AWSの責任共有モデルとは ― AWSと利用者の境界線

AWSでセキュリティの問題が起きたとき、守る責任がAWSと利用者のどちらにあるかは、使うサービスで変わります。この分担を決めているのが、AWSの責任共有モデルです。AWSはクラウドを動かす基盤そのものを守り、利用者は自分が使う範囲を守ります。

AWS公式ページは、AWSの責任を「AWSクラウドのすべてのサービスを動かすインフラの保護」と説明しています。このインフラには、ハードウェア・ソフトウェア・ネットワーク・施設が含まれます。

一方、利用者の責任範囲は固定ではありません。AWS公式ページは「利用者の責任は、選んだAWSクラウドサービスによって決まる」としています。どのサービスを使うかで、利用者が管理する範囲は変わります。

AWSはこの分かれ方を、Security "of" the CloudとSecurity "in" the Cloudという2つの言葉で呼んでいます。日本語では「クラウドのセキュリティ」と「クラウドにおけるセキュリティ」です。

クラウドのセキュリティは、AWS側の責任です。建物にたとえると、建物そのものを破壊や乗っ取りから守る作業にあたります。ハードウェアの保守、データセンターの物理的な警備、ネットワーク機器の管理などが含まれます。

クラウドにおけるセキュリティは、利用者側の責任です。借りた部屋の使い方を決め、自分の荷物を守る作業にあたります。データの管理、アクセス権限の設定、OSやアプリの更新などが含まれます。アカウントが複数ある場合は、AWS OrganizationsのSCPという機能で、使える権限の上限を組織全体で決められます。

AWSはさらに、管理策を3種類に分けています。管理策とは、リスクを抑えるための対策のことです。1つ目は、利用者がAWSからそのまま引き継ぐ管理策です。2つ目は、AWS側と利用者側の両方が、別の視点から関わる管理策です。3つ目は、利用者がAWS上に組み立てるアプリの内容によって決まる、利用者だけの管理策です。

責任共有モデルの境界線は、固定ではありません。AWSの説明によると、管理の手間をどこまでAWSに任せるかによって、利用者の責任範囲が変わります。

サーバそのものを借りるEC2では、インフラより上の層をほぼすべて利用者が管理します。データの保存だけを使うS3では、AWSがOSとプラットフォームまで運用します。そのため、利用者が管理するのは、主にデータとアクセス権限の設定です。

EC2はサーバを借りるサービスです。RDSは、データベースを運用管理ごと借りるサービスです。S3は、データの保存だけを使うサービスです。次の図でサービスを選ぶと、AWSと利用者それぞれの担当作業が切り替わります。

EC2では、ゲストOSの更新やセキュリティパッチの適用を利用者が行います。RDSでは、OSとデータベースソフトの更新、自動バックアップをAWSが行います。利用者は、ネットワークの到達性とユーザーアカウントの管理を担当します。S3では、利用者の担当は主にデータの管理とアクセス権限の設定です。

• AWS「AWS の責任共有モデル（Shared Responsibility Model）」（AWS側・利用者側の定義、EC2とS3・DynamoDBの違い、管理策の3分類）
• AWS「What is Amazon Relational Database Service (Amazon RDS)?」（オンプレミス・EC2・RDSの責任の比較表）
• AWS「Amazon RDS のよくある質問」（RDSで利用者が担当する作業）