AWS Control TowerでData Residency(データ常駐)保護のガードレールが追加されたのでどう活用するか考えてみた #reinvent

• Deny access to AWS based on the requested AWS Region
  • 指定されたリージョン外のグローバル及びリージョナルサービスでの指定していないサービスの利用拒否
  • Control Tower管理リージョン以外は絶対に使わせない、という場合は利用できます
  • 少し特殊なガードレールなので以下も参照してください

• Detect whether public IP addresses for Amazon EC2 autoscaling are enabled through launch configurations
  • EC2 AutoScaling Groupの起動設定でパブリックIPアドレスが有効になっているかの検出
  • AutoScaling配下は基本パブリックに公開しないのでほとんどの環境で使えそうです
• Detect whether replication instances for AWS Database Migration Service are public
  • AWS Database MigrationServiceのレプリケーションインスタンスがパブリックであるかどうかの検出
  • 基本パブリックに公開しないのでほとんどの環境で使えそうです
• Detect whether Amazon EBS snapshots are restorable by all AWS accounts
  • すべてのAWSアカウントがAmazonEBSスナップショットを復元するためのアクセス権を持っているかどうかを検出
  • EBSスナップショットを公開することは無いのでほとんどの環境で使えそうです
• Detect whether any Amazon EC2 instance has an associated public IPv4 address
  • EC2インスタンスにパブリックIPv4アドレスが関連付けられているかどうかを検出
  • 検証用などで野良にパブリックなEC2を立てるなど、よくありがちなので使ったほうがいいです
  • EC2にアクセスしたいならSSM Systems Managerを利用しましょう
• Detect whether Amazon S3 settings to block public access are set as true for the account
  • S3のパブリックアクセスをブロックするために必要な設定がアカウントに対して(Not バケット/アクセスポイント)、trueどうかを定期的に検出
  • S3バケットを公開しないAWSアカウントであれば必須です
• Detects whether an Amazon EKS endpoint is blocked from public access
  • EKSエンドポイントがパブリックアクセスからブロックされているかどうかを検出
  • 基本パブリックに公開しないのでほとんどの環境で使えそうです
• Detect whether an Amazon OpenSearch Service domain is in Amazon VPC
  • Amazon OpenSearchServiceドメインがAmazonVPCにあるかどうかを検出
  • 基本パブリックに公開しないのでほとんどの環境で使えそうです
• Detect whether any Amazon EMR cluster master nodes have public IP addresses
  • EMRクラスターマスターノードにパブリックIPアドレスがあるかどうかを検出
  • 基本パブリックに公開しないのでほとんどの環境で使えそうです
• Detect whether the AWS Lambda function policy attached to the Lambda resource blocks public access
  • LambdaリソースにアタッチされたLambdaファンクションポリシーがパブリックアクセスをブロックしているかどうかを検出
  • 基本パブリックに公開しないのでほとんどの環境で使えそうです
• Detect whether Amazon Redshift clusters are blocked from public access
  • Amazon Redshiftクラスターがパブリックアクセスをブロックしているかどうかを検出
  • 基本パブリックに公開しないのでほとんどの環境で使えそうです
• Detect whether an Amazon SageMaker notebook instance allows direct internet access
  • Amazon SageMakerノートブックインスタンスが直接インターネットアクセスを許可しているかどうかを検出
  • 基本パブリックに公開しないのでほとんどの環境で使えそうです
• Detect whether AWS Systems Manager documents owned by the account are public
  • アカウントが所有するAWS Systems Managerドキュメントが公開されているかどうかの検出
  • 基本パブリックに公開しないのでほとんどの環境で使えそうです

外部向けVPCを使わない場合

以下はVPCを閉じた使い方しかしない場合には利用できます。