Kiroを組織導入する際に押さえておきたいガバナンス設定をまとめてみた

こんにちは、こーへいです。

KiroはGoogleアカウントなどですぐに個人利用を始めることが出来るのですが、本格的に組織として導入する場合はガバナンスを意識する必要がございます。

ライセンス管理、コスト統制、セキュリティなど押さえておくべきポイントがいくつかあるので本記事では、Kiroを組織で利用する際に設定すべきガバナンス項目を整理し、スムーズに組織導入できるようにまとめてみました。

まとめ

組織統制できる設定内容は以下となります。

Kiro cliやIDEにおける詳細設定、例えばrmコマンドの禁止やreadコマンドの許可、特定のパスへのアクセス禁止などの設定はローカルPCでの個別設定となるため、そこまで含めた統制をしたい場合は、ガイドラインも併用した組織運用を推奨いたします。

またcliとIDEでは一部設定ファイルが分かれるため、細かい設定を組織で適用する場合はそこの考慮も必要になります。

どこまで細かくルール化するかは企業方針によるとは思いますが、まずはKiro側で組織統制の効く設定をクイックに行い、徐々に細かい設定をチューニングすることをお勧めします。

前提：IAM Identity Center（IIC）で利用する

組織としてKiroを利用する場合は、IAM Identity Center（以下IIC）での利用を前提としましょう。

参考：Kiro 導入ガイド：始める前に知っておくべきすべてのこと

IIC上のアカウントでKiroを利用することで、以下のメリットがあります。

• ライセンスの集中管理 — AWSアカウント上でKiroライセンス管理をすることができる
• 請求の一本化 — 請求をAWSアカウントに寄せることができる
• データ保護 — コンテンツがサービス改善のために使用されない（公式ドキュメント）
• ガバナンス設定の統合管理 — コストやセキュリティ設定の一元管理が可能

参考：Kiro を組織で利用するためのセキュリティとガバナンス

事前もしくはKiroを有効化するときにIICを作成し、ユーザーを招待します。

そうすることでKiro側からIICのユーザーにライセンスを付与することができます。

参考：IAM Identity Center を使用した Kiro のセットアップ

KiroをIICで使用することで、AWSの中だけでライセンス管理を完結させることができます。

クレジット払いの個人プランでは、各メンバーがそれぞれ有効化して利用するため、利用状況の把握漏れが発生しがちです。IICを使うことで、こうした把握漏れを防ぐことができます。

組織で統制できる設定

ここからは、管理者が組織レベルで設定できる項目を見ていきます。

ユーザー管理

IAM Identity Center（IIC）

組織導入の際はKiroはIICを前提とした利用となります。

Organizations環境を利用している場合はSCPなどでKiroを有効化するアカウントを制限することで、Kiro利用者の把握漏れを防止しやすくなりより安全に運用することができます。

API Key

CIなどマシンからKiroを呼び出す際に使用することが可能なAPI Keyですが、要件がなければオフにしておきましょう。 意図しない場所からのアクセスを防ぐことで、セキュリティを担保できます。

参考：Kiro CLI 2.0 のヘッドレスモードを試してみた — API キー認証でエージェントを非対話実行

監査ログや利用傾向などの把握

プロンプトログ

プロンプトのログを取得・分析する機能です。会社のセキュリティ要件によって取得すべきか判断してください。

注意点として、ログ保管料金がかなり高額になる可能性があります。コストとの兼ね合いで判断するのが現実的ですが、「機能として存在すること」自体がセキュリティ監査で意味を持つケースもあります。

なのでまず存在自体を把握し、個人的には一旦は無効化、必要に応じて有効化で良いと思います。

参考：Kiro のプロンプトログを解析して業務日報のたたき台を作ってみた

利用状況ダッシュボード

デフォルトでは組織レベルのクレジット使用量を確認できます。ユーザー別の使用量を確認するには、別途S3にレポートデータを出力する設定が必要です。

組織の要件に合わせて取得を検討してください。

参考：Kiro ユーザーアクティビティレポートを使ってユーザーごとのクレジット使用量を集計してみた

コスト管理

コスト超過設定

無制限に使われるのを防ぐため、まずはコスト超過をオフにすることをおすすめします。超過分は実質料金が倍になるためです。

運用としては、超過オフの状態で最適なライセンスティアを付与する形がベストです。最近Pro+ライセンスにも対応したので、ある程度柔軟に対応できるようになりました。

参考：KiroにPro Maxプランが追加、損益分岐点はどう変わる？4プラン体制でコスト最適化を再試算してみた

データ管理

Data protectionにも記載の通りエンタープライズユーザー(IICによるKiro利用)はデータを学習に使われることはありません。

We do not use content from Kiro enterprise users for service improvement.
Kiroエンタープライズユーザーのコンテンツをサービス改善のために使用することはありません。(機械翻訳)

暗号化キー

Kiroの利用におけるチャットなどのデータ保存時にカスタマーマネージドキー（CMK）を設定することが可能です。ただし、基本的にはデフォルト（AWS管理キー）で十分でしょう。コンプライアンス要件でCMKが必須な場合のみ設定してください。

MCPサーバーの制限

組織で使用できるMCPサーバーを制限することが可能です。意図しないMCPサーバーへの接続を防ぐことで、データ漏洩リスクを軽減できます。

以下の記事にて詳しいのでぜひご確認ください。

参考：[アップデート] IAM Identity Center 統合された Kiro で管理者が MCP サーバーやモデルのガバナンス設定ができるようになりました

個別の設定

ここからは組織統制ではなく、個別のマシンごとの設定です。

必要に応じてガイドラインを策定し、運用で補完する形で組織の統制を効かせてください。以下は例です。

• 機密情報の読み取り禁止
• 過剰な権限のコマンド禁止(rm -rf .*など)
• planモードのデフォルト利用
• タスク完了時の通知設定

など、この辺りはある程度クイック設定が固まってきたらcli版からブログにまたまとめようと思います。

終わりに

Kiroを組織導入する際のガバナンス設定を整理しました。

以上です。組織の規模や要件に合わせて、段階的に設定を有効化していくのがおすすめです。