AWSと利用者の責任分界を理解する

クラウドへ移すと、サーバーを置く建物や物理機器の保守を自分で行う必要は減ります。ただし、顧客名簿を誰に見せるか、EC2に入れたソフトウェアをどう更新するかは別の問題です。この単元では、作業対象を層に分け、AWSと利用者の担当を判断します。

この単元で学ぶこと

物理基盤と利用者設定の責任を区別できる
EC2とS3でOS管理の担当が変わる理由を説明できる
データ・権限・アプリケーションに必要な利用者の対策を選べる

本文解説

責任共有とは何か責任共有モデルは、クラウドを安全に運用するための担当分担です。AWSはサービスを支える施設や物理機器などを保護し、利用者は自分が扱うデータや許可するアクセスなどを管理します。「共有」は一つの作業を必ず半分ずつ行うという意味ではありません。何を利用者が制御できるサービスなのかを先に確認します。

基盤と利用環境を積み重ねて見る建物・電源・物理サーバーの上に仮想化の仕組みがあり、その上でOSやアプリケーションが動きます。EC2では物理サーバーと仮想化層をAWSが管理します。一方、EC2インスタンス内のゲストOSにログインし、パッケージを追加・更新する作業は利用者側です。同じ「OS」という語でも、どの層のOSかで担当が違います。

EC2では自由度と管理作業が組になる EC2にWebサーバーをインストールすると、構成を細かく選べる一方、そのソフトウェアの脆弱性対応も利用者が計画します。セキュリティグループで受信を許可する相手やポートを選ぶのも利用者です。AWSが通信制御の機能を提供することと、業務に適したルールを利用者が設定することを分けます。

S3ではOSではなくデータ操作を利用する S3はオブジェクトを保存・取得するサービスです。利用者はS3の基盤OSへログインして更新しません。その運用はAWS側です。ただし、保存する情報の分類、バケットへのアクセス権限、公開の要否、暗号化の設定選択や鍵へのアクセス権限は利用者が検討します。OS管理が減っても、機密情報を守る責任は残ります。

暗号化と権限を混同しない暗号化は適切な鍵なしでデータの内容を読みにくくする対策です。業務上そのデータへアクセスを許された主体は、サービスの仕組みを通して読める場合があります。誤った利用者へ読み取り権限を与えれば、暗号化されていても適切なアクセス管理にはなりません。「暗号化済みだから公開設定を確認しなくてよい」とは判断しません。

自動化は担当そのものを消さない OS更新の実行を管理ツールで自動化しても、どの対象をいつ更新し、失敗や互換性問題をどう確認するかは運用設計として残ります。マネージドサービスを選んで担当範囲を減らす場合と、利用者の担当作業をツールで効率化する場合を区別しましょう。

例題：EC2からS3へ移した写真社内写真をEC2上のファイル配信からS3へ移しました。移行によって写真を格納する基盤OSの更新を利用者が行う作業は減ります。しかし「社員だけが写真を読める」という要件は移行後も存在します。利用者は公開範囲と認証・権限を設計し、社員以外から読めないことを確認します。

判断手順作業名だけでなく対象を補って読みます。「パッチ適用」なら物理ホストかEC2内のOSか、「保護」なら施設への入退室か顧客データの閲覧かを確認します。次にそのサービスが利用者へどの設定を提供するかを考えます。最後に、利用者が担当する項目について権限・更新・監視の運用を決めます。

図解

EC2とS3の担当範囲 — EC2からS3へ移すとOS運用の境界は変わるが、情報の利用範囲を決める責任は残る。

重要ポイント

EC2のゲストOS更新は利用者、物理基盤の保護はAWSが担当する。
S3の基盤OS管理はAWS側だが、データとアクセス権限の管理は利用者側に残る。
機能の提供者と、その機能の設定を決める担当は異なる。
暗号化とアクセス権限を両方確認する。

間違えやすい点

「OS」だけで担当を決めず、ホストOSかゲストOSか確認する。
マネージドならデータ公開範囲もAWSが決める、とは考えない。
ツールによる自動化と責任の移転を同一視しない。

用語解説

責任共有モデル: AWSが保護する基盤と、利用者が管理するデータ・設定・アプリケーションなどの分担。利用サービスによって境界が変わる。
ゲストOS: EC2インスタンス内で利用者が使うオペレーティングシステム。物理ホストのOSや仮想化層とは別である。
マネージドサービス: 基盤の運用の一部をAWSへ任せて利用するサービス。データや権限の管理まで無条件に任せる意味ではない。
アクセス権限: 誰がどの資源にどの操作をできるかを定めた許可。認証情報を守ることと、必要最小限の操作へ絞ることは別の対策である。

参考資料

教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。

確認問題の出題・採点や学習履歴の保存にはログインが必要です。