仮想化，クラウドとセキュリティ

Size: px

Start display at page:

Download "仮想化，クラウドとセキュリティ"

おきまささかわ
5 years ago
Views:

1 Amazon Web Services のセキュリティ - 大学のクラウド利用におけるセキュリティの押さえどころ - 資料 7 玉川憲 (@KenTamagawa) 技術統括部長 / エバンジェリストアマゾンデータサービスジャパン株式会社平成 23 年度第 3 回学術情報基盤オープンフォーラム

2 AWS セキュリティセンター日本語のホワイトペーパーもあり

3 セキュリティは AWS において最重要項目セキュリティデザインに長年の経験 Amazon.com で培った物理データセンターハードウェアネットワークの知識を適用顧客の要望に応えさらに改善を継続 SAS-70 Type II ISO PCI DSS Provider Level1, FISMA Moderate 取得高いセキュリティという市場の評判 AWS を調査したお客様はセキュリティの高さに驚かれるお客様が AWS を適用することでセキュリティを向上するケースも多い

4 物理的セキュリティ Amazon は世界最大級の E コマースをセキュアに運営してきておりそのノウハウを Amazon クラウドに利用厳格に管理された拠点侵入検出システム監視カメラ物理的アクセスを厳格に管理多重認証を最低 2 回以上実施従業員のアクセスレベルの管理必要に応じたときだけ最低限の権利を与える (least privilege) 全てのアクセスのログがとられレビューされる

5 ストレージの破棄データ消去基準 DoD M ( National Industrial Security Program Operating Manual ) NIST ( Guidelines for Media Sanitization ) 物理的に故障した場合は消磁および破壊

6 AWS はセキュリティ対応を楽にする責任共有モデルで高い柔軟性と高いセキュリティを効率よく達成するクラウド事業者はセキュアなリソース ( ミドルウェアホスト OS 仮想レイヤー物理環境 ) を責任をもって提供するお客様はゲスト OS ミドルウェアアプリケーションを責任もって管理する

Small Large Small 責任分担モデルユーザーが責任を持って管理するバーチャルマシーン AWS が責任を持って管理する

8 各インスタンスがファイアウォールを持つデフォルトでは全てのポートが閉じており外からアクセスできない必要なポートのみを必要に応じて空ける EC2 ファイアウォール EC2 インスタンスポート 80 (HTTP) ポート 22 (SSH)

9 Public EC2 ネットワークの Security パラメータインバウンドのアクセスのみを制御するセキュリティグループによりアクセスルールを設定するインスタンスの起動時にグループをアサインする稼働中のインスタンスの既存グループは編集できるアクセスルール : 名前説明プロトコルポートレンジ IPアドレスの範囲

10 セキュリティ証明書 1EC2 インスタンスへのアクセスはキーペアの利用 2Web コンソールへのアクセス Web ログイン / 多要素認証 / IAM Web コンソール API 3API へのアクセスアクセスキー / X.509 証明書 / IAM REST / SOAP コマンドライン / SDK 利用ターミナル SSH 公開鍵認証 Windows ( スタンダード ) 仮想サーバ (Amazon EC2) 仮想デスクトップデータセンター

11 EC2インスタンスへのアクセスにはキーペアが使われる公開鍵は AWS によって EC2 起動時に埋め込まれる公開鍵はリージョン毎に管理作成した公開鍵の Upload も可能 ( この場合リージョン間で同じ鍵も利用できる ) キーペアの作成秘密鍵はデスクトップにダウンロードされる EC2 インスタンスは 2 つの鍵を用いる

12 AWS の API へのアクセスキーペア AWS の Web の管理画面 X.509 証明書

13 IAM AWS Identity and Access Management アカウント内に複数ユーザーグループを作成し適切なアクセス管理が可能個別ユーザーが下記のセキュリティ要素をもてるアクセスキーログイン / パスワード MFA デバイスオプション個別ユーザーグループ毎にポリシーステートメントを作成リソース API へのアクセスを適切に制限

14 アカウントのセキュリティアカウントのキーローテーション複数のキーペア認証をサポート多要素認証デバイスオプション

15 DDOS とその対策 AWS では DDOS の検出と対応をする専任のスタッフを持つ各拠点に複数のアクセスポイントを持つ発信元にならないようにする EC2 ではホストのファイヤウォールで送信元 IP アドレスの偽装が不可能カスタマは IDS/IPS を動作させることができるセキュリティグループによる分離 Snort: オープンソースで人気のある実装商用 (SourceFire, Trend Micro, Symantec など ) もあり

17 Amazon VPC とは AWSクラウド上にプライベートクラウドを構築オンプレミスとのハイブリッドが簡単に実現 AWSが社内インフラの一部に見える社内システムソフトウェアの移行がより容易に例 : 業務システムバッチ処理ファイルサーバ 2011 年 8 月から全リージョンで利用可能に専用線接続 (AWS DirectConnectも ) 17

18 お客様のインフラを AWS 上に延長する VPN または専用線接続リージョン EC2 EC2 内に分離したサブネットを自由に作成インターネットイントラ VPC プライベートサブネット NAT パブリックサブネットゲートウェイ

19 EC2 Dedicated Instance VPC 内で専用インスタンスシングルテナント保証クラウドのメリット確保従量課金柔軟にスケールアップ瞬時に調達規制に対応しなければいけないお客様のご要望に応えるサービス通常のEC2 物理サーバー顧客 A 顧客 B Dedicated Instance 物理サーバー顧客 A 顧客 B 顧客 C 顧客 C

20 パケットの出入り管理インスタンス単位でもセキュリティグループで更に IN/OUT コントロールネットワークレイヤで IN/OUT をコントロール

21 VPC with a Single Public Subnet EIP アドレスをパブリックインタフェースにアサイン適用メリット高いセキュリティの中で Web アプリを稼働させるプライベート IP を用いてインスタンスをまとめられる 21

22 VPC with Public and Private Subnets パブリックサブネットのインスタンスには EIP をアサインできるプライベートサブネットのインスタンスはインターネットから直接アクセスできない適用メリット Web サーバーをパブリックサブネットを稼働しプライベートサブネット内のデータベースの読み書きを行う 22

23 VPC with Public and Private Subnets and a VPN Connection パブリックサブネットのインスタンスには EIP をアサインできるプライベートサブネットのインスタンスに VPN 経由でアクセス可能適用メリット VPC をインターネットに接続しつつデータセンターをクラウド上に拡張 23

24 VPC a Private Subnet and a VPN Connection VPC 登場時はこの形態のみだった全てのトラフィックは社内データセンターのファイヤウォール経由で行われる適用メリットデータセンターをクラウドに拡張しても中央集権的管理を維持する 24

マルチホーム (cloudhub) http://docs.amazonwebservices.

25 マルチホーム (cloudhub)

26 AWS Direct Connect とは AWS とデータセンターオフィスコロケーション環境間にプライベート接続を確立するサービス高スループット低レイテンシ一貫性のあるネットワーク体験! AWS Cloud EC2, S3 などの Public サービス専用線相互接続ポイントお客様 Amazon VPC

27 AWS DirectConnect 接続のステップ検討開始 Public サービスを直接使う? DXSP に依頼 DXSP: Direct Connect Solution Provider 自社で手配する? Public AS を持っている? Public AS の取得回線業者選定 Public 接続接続点ラックを契約回線終端装置の置き場はある? VPC を使う? 利用開始物理接続 VPC 接続

28 AWS DirectConnect 接続のステップ検討開始 Public サービスを直接使う? DXSP に依頼 DXSP: Direct Connect Solution Provider 接続点ラックを契約自社で手配する? パートナー様を使うことで回線業者選定 Public 接続回線終端装置の置き場はある? Public AS を持っている? この面倒な手順が省略できます VPC を使う? Public AS の取得利用開始物理接続 VPC 接続

29 Amazon VPC をどう考えるかこれからの標準になるものネットワークを仮想化するものネットワークにまつわる多くの要望への答え IPアドレスの固定サブネットを使った管理専用線でつながったセキュアな環境 29

30 AWS でのセキュリティのために適切なアーキテクチャ共有責任を理解する AWSはできる範囲に注力取扱者はできる範囲に注力する協働する運用どのように継続して日々運用するかを考えた設計

31 AWS Direct Connect で SINET と AWS クラウドを直結 ( 調整中 ) 加入機関 A SINET 専用線接続 AWS の東京リージョン EC2( 仮想サーバー ) VPC プライベートサブネット

32 Question? aws.amazon.com

33 Amazon EC2 のセキュリティゲスト OS 顧客がルートレベルで管理する AWS のアドミニストレーターでもログインできないユーザーが独自にキーペアを作成可能ホスト OS 全てのアクセスのログを取得し監査する必要なときにだけ最低限のレベルで AWS 管理者にアクセス権を与えるホスト OS へのアクセスは必ず SSH が使われる Statefull Firewall デフォルトで全てのインバウンドをはじく顧客が必要なポートだけを空ける暗号化された API コール X.509 証明書もしくは AWS アカウントのキーペアが必要

34 仮想メモリとローカルディスク Amazon のディスク管理システムは他のインスタンスの仮想メモリ & ディスクを読めないようにしている ( 特許技術 ) もちろん顧客は独自にデータを暗号化することも可能 Amazon EC2 Instances Encrypted File System Encrypted Swap File Amazon EC2 Instance

35 Amazon EC2 インスタンスの分離 Customer 1 Customer 2 Customer n Hypervisor Virtual Interfaces Customer 1 Security Groups Customer 2 Security Groups Customer n Security Groups Firewall Physical Interfaces

そこが知りたい！AWSクラウドのセキュリティ

そこが知りたい！AWSクラウドのセキュリティそこが知りたい! AWS クラウドのセキュリティ #AWSRoadshow 1 Twitter で AWS Cloud Roadshow に参加しよう! #AWSRoadshow 皆さんのご意見聞かせてください! 公式アカウント @awscloud_jp 最新技術情報イベント情報お得なクーポン情報など日々更新中! 2 自己紹介名前:鈴木宏昌スズキヒロアキ所属:AWSテクニカルトレーナー