よく行う定型作業をClaude Codeのカスタムスラッシュコマンドにしたら便利だった話

⏺ 定例MTGアジェンダを自動生成するカスタムスラッシュコマンドを作成しますね。まず、現在のプロジェクト構造と既存のスラッシュコマンドの形式を確認させてください。

⏺ Search(pattern: "**/.claude/commands/*.md")
  ⎿  Found 0 files 

⏺ Search(pattern: "**/backlog-data/**/*.md")
  ⎿  Found 7 files (ctrl+o to expand)

⏺ Read(backlog-data/wiki/定例/20251029_定例MTG.md)
  ⎿  Read 93 lines

⏺ Read(backlog-data/issues/2025/SAMPLE-2.md)
  ⎿  Read 147 lines

⏺ Read(backlog-data/issues/2025/SAMPLE-4.md)
  ⎿  Read 151 lines

⏺ 残りのチケットと既存のスラッシュコマンドの形式も確認させてください。

⏺ Read(backlog-data/issues/2025/SAMPLE-8.md)
  ⎿  Read 125 lines

⏺ Read(backlog-data/issues/2025/SAMPLE-10.md)
  ⎿  Read 157 lines

⏺ Read(backlog-data/issues/2025/SAMPLE-11.md)
  ⎿  Read 186 lines

⏺ Read(backlog-data/issues/2025/SAMPLE-24.md)
  ⎿  Read 155 lines

⏺ このプロジェクト用に新しいカスタムスラッシュコマンドを作成します。

⏺ Bash(mkdir -p /Users/xxx/custom-slash/.claude/commands)
  ⎿  (No content)

⏺ Write(.claude/commands/create-meeting-agenda.md)
  ⎿  Wrote 86 lines to .claude/commands/create-meeting-agenda.md                                                         
     # 定例MTGアジェンダ作成
     以下の手順で定例MTGのアジェンダを自動生成してください。
     ## 1. チケット情報の収集
     `backlog-data/issues/2025/` ディレクトリ内の全てのチケットファイル（*.md）を読み込み、以下の情報を抽出してください：
     - 課題キー
     - チケット名（ファイルの1行目のタイトル）
     … +76 lines (ctrl+o to expand)

⏺ カスタムスラッシュコマンドを作成しました。

  作成したファイル

  .claude/commands/create-meeting-agenda.md

  使い方

  /create-meeting-agenda

  または、開催日時を指定する場合：

  /create-meeting-agenda 2025年11月12日 14:00-15:00

  コマンドが実行する内容

  1. チケット情報の自動収集
    - backlog-data/issues/2025/ 内の全チケットを読み込み
    - 課題キー、タイトル、ステータス、担当者、最新コメントを抽出
  2. 前回定例の確認
    - backlog-data/wiki/定例/ 内の最新定例MTGファイルから決定事項・ネクストアクションを取得
  3. アジェンダファイル生成
    - 指定されたフォーマットでMarkdownファイルを自動生成
    - 処理中のチケットを優先表示
    - 各チケットの詳細状況を最新コメントから要約

  現在のチケット状況（例）：
  | チケットキー | ステータス |
  |--------------|------------|
  | SAMPLE-2     | 処理済み   |
  | SAMPLE-4     | 完了       |
  | SAMPLE-8     | 完了       |
  | SAMPLE-10    | 処理中     |
  | SAMPLE-11    | 完了       |
  | SAMPLE-24    | 処理中     |

  コマンドを実行すると、これらの情報を元にアジェンダが自動生成されます。

---
marp: true
theme: classmethod
paginate: true
title: Amazon S3 セキュリティベストプラクティス
description: AWS Knowledge MCP Serverで調査したS3セキュリティの包括的ガイド
---

<!-- _class: title -->
<!-- _paginate: false -->

![classmethod-logo w:400px](https://classmethod.jp/wp-content/themes/cmn/assets/images/common/logo_classmethod.svg)

# Amazon S3 セキュリティベストプラクティス

2024/12/16 AWS Knowledge MCP Server調査資料

---

<!-- _class: section -->
<!-- _paginate: false -->

## S3セキュリティの全体像
データ保護のための多層防御アプローチ

---

# S3セキュリティの3つの柱

Amazon S3のセキュリティは以下の3つの柱で構成されています：

## 1. **アクセス制御**
- IAMポリシー、バケットポリシー、ACL（非推奨）

## 2. **データ保護**
- 保存時の暗号化、転送中の暗号化

## 3. **監視・監査**
- CloudTrail、S3サーバーアクセスログ、AWS Config

---

<!-- _class: section -->
<!-- _paginate: false -->

## アクセス制御
最小権限の原則を実現する

---

# ACLを無効化する

S3 Object Ownershipを使用してACLを無効化することを推奨

## なぜACLを無効化するのか？

- 現代のユースケースではACLは不要
- ポリシーベースのアクセス制御がよりシンプルで管理しやすい
- 異なるAWSアカウントからアップロードされたオブジェクトも一元管理可能

## 推奨設定

```
Bucket owner enforced（バケット所有者強制）
```

新規バケットではデフォルトでACLが無効化されています

---

# S3 Block Public Access

パブリックアクセスを確実にブロックする設定

## 4つのブロック設定

| 設定 | 説明 |
|------|------|
| BlockPublicAcls | パブリックACLの追加をブロック |
| IgnorePublicAcls | 既存のパブリックACLを無視 |
| BlockPublicPolicy | パブリックポリシーの追加をブロック |
| RestrictPublicBuckets | パブリックアクセスを制限 |

## ベストプラクティス

- **アカウントレベル**で全てのブロック設定を有効化
- AWS Organizationsで**組織全体**に適用可能

---

# 最小権限の原則

必要最小限のアクセス権限のみを付与する

## 実装方法

- **IAMポリシー**: ユーザー/ロールに対する権限
- **バケットポリシー**: リソースベースの権限
- **VPCエンドポイントポリシー**: VPC経由のアクセス制御
- **SCPs/RCPs**: 組織レベルの権限境界

## 確認ポイント

```json
// 避けるべき設定例
"Principal": "*"           // 誰でもアクセス可能
"Action": "s3:*"          // 全アクション許可
```

---

# IAMロールの使用

長期認証情報ではなく一時認証情報を使用する

## なぜIAMロールを使うのか？

- アクセスキーの漏洩リスクを排除
- 自動的な認証情報のローテーション
- EC2、Lambda、ECSなどから安全にS3へアクセス

## アンチパターン

- アプリケーションコードに認証情報をハードコード
- EC2インスタンスにアクセスキーを配置

---

<!-- _class: section -->
<!-- _paginate: false -->

## データ保護
暗号化による多層防御

---

# 保存時の暗号化（Server-Side Encryption）

2023年1月5日以降、全ての新規オブジェクトはデフォルトで暗号化

## 暗号化オプション

| オプション | 説明 | ユースケース |
|-----------|------|-------------|
| **SSE-S3** | S3管理キー | デフォルト設定 |
| **SSE-KMS** | KMS管理キー | 監査・きめ細かい制御 |
| **DSSE-KMS** | 二重暗号化 | 高度なコンプライアンス |
| **SSE-C** | 顧客提供キー | 特殊要件のみ（非推奨） |

## 注意事項

- 2026年4月以降、SSE-Cはデフォルトで無効化予定
- SSE-KMSはクロスアカウントアクセス時に有効

---

# 転送中の暗号化

HTTPS（TLS）を強制してデータを保護

## バケットポリシーでHTTPSを強制

```json
{
  "Condition": {
    "Bool": {
      "aws:SecureTransport": "false"
    }
  },
  "Effect": "Deny"
}
```

## サポートされるTLSバージョン

- TLS 1.2 および TLS 1.3
- ポスト量子暗号（ML-KEM）もサポート

---

<!-- _class: section -->
<!-- _paginate: false -->

## データ保護の強化
誤削除・改ざんを防ぐ

---

<!-- _class: content-image-right content-60 -->

# S3 Versioning

オブジェクトの複数バージョンを保持

![w:400px](https://d1.awsstatic.com/product-marketing/S3/S3_Object-Versioning.d8d66a47f24fb6bf9d51a2bf40c9e87a62ae0dd8.png)

## メリット

- 誤削除からの復旧
- 上書きされたデータの復元
- アプリケーションエラーからの回復

## AWS Config ルール

```
s3-bucket-versioning-enabled
```

---

# S3 Object Lock

WORM（Write Once Read Many）モデルでデータを保護

## 保持モード

| モード | 説明 |
|--------|------|
| **Governance** | 特定のIAM権限で削除可能 |
| **Compliance** | 誰も削除不可（rootユーザーでも） |

## ユースケース

- CloudTrailログの保護
- コンプライアンス要件への対応
- ランサムウェア対策

---

<!-- _class: section -->
<!-- _paginate: false -->

## ネットワークセキュリティ
VPCエンドポイントによる保護

---

# VPCエンドポイントの活用

インターネットを経由せずにS3へアクセス

## メリット

- パブリックインターネットを経由しない
- データ流出（Data Exfiltration）の防止
- バケットポリシーでVPCエンドポイントを指定可能

## バケットポリシー例

```json
{
  "Condition": {
    "StringNotEquals": {
      "aws:SourceVpce": "vpce-1234567890abcdef0"
    }
  },
  "Effect": "Deny"
}
```

---

<!-- _class: section -->
<!-- _paginate: false -->

## 監視と監査
セキュリティインシデントの検知

---

# CloudTrailによる監査

S3へのAPIコールを記録・監視

## 記録される情報

- 誰が（Who）: IAMユーザー/ロール
- 何を（What）: 実行されたAPIアクション
- いつ（When）: タイムスタンプ
- どこから（Where）: ソースIPアドレス

## 重要な監視対象アクション

```
PutBucketPolicy, PutBucketAcl,
PutObjectAcl, DeleteBucket,
PutBucketWebsite
```

---

# S3サーバーアクセスログ

バケットへのリクエストを詳細に記録

## 記録内容

- リクエスト元IP
- リクエストされたオブジェクト
- HTTPステータスコード
- エラー情報

## AWS Config ルール

```
s3-bucket-logging-enabled
```

セキュリティ監査とコスト分析に活用可能

---

<!-- _class: column-layout -->

# AWS マネージドサービスの活用

<div class="column">

## Amazon Macie

- 機密データの自動検出
- PIIの特定
- データ分類

</div>

<div class="column">

## AWS Security Hub

- セキュリティ設定の評価
- コンプライアンスチェック
- 一元的な可視化

</div>

<div class="column">

## Amazon GuardDuty

- 脅威検知
- 異常アクセスの検出
- S3保護機能

</div>

---

<!-- _class: section -->
<!-- _paginate: false -->

## まとめ
S3セキュリティチェックリスト

---

# S3セキュリティチェックリスト

## アクセス制御
- [ ] ACLを無効化（Bucket owner enforced）
- [ ] S3 Block Public Accessを有効化
- [ ] 最小権限のIAMポリシーを適用
- [ ] IAMロールを使用（アクセスキーの代わりに）

## データ保護
- [ ] SSE-S3またはSSE-KMSで暗号化
- [ ] HTTPSを強制（aws:SecureTransport）
- [ ] S3 Versioningを有効化
- [ ] 重要データにS3 Object Lockを適用

---

# S3セキュリティチェックリスト（続き）

## ネットワーク
- [ ] VPCエンドポイントの使用を検討
- [ ] バケットポリシーでVPCを制限

## 監視・監査
- [ ] CloudTrailでデータイベントを記録
- [ ] S3サーバーアクセスログを有効化
- [ ] AWS Configルールで継続的な監視
- [ ] Amazon Macieで機密データを検出

---

<!-- _class: all-text-center align-center -->

![w:450px](https://classmethod.jp/wp-content/themes/cmn/assets/images/common/logo_classmethod.svg)

# ご清聴ありがとうございました

参考: AWS公式ドキュメント「Security best practices for Amazon S3」