[アップデート] Amazon Quickのアセット共有に「承認ポリシー」が追加されたので試してみた

こんにちは、こーへいです。

Amazon Quickのアップデートが流れてきました。

Amazon Quickが共有に関する承認ポリシーをサポートするようになりました

今回はガバナンス強化系のアップデートです。組織内でアセットを共有する際に、承認者のチェックを必須にできるようになりました。実際に試してみたので紹介します。

アップデート概要

承認ポリシーを使うと、リクエストをレビュー・承認することを必須にでき、機密性の高いアセットの共有が意図的かつコンプライアンスに準拠し、監査可能な形で行われるようにできます。

管理者は、ナレッジベース・スペース・カスタムチャットエージェントといった特定のアセットタイプを対象にした承認ポリシーを作成できます。

また、すべてのワークフローイベントはAWS CloudTrailに記録され、完全な監査証跡を確保できます。

承認ワークフローはオプトイン機能なので、管理者がアセットタイプに対してポリシーを作成・有効化した場合のみ、共有に承認が必要になります。何もしなければ今まで通りの挙動です。

実際にAWS CloudTrailを確認したところ、承認ワークフロー専用と思われる以下のイベント名が記録されていました。

今回やってみること

今回は実際に手を動かして、承認ポリシーの一連の流れを試してみます。

やってみた

Step0: 承認者グループを作成する

承認者とリクエスタ両方にユーザー単位ではなくグループ単位で設定する必要があります。

そのため今回は事前に、Quickのアカウント管理画面(アカウントを管理)の「グループの管理」からグループを作成しておきました。

グループ作成の具体的な手順は、以前書いた以下の記事の「エンジニアグループを作成する」セクションで解説しているので、そちらをご参照ください。

Amazon Q(Amazon Quick)でのデータアクセス制御 | DevelopersIO

Step1: 管理者として承認ポリシーを作成する

まずは管理者としてQuickにサインインし、アカウント名を選択して「アカウントを管理」を選択します。左ナビゲーションの「Approval Policies」から、ポリシーの作成・管理を行います。

「ポリシーの作成」を選択し、ポリシー名と説明を入力した上で、共有を制限するアクションと承認者グループ、共有時にこのワークフローを通す必要がある対象ユーザーグループを選択して「ポリシーの作成」で作成します。

Step2: リクエスタとして共有リクエストを送信する

※ここからポリシーを割り当てられたユーザー(リクエスタ)での操作です。

続いて、共有を制限するアクションに設定したスペースを共有してみます。「共有」を選択し、共有相手のユーザーを追加します。

通常の共有画面ではなく承認リクエストフォームが表示されました。ここで各情報を入力し、「Send Request」を選択します。

送信後、「My stuff」から自分が送信したリクエストのステータスを確認できます。

Step3: 承認者としてリクエストを承認する

承認者側のアカウントに切り替えて「My stuff」を開くと、先ほどのリクエストがルーティングされてきていました。

このリクエストに対応するには、まず「担当リクエスト」を選択して自分に割り当てる必要があります。

割り当て後、対象のスペースの内容を直接確認できるので、確認した上で「Approve」を選択します。

Step4: 対象ユーザー側でアクセスが反映されたことを確認する

対象ユーザー側でスペースの一覧を確認すると、共有されたアセットが表示されていました(表示されない場合はページの再読み込みが必要でした)。

リクエスタ側でもリクエスト状況を確認すると、ステータスが「完了済み」に変わっており、詳細パネルから承認者のコメントや判断のタイムスタンプも確認できました。

まとめ

今回は、Amazon Quickの新機能「共有に対する承認ポリシー」を紹介しました。

今まではアセットを持つユーザーの判断のみで共有が完結していましたが、この機能により組織として承認フローを挟めるようになり、機密性の高いアセットの取り扱いをガバナンスとして統制できるようになりました。

セキュリティやコンプライアンスを重視する組織では、導入を検討する価値のあるアップデートだと思います。それでは。