Lock in $30 Savings on PRO—Offer Ends Soon! ⏳

AWSアカウントで最初にやるべきこと 〜2022年6月版〜

yhana
July 25, 2022

AWSアカウントで最初にやるべきこと 〜2022年6月版〜

yhana

July 25, 2022
Tweet

More Decks by yhana

Other Decks in Technology

Transcript

  1. 9 やることの料⾦ $ 有料 $ 基本無料 + オプション機能が有料 設定は無料 +

    連携サービス (S3等) が有料 記載なし 無料、もしくは、極めて安価
  2. 11 ログ・モニタリング サービス名 内容 レベル AWS CloudTrail ログ⻑期保管のための設定(証跡の作成) MUST CloudTrail

    Insights の有効化 SHOULD Athena のテーブル作成 MAY Amazon EventBridge マネジメントコンソールのサインイン通知 MAY AWS Config 有効化(レコーダーの作成) MUST Config ルールの作成 MAY $ $ $ $ $ AWSリソース操作の記録
  3. 12 サービス名 内容 レベル AWS Health Dashboard 通知設定 SHOULD AWS

    Trusted Advisor 通知設定 MAY Amazon DevOps Guru 有効化 MAY Amazon S3 Storage Lens ダッシュボードの作成 MAY ログ・モニタリング $ $ $ AWSサービス/アプリケーションのモニタリング
  4. 13 セキュリティ サービス名 実施内容 レベル AWS IAM (ルートユーザー) MFA 認証の設定

    MUST アクセスキーの削除 MUST AWS IAM IAM パスワードポリシーの設定 MUST IAM ユーザー/グループの作成 MUST MFA 認証の設定 MUST アカウントエイリアスの作成 MAY AWS IAM Access Analyzer 有効化(アナライザーの作成) SHOULD マネジメントコンソール IP アドレス制限 MAY ユーザー管理のセキュリティ
  5. 14 セキュリティ サービス名 実施内容 レベル Amazon GuardDuty 有効化 SHOULD S3/Kubernetes

    保護の有効化 SHOULD 信頼されている/驚異IPリストの作成 MAY 通知設定 SHOULD AWS Security Hub 有効化 SHOULD 通知設定 MAY Amazon Detective 有効化 SHOULD $ $ $ $ $ セキュリティイベントの検出と調査
  6. 15 セキュリティ サービス名 実施内容 レベル Amazon VPC デフォルト VPC の削除

    SHOULD Amazon EC2 (EBS) EBS のデフォルト暗号化設定 MAY Amazon S3 アカウントのブロックパブリックアクセス設定 MAY 個別サービスのセキュリティ設定 $
  7. 16 契約・コスト サービス名 内容 レベル マイアカウント お⽀払い通貨の設定 - 秘密の質問の設定 SHOULD

    代替の連絡先の設定 MAY デフォルト無効リージョンの確認 INFO AWS Artifact 準拠法を⽇本法に変更 - AWS サポート 必要なサポートに加⼊ MAY $ アカウント設定とサポート
  8. 17 契約・コスト サービス名 内容 レベル AWS Cost Explorer 有効化(起動) SHOULD

    時間単位とリソースレベルのデータを有効化 MAY サイズの適正化に関する推奨事項を有効化 SHOULD AWS Compute Optimizer 有効化 SHOULD AWS Cost Anomaly Detection 有効化(モニターとサブスクリプション設定) SHOULD AWS Budgets 予算アラートの設定 SHOULD 予算レポートの設定 MAY $ $ $ $ コスト管理
  9. 18 契約・コスト サービス名 内容 レベル 請求コンソール (Billing) Cost and Usage

    Reports の有効化 MAY コスト配分タグの設定 MAY PDF 請求書の設定 MAY 無料利⽤枠の使⽤アラートの設定 MAY 請求アラートの設定 INFO マイアカウント IAM ユーザーによる請求情報へのアクセス設定 MAY $ $ コスト管理
  10. 23 ログ・モニタリング サービス名 内容 レベル AWS CloudTrail ログ⻑期保管のための設定(証跡の作成) MUST CloudTrail

    Insights の有効化 SHOULD Athena のテーブル作成 MAY Amazon EventBridge マネジメントコンソールのサインイン通知 MAY AWS Config 有効化(レコーダーの作成) MUST Config ルールの作成 MAY $ $ $ AWSリソース操作の記録
  11. 31 CloudTrailのS3/CloudWatch Logs転送 CloudTrailのログ転送先 転送先 ⽬的 備考 S3 ⻑期的な保管 -

    CloudWatch Logs 回数条件でアラートを作成したい場合など オプション
  12. 32 CloudTrailのS3/CloudWatch Logs転送 S3保管の考慮事項 保存期間 管理 → ライフサイクルルール から設定 暗号化

    プロパティ → デフォルトの暗号化 から設定 アクセス制御 アクセス許可 から設定 アクセスログ プロパティ → サーバーアクセスのログ記憶 から設定 オブジェクトロック バケット作成時に有効化(あとから有効はサポート)
  13. 35 CloudTrail の参考情報 種別 タイトル(リンク) 技術情報 [アップデート] CloudTrail Insights で異常アクティビティの統計情報が提供されるよう

    になりました 技術情報 Amazon S3の暗号化について調べてみた。 技術情報 S3オブジェクトのロック(なにをどうやっても改竄削除が不可)がリリースされま した︕ #reinvent 料⾦ 料⾦ - AWS CloudTrail | AWS
  14. 36 ログ・モニタリング サービス名 内容 レベル AWS CloudTrail ログ⻑期保管のための設定(証跡の作成) MUST CloudTrail

    Insights の有効化 SHOULD Athena のテーブル作成 MAY Amazon EventBridge マネジメントコンソールのサインイン通知 MAY AWS Config 有効化(レコーダーの作成) MUST Config ルールの作成 MAY AWSリソース操作の記録
  15. 39 ログ・モニタリング サービス名 内容 レベル AWS CloudTrail ログ⻑期保管のための設定(証跡の作成) MUST CloudTrail

    Insights の有効化 SHOULD Athena のテーブル作成 MAY Amazon EventBridge マネジメントコンソールのサインイン通知 MAY AWS Config 有効化(レコーダーの作成) MUST Config ルールの作成 MAY $ $ AWSリソース操作の記録
  16. 50 サービス名 内容 レベル AWS Health Dashboard 通知設定 SHOULD AWS

    Trusted Advisor 通知設定 MAY Amazon DevOps Guru 有効化 MAY Amazon S3 Storage Lens ダッシュボードの作成 MAY ログ・モニタリング AWSサービス/アプリケーションのモニタリング
  17. 56 サービス名 内容 レベル AWS Health Dashboard 通知設定 SHOULD AWS

    Trusted Advisor 通知設定 MAY Amazon DevOps Guru 有効化 MAY Amazon S3 Storage Lens ダッシュボードの作成 MAY ログ・モニタリング $ AWSサービス/アプリケーションのモニタリング
  18. 60 サービス名 内容 レベル AWS Health Dashboard 通知設定 SHOULD AWS

    Trusted Advisor 通知設定 MAY Amazon DevOps Guru 有効化 MAY Amazon S3 Storage Lens ダッシュボードの作成 MAY ログ・モニタリング $ AWSサービス/アプリケーションのモニタリング
  19. 66 サービス名 内容 レベル AWS Health Dashboard 通知設定 SHOULD AWS

    Trusted Advisor 通知設定 MAY Amazon DevOps Guru 有効化 MAY Amazon S3 Storage Lens ダッシュボードの作成 MAY ログ・モニタリング $ AWSサービス/アプリケーションのモニタリング
  20. 74 セキュリティ サービス名 実施内容 レベル AWS IAM (ルートユーザー) MFA 認証の設定

    MUST アクセスキーの削除 MUST AWS IAM IAM パスワードポリシーの設定 MUST IAM ユーザー/グループの作成 MUST MFA 認証の設定 MUST アカウントエイリアスの作成 MAY AWS IAM Access Analyzer 有効化(アナライザーの作成) SHOULD マネジメントコンソール IP アドレス制限 MAY ユーザー管理のセキュリティ
  21. 78 IAMポリシー IAMポリシーには、AWSが提供している「AWS管理ポリシー」と ユーザーが作成する「カスタマー管理ポリシー」 がある AWS管理ポリシー名 概要 AdministratorAccess AWSサービスとリソースへのフルアクセス権限 ViewOnlyAccess

    すべてのAWSサービスのリソース、および、基本的なメタデータ の閲覧権限 AmazonEC2FullAccess AWSマネジメントコンソールによるEC2へのフルアクセス権限
  22. 89 セキュリティ サービス名 実施内容 レベル AWS IAM (ルートユーザー) MFA 認証の設定

    MUST アクセスキーの削除 MUST AWS IAM IAM パスワードポリシーの設定 MUST IAM ユーザー/グループの作成 MUST MFA 認証の設定 MUST アカウントエイリアスの作成 MAY AWS IAM Access Analyzer 有効化(アナライザーの作成) SHOULD マネジメントコンソール IP アドレス制限 MAY ユーザー管理のセキュリティ
  23. 90 IAM Access Analyzer IAM Access Analyzerとは 外部のAWSアカウントやIdP (Identity Provider)

    等の外部エンティティに 対するアクセス許可状況を確認できるサービス
  24. 93 セキュリティ サービス名 実施内容 レベル AWS IAM (ルートユーザー) MFA 認証の設定

    MUST アクセスキーの削除 MUST AWS IAM IAM パスワードポリシーの設定 MUST IAM ユーザー/グループの作成 MUST MFA 認証の設定 MUST アカウントエイリアスの作成 MAY AWS IAM Access Analyzer 有効化(アナライザーの作成) SHOULD マネジメントコンソール IP アドレス制限 MAY ユーザー管理のセキュリティ
  25. 96 セキュリティ サービス名 実施内容 レベル Amazon GuardDuty 有効化 SHOULD S3/Kubernetes

    保護の有効化 SHOULD 信頼されている/驚異IPリストの作成 MAY 通知設定 SHOULD AWS Security Hub 有効化 SHOULD 通知設定 MAY Amazon Detective 有効化 SHOULD $ $ セキュリティイベントの検出と調査
  26. 111 GuardDutyの参考情報 種別 タイトル(リンク) 技術資料 [2021年版]Amazon GuardDutyによるAWSセキュリティ運⽤を考える 技術資料 ⼀発でGuardDutyを全リージョン有効化して通知設定するテンプレート作った 技術資料

    [アップデート] Amazon GuardDuty で S3 への不審なアクティビティを脅威検出できる ようになりました︕ 料⾦ Amazon GuardDuty の料⾦ 料⾦ 【全員必須】GuardDutyがコスパ最強の脅威検知サービスであることを証明してみた
  27. 112 セキュリティ サービス名 実施内容 レベル Amazon GuardDuty 有効化 SHOULD S3/Kubernetes

    保護の有効化 SHOULD 信頼されている/驚異IPリストの作成 MAY 通知設定 SHOULD AWS Security Hub 有効化 SHOULD 通知設定 MAY Amazon Detective 有効化 SHOULD $ $ セキュリティイベントの検出と調査
  28. 122 GuardDuty の参考情報 種別 タイトル(リンク) 技術資料 [⼊⾨]社内勉強会で AWS Security Hubの話をしました

    技術資料 [2021年版]AWS Security HubによるAWSセキュリティ運⽤を考える 技術資料 うわっ…私のセキュリティスコア低すぎ…︖Security HubのCISベンチマークの俺流 チューニングで100%準拠を⽬指す 料⾦ AWS Security Hub の料⾦
  29. 123 セキュリティ サービス名 実施内容 レベル Amazon GuardDuty 有効化 SHOULD S3/Kubernetes

    保護の有効化 SHOULD 信頼されている/驚異IPリストの作成 MAY 通知設定 SHOULD AWS Security Hub 有効化 SHOULD 通知設定 MAY Amazon Detective 有効化 SHOULD $ セキュリティイベントの検出と調査
  30. 130 Detectiveの参考情報 種別 タイトル(リンク) 技術資料 [アップデート] AWS 環境の調査がすこぶる捗る︕Amazon Detective が利⽤可能になっ

    ていた︕(30⽇間の無料トライアル付き) 技術資料 [神ツール]セキュリティインシデントの調査が捗るAmazon DetectiveがGAしたのでメ リットとオススメの使い⽅を紹介します 料⾦ Amazon Detective の料⾦
  31. 132 セキュリティ サービス名 実施内容 レベル Amazon VPC デフォルト VPC の削除

    SHOULD Amazon EC2 (EBS) EBS のデフォルト暗号化設定 MAY Amazon S3 アカウントのブロックパブリックアクセス設定 MAY 個別サービスのセキュリティ設定
  32. 135 セキュリティ サービス名 実施内容 レベル Amazon VPC デフォルト VPC の削除

    SHOULD Amazon EC2 (EBS) EBS のデフォルト暗号化設定 MAY Amazon S3 アカウントのブロックパブリックアクセス設定 MAY 個別サービスのセキュリティ設定 $
  33. 138 セキュリティ サービス名 実施内容 レベル Amazon VPC デフォルト VPC の削除

    SHOULD Amazon EC2 (EBS) EBS のデフォルト暗号化設定 MAY Amazon S3 アカウントのブロックパブリックアクセス設定 MAY 個別サービスのセキュリティ設定
  34. 144 契約・コスト サービス名 内容 レベル マイアカウント お⽀払い通貨の設定 - 秘密の質問の設定 SHOULD

    代替の連絡先の設定 MAY デフォルト無効リージョンの確認 INFO AWS Artifact 準拠法を⽇本法に変更 - AWS サポート 必要なサポートに加⼊ MAY アカウント設定とサポート
  35. 151 契約・コスト サービス名 内容 レベル マイアカウント お⽀払い通貨の設定 - 秘密の質問の設定 SHOULD

    代替の連絡先の設定 MAY デフォルト無効リージョンの確認 INFO AWS Artifact 準拠法を⽇本法に変更 - アカウント設定とサポート
  36. 152 準拠法を⽇本法に変更 AWS カスタマーアグリメントのデフォルトの準拠法は⽶国ワシントン州法 2022年6⽉15⽇時点では、 AWS契約当事者が「Amazon Web Services Japan Godo

    Kaisha」の 場合は、準拠法は⽇本国法、管轄裁判所は東京地裁と定められている AWS カスタマーアグリーメント
  37. 153 契約・コスト サービス名 内容 レベル マイアカウント お⽀払い通貨の設定 - 秘密の質問の設定 SHOULD

    代替の連絡先の設定 MAY デフォルト無効リージョンの確認 INFO AWS Artifact 準拠法を⽇本法に変更 - AWS サポート 必要なサポートに加⼊ MAY $ アカウント設定とサポート
  38. 156 契約・コスト サービス名 内容 レベル AWS Cost Explorer 有効化(起動) SHOULD

    時間単位とリソースレベルのデータを有効化 MAY サイズの適正化に関する推奨事項を有効化 SHOULD AWS Compute Optimizer 有効化 SHOULD AWS Cost Anomaly Detection 有効化(モニターとサブスクリプション設定) SHOULD AWS Budgets 予算アラートの設定 SHOULD 予算レポートの設定 MAY $ $ コスト管理
  39. 166 Cost Explorerの参考情報 種別 タイトル(リンク) 技術資料 [アップデート] AWS Cost Explorer

    が時間単位およびリソースレベルの粒度で確認でき るようになりました 技術資料 [アップデート]コスト最適化の決定版︕AWS Cost Explorerの推奨事項にAWS Compute Optimizerが統合されました 料⾦ AWS Cost Explorer の料⾦
  40. 167 契約・コスト サービス名 内容 レベル AWS Cost Explorer 有効化(起動) SHOULD

    時間単位とリソースレベルのデータを有効化 MAY サイズの適正化に関する推奨事項を有効化 SHOULD AWS Compute Optimizer 有効化 SHOULD AWS Cost Anomaly Detection 有効化(モニターとサブスクリプション設定) SHOULD AWS Budgets 予算アラートの設定 SHOULD 予算レポートの設定 MAY コスト管理
  41. 172 契約・コスト サービス名 内容 レベル AWS Cost Explorer 有効化(起動) SHOULD

    時間単位とリソースレベルのデータを有効化 MAY サイズの適正化に関する推奨事項を有効化 SHOULD AWS Compute Optimizer 有効化 SHOULD AWS Cost Anomaly Detection 有効化(モニターとサブスクリプション設定) SHOULD AWS Budgets 予算アラートの設定 SHOULD 予算レポートの設定 MAY コスト管理
  42. 179 契約・コスト サービス名 内容 レベル AWS Cost Explorer 有効化(起動) SHOULD

    時間単位とリソースレベルのデータを有効化 MAY サイズの適正化に関する推奨事項を有効化 SHOULD AWS Compute Optimizer 有効化 SHOULD AWS Cost Anomaly Detection 有効化(モニターとサブスクリプション設定) SHOULD AWS Budgets 予算アラートの設定 SHOULD 予算レポートの設定 MAY $ $ コスト管理
  43. 185 契約・コスト サービス名 内容 レベル 請求コンソール (Billing) Cost and Usage

    Reports の有効化 MAY コスト配分タグの設定 MAY PDF 請求書の設定 MAY 無料利⽤枠の使⽤アラートの設定 MAY 請求アラートの設定 INFO マイアカウント IAM ユーザーによる請求情報へのアクセス設定 MAY $ コスト管理
  44. 186 Cost and Usage Reports Cost and Usage Reports (AWSのコストと使⽤状況レポート)

    とは コストに関する詳細情報をS3に保管してくれるサービス BIツールを利⽤することで柔軟性の⾼い分析ができる 無料(ただしS3の料⾦は必要)
  45. 187 Cost and Usage Reports 例)レポート情報の抜粋版(レポートは CSV形式、GZIP圧縮) lineItem/UsageStartDate lineItem/UsageEndDate lineItem/ProductCode

    lineItem/Operation product/instanceType product/operatingSystem product/region pricing/publicOnDemandCost pricing/term pricing/unit 2021-09-24T14:00:00Z 2021-09-24T15:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs 2021-09-24T15:00:00Z 2021-09-24T16:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs 2021-09-24T16:00:00Z 2021-09-24T17:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs 2021-09-24T17:00:00Z 2021-09-24T18:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs 2021-09-24T18:00:00Z 2021-09-24T19:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs 2021-09-24T19:00:00Z 2021-09-24T20:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs 2021-09-24T20:00:00Z 2021-09-24T21:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs 2021-09-24T21:00:00Z 2021-09-24T22:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs 2021-09-24T22:00:00Z 2021-09-24T23:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs 2021-09-24T23:00:00Z 2021-09-25T00:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs
  46. 190 コスト配分タグ 例)aws:createdBy タグ情報を追加した Cost and Usage Reports lineItem/UsageStartDate lineItem/UsageEndDate

    lineItem/Prod uctCode lineItem/Opera tion product/ins tanceType product/opera tingSystem product/region pricing/publicOn DemandCost pricing/term pricing/unit resourceTags/aws:createdBy 2021-09-24T14:00:00Z 2021-09-24T15:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs IAMUser:AIDAWLQZGIQFTRCEXXXXX:test-user 2021-09-24T15:00:00Z 2021-09-24T16:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs IAMUser:AIDAWLQZGIQFTRCEXXXXX:test-user 2021-09-24T16:00:00Z 2021-09-24T17:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs IAMUser:AIDAWLQZGIQFTRCEXXXXX:test-user 2021-09-24T17:00:00Z 2021-09-24T18:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs IAMUser:AIDAWLQZGIQFTRCEXXXXX:test-user 2021-09-24T18:00:00Z 2021-09-24T19:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs IAMUser:AIDAWLQZGIQFTRCEXXXXX:test-user 2021-09-24T19:00:00Z 2021-09-24T20:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs IAMUser:AIDAWLQZGIQFTRCEXXXXX:test-user 2021-09-24T20:00:00Z 2021-09-24T21:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs IAMUser:AIDAWLQZGIQFTRCEXXXXX:test-user 2021-09-24T21:00:00Z 2021-09-24T22:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs IAMUser:AIDAWLQZGIQFTRCEXXXXX:test-user 2021-09-24T22:00:00Z 2021-09-24T23:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs IAMUser:AIDAWLQZGIQFTRCEXXXXX:test-user 2021-09-24T23:00:00Z 2021-09-25T00:00:00Z AmazonEC2 RunInstances t2.nano Linux ap-northeast-1 0.0076 OnDemand Hrs IAMUser:AIDAWLQZGIQFTRCEXXXXX:test-user
  47. 194 契約・コスト サービス名 内容 レベル 請求コンソール (Billing) Cost and Usage

    Reports の有効化 MAY コスト配分タグの設定 MAY PDF 請求書の設定 MAY 無料利⽤枠の使⽤アラートの設定 MAY 請求アラートの設定 INFO マイアカウント IAM ユーザーによる請求情報へのアクセス設定 MAY $ コスト管理
  48. 197 契約・コスト サービス名 内容 レベル 請求コンソール (Billing) Cost and Usage

    Reports の有効化 MAY コスト配分タグの設定 MAY PDF 請求書の設定 MAY 無料利⽤枠の使⽤アラートの設定 MAY 請求アラートの設定 INFO マイアカウント IAM ユーザーによる請求情報へのアクセス設定 MAY コスト管理
  49. 207 「要素」が必要かどうかを判断 ⼤まかな命名規則の決定 要素 例 必要有無の判断 システム名 devio, techblog 同じアカウントに複数システムがある場合は必須レベル

    アカウント毎にシステムを分けている場合でも、 アカウント選択ミスを防ぐ⽬的で付与も有効 環境 prod, stg, dev 同じアカウントに複数システムがある場合は必須レベル 環境毎にアカウントを分けている場合でも、 アカウント選択ミスを防ぐ⽬的で付与も有効 AWSを開発⽤途でしか使わない等、今後の利⽤⽅針が決まっている 場合は不要でもよい
  50. 208 「要素」が必要かどうかを判断 ⼤まかな命名規則の決定 要素 例 必要有無の判断 サービス名 vpc, alb 必須レベル

    リージョン tokyo, tyo, tk 複数リージョンを使うシステムの場合は付与を検討 リージョン違いで作業していることに気づきやすくなる 付与するとリソース名が⻑くなりがち ユーザー名/ チーム名/ 部署名 hana 1group 1bumon 1つのアカウントを複数ユーザー/チーム/部署で共有して利⽤する 場合に付与を検討
  51. 212 同じサービスでもリソース毎に役割が異なる場合は「役割情報」を付与 サブネット ︓public, private, protected EC2インスタンス ︓web, ap, db,

    bastion グローバルで⼀意な命名が必要な場合は「追加の⽂字列」付与も検討 S3のバケット名 ︓sysname-dev-bucket-suffix 複数同じ役割のリソースが複数ある場合は「連番」を付与 EC2インスタンス ︓web-01, web-02 サービス毎の追加情報も検討必要
  52. 217 ログ・モニタリング サービス名 内容 レベル AWS CloudTrail ログ⻑期保管のための設定(証跡の作成) MUST CloudTrail

    Insights の有効化 SHOULD Athena のテーブル作成 MAY Amazon EventBridge マネジメントコンソールのサインイン通知 MAY AWS Config 有効化(レコーダーの作成) MUST Config ルールの作成 MAY $ $ $ $ $ AWSリソース操作の記録
  53. 218 サービス名 内容 レベル AWS Health Dashboard 通知設定 SHOULD AWS

    Trusted Advisor 通知設定 MAY Amazon DevOps Guru 有効化 MAY Amazon S3 Storage Lens ダッシュボードの作成 MAY ログ・モニタリング $ $ $ AWSサービス/アプリケーションのモニタリング
  54. 219 セキュリティ サービス名 実施内容 レベル AWS IAM (ルートユーザー) MFA 認証の設定

    MUST アクセスキーの削除 MUST AWS IAM IAM パスワードポリシーの設定 MUST IAM ユーザー/グループの作成 MUST MFA 認証の設定 MUST アカウントエイリアスの作成 MAY AWS IAM Access Analyzer 有効化(アナライザーの作成) SHOULD マネジメントコンソール IP アドレス制限 MAY ユーザー管理のセキュリティ
  55. 220 セキュリティ サービス名 実施内容 レベル Amazon GuardDuty 有効化 SHOULD S3/Kubernetes

    保護の有効化 SHOULD 信頼されている/驚異IPリストの作成 MAY 通知設定 SHOULD AWS Security Hub 有効化 SHOULD 通知設定 MAY Amazon Detective 有効化 SHOULD $ $ $ $ $ セキュリティイベントの検出と調査
  56. 221 セキュリティ サービス名 実施内容 レベル Amazon VPC デフォルト VPC の削除

    SHOULD Amazon EC2 (EBS) EBS のデフォルト暗号化設定 MAY Amazon S3 アカウントのブロックパブリックアクセス設定 MAY 個別サービスのセキュリティ設定 $
  57. 222 契約・コスト サービス名 内容 レベル マイアカウント お⽀払い通貨の設定 - 秘密の質問の設定 SHOULD

    代替の連絡先の設定 MAY デフォルト無効リージョンの確認 INFO AWS Artifact 準拠法を⽇本法に変更 - AWS サポート 必要なサポートに加⼊ MAY $ アカウント設定とサポート
  58. 223 契約・コスト サービス名 内容 レベル AWS Cost Explorer 有効化(起動) SHOULD

    時間単位とリソースレベルのデータを有効化 MAY サイズの適正化に関する推奨事項を有効化 SHOULD AWS Compute Optimizer 有効化 SHOULD AWS Cost Anomaly Detection 有効化(モニターとサブスクリプション設定) SHOULD Budgets 予算アラートの設定 SHOULD 予算レポートの設定 MAY $ $ $ $ コスト管理
  59. 224 契約・コスト サービス名 内容 レベル 請求コンソール (Billing) Cost and Usage

    Reports の有効化 MAY コスト配分タグの設定 MAY PDF 請求書の設定 MAY 無料利⽤枠の使⽤アラートの設定 MAY 請求アラートの設定 INFO マイアカウント IAM ユーザーによる請求情報へのアクセス設定 MAY $ $ コスト管理