリティーグループに属するかを指定する必要があり、誰がインスタンスにアクセスできるかはそのグループによって決定されます。

デフォルトでは、新しいセキュリティーグループにはアクセスが許可されません。最低でも、リモートアクセスと HTTP アクセスを許可して EC2 インスタンスにログインし、デプロイメントをテストする必要があります。手順については、「ArcGIS 用の Amazon Elastic Compute Cloud セキュリティーグループを開く」をご参照ください。また、ArcGIS Enterprise on Amazon Web Services に適したセキュリティーグループ設定のアイデアについては、「セキュリティーグループの一般的な構成」をご参照ください。

Esri ツールを使用してサイトをデプロイすると、セキュリティーグループが作成され、構成されます。必要なポートはセキュリティーグループで開かれてサイトが機能しますが、必要に応じて AWS ツールを使用し、このセキュリティーグループの設定を微調整することも可能です。たとえば、Windows Remote Desktop を使用してインスタンスの 1 つにログインするには、ポート 3389 を開く必要があります。

AWS Cloud Security には、EC2 の安全なアーキテクチャー設計のためのホワイトペーパーやベストプラクティスのドキュメントが含まれています。これらのガイドラインは、ArcGIS Enterprise on Amazon Web Services にも適用されます。