AWS認定クラウドプラクティショナー認定試験対策メモ

## はじめに
当記事はAWS認定クラウドプラクティショナー認定試験の受験対策用メモです。
試験直前に見直すためのメモとして活用することを想定しています。

随時アップデートしていく予定ですが、間違っている箇所がありましたらご指摘いただけると幸いです。

---

## AWSのセキュリティ

### AWSの責任共有モデル

#### AWSの責任範囲
- AWSはクラウド本体のセキュリティ部分を担当する。

#### ユーザーの責任範囲
- ユーザーはクラウド内のセキュリティを担当する。
- AWSが用意するセキュリティサービスを適切に活用して、ユーザーはクラウド内のセキュリティを管理できる。
- Amazon EC2やAmazon VPCなど、IaaSのカテゴリーに分類されるAWS製品はユーザーがすべてを管理するため、ユーザーは必要なセキュリティ設定と管理タスクをすべて実行する必要がある。
- AWSは、ユーザーがクラウドにおけるセキュリティ対策を行う上で便利なツールやサービスを提供する。
- EC2インスタンスに対するセキュリティなどは顧客側の責任範囲とされており、EC2インスタンスへのペネトレーションテストは顧客が自由に実施することが可能。

### AWSクラウドのセキュリティ
- AWSセキュリティには、データ保護、コンプライアンス要件への準拠。コスト削減、迅速なスケーリングという４つの利点がある。
- AWSのデータセンターのセキュリティはAWSの担当。
- ハイパーバイザーのセキュリティはAWSの担当。
- 管理プレーンの保護はユーザーの担当。
- IDとパスワードはユーザーが適切に管理する。権限が強いアカウントにはMFAを組み合わせて利用する。
- キーペアはユーザーが適切に管理する。
- APIキーはユーザーが適切に管理する。必要最低限の権限のみを付与する。
- ルートアカウントのAPIキーは作成しない。
- マネージドで内サービスのセキュリティの責任については、ユーザーが操作できる部分はすべてユーザーの責任。
- ユーザーが操作できるマネージドでない部分は、オンプレミスのシステムで行ってきたことと同等。
- Amazon EC2などのコンピューティングサービスは、OS層以上はユーザーの責任。
- ファイアウォール（セキュリティグループ）の設定内容はユーザーの責任。
- マネージドなサービスの責任は、ユーザーとAWSでそれぞれが分担。
- サービスのプラットフォーム部分はAWSの責任。
- サービスのプラットフォーム上のデータや、その上に置くアプリケーションはユーザーの責任。
- サービスにアクセスするためのアクセスコントロール設定とアカウント認証情報の保護はユーザーの責任。
- マネージドでないサービスより、ユーザーのセキュリティに関する負担は軽減。
- 転送中データを保護するには、適切なプロトコル及び暗号化アルゴリズムを選択する。
- 蓄積データを保護するには、コンプライアンス要件に従い暗号化を行う。AWSの提供する暗号化オプションを活用する。
- AWS資格情報を保護するには、適切なユーザーの作成と、必要最低限の権限設定を行う。
- アプリケーションの安全性を確保するには、定期的な脆弱性診断と脆弱性情報の確認、アプリケーションの改善を行う。

---
### IAM
#### 概要
IAMとは、ユーザーのAWSクラウドリソースへのアクセス管理サービス。IAMでIAMユーザーやIAMグループを作成し、適切な権限を割り当てる。

#### 特徴
-   IAMコンソール画面からパスワードポリシーを変更することが可能です。それによってユーザーが利用するべきパスワードの設定形式を変更できます。
-   IAMグループとIAMユーザーとIAMロールに対してIAMポリシーを設定することで、AWSリソースへのアクセス権限を付与することができます。
- 各IAMユーザー、IAMグループには、必要最低限の権限を付与する。

##### IAMユーザー
- IAMユーザーには最大２つのAPIキーが発行できる。

##### IAMグループ
- 多数のユーザーを管理する場合は、個々にIAMユーザーに対してIAMポリシーを適用するのは非効率です。
- 部署ごとに適切なアクセス権限を有したIAMグループを作成して、IAMユーザーをそれらのグループにアサインさせることが最良の管理方法となります。

##### IAMロール
- IAMロールはAWSリソースに対してアクセス権限を付与する機能です。

##### IAMポリシー
- IAMポリシーが相反するときは、拒否が優先される。

---
### セキュリティグループ
#### 概要
セキュリティグループは、１つ以上のインスタンスのトラフィックを制御する仮想ファイアウォール。

---
### AWS Shield
#### 概要
AWS Shield は、マネージド型のDDoS攻撃に対する保護サービス。
StandardとAdvancedがある。

#### 特徴
##### AWS Shield Standard
- AWS Shield Standard は、一般的なDDoS攻撃からAWS上のシステムを保護する。

##### AWS Shield Advanced
- AWS Shield Advanced は、Standard に加えて、DDoS Response Team による緩和策を実施し、攻撃を可視化する。
- また、AWS WAF が無償で無制限に利用可能。

---
### AWS WAF
#### 概要
AWS WAFは、マネージド型のWebアプリケーションファイアウォールサービス。
アプリケーションの可用性低下、セキュリティ攻撃、リソースの過剰消費などの一般的なWebの脆弱性からWebアプリケーションを保護する。

#### 特徴
- 基本料金は無料。Webセキュリティルールに基づき課金される。
- Webセキュリティルールはユーザーが設定する必要がある。
- Web ACLの適用サービスは、CloudFront、Application Load Balancer、API Gatewayから選択する。

---
### Amazon Inspector
#### 概要
Amazon Inspectorは脆弱性診断を自動で行うことができるサービス。

#### 特徴
- EC2上にデプロイされたアプリケーションに対応する。
- 各種ルールパッケージはAWSが最新のものにアップデート。
- スケジューリング設定により、完全に自動でチェック可能。
- AWSのコンプライアンスレポートを取得するには、AWS Artifactからダウンロードする。

---
### AWS Key Management Service（KMS）
#### 概要
AWS Key Management Service（KMS）は、AWS上で暗号化のためのキーを作成・管理し、暗号化の制御が行えるサービス。

#### 特徴


---
## AWS Organizations
#### 概要


#### 特徴
-   AWS Organizationsの一括請求により、登録された複数のAWSアカウントの支払いを統合できます。
-   Amazon EC2やAmazon S3などの一部のAWSサービスはボリューム価格階層を利用することができます。
-   これは利用する量や時間が多ければ多いほど、サービス価格帯が安くなり価格設定です。
-   AWS Organizationsの一括請求機能により各AWSアカウントの利用ボリュームを統合することができ、コストを削減できる可能性があります。


---
## 番外編
### S3で利用するデータを保護したい場合の設定
  - データ転送時の暗号化を実施する
  - 保存データの暗号化を実施する