## AWSのセキュリティは万全か？

皆さん、よくご存知のAWSはAmazonが展開する世界最大のクラウドサービスですが、セキュリティ面でも世界最高クラスのサービスが提供されています。そのため、AWSを利用する際には、利用者側で用意するものが無いと信じている方も少なくありません。確かに、AWSにはセキュリティ面でもさまざまな強固なセキュリティ対策が施されており、利用者側はセキュリティ対策が不要と考えがちですが、それは大きな誤りです。

**AWSには「責任共有モデル」と呼ばれるものがあり、利用者側もクラウド内のセキュリティ確保に一定の責任を負っています**。基本的に、AWSは不沈艦と言えるほどの強固なセキュリティによって守られていますが、搭乗員の健康管理に関しては自己管理と認識しておく必要があります。ここでは、*AWSのウィルス対策をはじめとするセキュリティ対策*について解説していきます。

### AWSを利用してセキュリティ事故を起こすとどうなる？

セキュリティ事故は、報道されないものを含めると膨大な件数があると言われています。自社の機密情報漏洩・サーバー攻撃によるサービス停止・データの改ざんや破壊などさまざまありますが、**最も影響が大きいのは個人情報の漏洩**です。

*個人情報が漏洩すると、顧客に直接被害が及び、企業のブランドイメージの失墜ばかりか、株価下落、売上低下、さらには顧客への補償などで、時には企業の経営そのものが危うくなることすらあります*。また、被害がAWSやAWS利用者に及び、*損害賠償請求を受けるリスク*もあります。これほどセキュリティ事故は多大な損害を被るということをまず認識しておきましょう。

AWSには「責任共有モデル」という考え方があります。**「責任共有モデル」は、AWSが提供する数々のインフラやサービスについて、AWSが直接責任を負うべき部分と、利用者が責任を負うべき部分を明確に分けて、責任の分界点を明らかにする考え方**です。*AWSが責任を負っている範囲は具体的にはハードウェア・ソフトウェア・ネットワーク関連・AWSのサービスを提供している施設（データセンター）*です。AWSの責任範囲で発生した障害や事故で、利用者に損害を与えた場合にはAWSが損害賠償責任を負います。

一方、AWSが提供しているサービス以外の部分が利用者側の責任範囲となりますが、責任を負う範囲は、AWSクラウドサービスの利用している範囲によっても異なります。

参照：*[責任共有モデル – アマゾン ウェブ サービス (AWS)](https://aws.amazon.com/jp/compliance/shared-responsibility-model/)*

「責任共有モデル」のAWS側の責任範囲について、もう少し詳しく述べます。「責任共有モデル」における**AWS側の責任範囲は、主にAWSサービスの基本となっているインフラの部分**です。以下、主な責任範囲を列挙します。

AWSの施設（データセンター）は、非常に強固な物理的セキュリティによって守られていますが、万が一、*データセンターそのものが災害などによって停止という事態に陥ると、他のAWSのデータセンターで処理を継続できるような仕組み*になっています。これを**ディザスタリカバリ（disaster recovery - DR）**と言います。この施設の管理はAWSの最初の責任範囲です。

### 2：インフラストラクチャの管理

AWSのデータセンター内には、さまざまなインフラ設備があります。*電源・空調・ネットワーク・サーバー・ストレージなどは24時間監視下にあり、冗長化も含めて完全無停止を前提に設計され、稼働*しています。**このインフラストラクチャの管理は、AWSの2つめの責任範囲**です。

### 3：ハイパーバイザー（ホストOS）

**AWSはホストOSの稼働を保障しています**。これがAWSの3つ目の責任範囲です。そのために*厳格なアクセス管理が行われるよう、多要素認証に基づき、外部からのアクセスが非常に厳しい仕様*となっています。利用者側が作業を完了した後は、都度システムへの付与特権とアクセス権を削除するとともに、全てのアクセスのログが保管される仕組みです。

AWSの「責任共有モデル」では、**AWSが提供しているサービス以外の部分はユーザー側で責任**を負うことになります。

IaaSのようなホスティングサービスでは、**ゲストOSの管理や運用は利用者側の責任範囲**です。

*仮想サーバーであるAmazon EC2 インスタンスを利用する場合は、ゲストOSの更新・セキュリティパッチの適用・アプリケーションなどの管理・ファイアウォールの構成については利用者が責任を負う*形となります。

Amazon EC2 のサービスはIaaS（Infrastructure as a Service ）のため、**ネットワークの設定を含むセキュリティ構成や管理は利用者側の責任**で行う必要があります。

Amazon EC2では、利用者がEC2のインスタンス内に**インストールしたアプリケーションは、利用者側で管理したり、運用したりする責任**を負います。

**AWSサービスの中で扱うデータは、暗号化を含めてそのデータの管理は利用者責任**となります。また、データはオーナー（利用者）以外の者がその管理方法を決めることはできません。

前記のデータの暗号化と同様、AWSのサービスの利用者の**アカウント・アカウントに紐づくシステム・利用者側のデータに対するアクセス権限の管理や運用も、利用者が責任をもって行う**必要があります。

## AWSで利用者が行うべきセキュリティ対策とは

では、これらの問題を防ぐための対策としては、どのようなものがあるのでしょうか？ここでは、**AWSを使用する際の具体的なセキュリティ対策**をご紹介します。詳しくは、*[AWS アカウントのセキュリティを改善するための 10 個の項目](https://aws.amazon.com/jp/blogs/news/top-10-security-items-to-improve-in-your-aws-account/)*を参照してください。

### セキュリティグループをしっかり設定する

利用者に際して、まず初めに**セキュリティグループの設定**を行いましょう。*AWSが標準装備しているファイアウォールのことをセキュリティグループと称し、EC2インスタンスに対して適用*します。

セキュリティグループでは、EC2インスタンスへの*アクセス許可の範囲とトラフィックの制御*が行えます。特に開発環境ではセキュリティ被害に遭いやすい傾向があるため、*インバウンドルール（アクセス制限のルール）は厳しく設定*し、必要がない人には公開しないことです。

### 認証情報を定期的に確認し、無効化する

ログの管理も重要なセキュリティ対策の1つです。**定期的に認証情報を確認し、怪しい認証がないかどうか確認**しましょう。また、1度発行したIDで90日間以上利用されていないものは、確認をとって削除するようにします。休眠状態のIDが不正アクセスに利用されるケースがよくありますので、*不要なIDは極力使わない*ようにすべきです。

さらに、*ソフトウェアのバージョン管理もしっかり行いましょう*。セキュリティに脆弱性が発見されると、その脆弱性が攻撃の標的になりがちです。セキュリティパッチの有無を定期的にチェックし、ソフトウェアのバージョンを常に細心に保つことが重要です。

### マルウェア・ウィルス対策を施す

AWSは強固なセキュリティ対策が施されているとはいえ、インターネットに向けて公開された環境にあります。ソフトウエアの脆弱性を利用して、*マルウェアやウィルスなどの不正プログラムが侵入してくるリスクはゼロではありません*。また、自社のシステム内で利用しているメールシステムやWebシステムを経由してウィルス感染するリスクもあります。**マルアェア対策、コンピューターウィルス対策は利用者の責任と心得て、アンチウィルスソフトなどの適用を図る**必要があります。

### 多要素認証（MFA）を利用する

**MFAとは、簡単に言えば2段階認証のような仕組み**です。一般によく使われるログインIDとパスワード認証に加えて、さらにもう別の認証要素を組み合わたものです。*これを有効にしておくと、第三者による不正ログインを防ぐ*ことができます。

上記以外にもセキュリティレベルを高めるための方法は幾つかあり、AWSは10項目のセキュリティ対策を提唱しています。その他には**脆弱性診断サービスを利用して、自社のシステム特有の脆弱性がないか否かを検証することが求められます**。AWSには脆弱性診断のオプションサービスとして*[Amazon Inspector](https://aws.amazon.com/jp/inspector/)*がありますので、こちらを利用しても構いませんし、自社の協力会社などのサービスを利用しても構いません。いずれにせよ、*自社システムの脆弱性を定期的に診断することで、セキュリティの強化を図る*ことができます。

## AWSを正しく利用し、クラウド利用の効果を最大化しよう

いかがでしたか？AWSは鉄壁のセキュリティで守られているから、セキュリティ対策は不要と思われていた方にはがっかりされた方がいるかもしれません。しかし、実は*AWSはオンプレミスの場合と比べて、利用者側が行うべきセキュリティ対策はかなり限定されており、その負担も軽減されています*。セキュリティ基準の厳しい金融系のシステムでもAWSを利用しているほどです。

AWSは直ぐに利用できて大変便利なクラウドサービスですが、*利用する側がセキュリティ管理を疎かにすると、大きな事故につながる可能性を排除することはできません*。AWS側は、AWSの責任による事故などは補償をしますが、逆に利用者側の責による事故に対して一切補償はありません。さらに、事故がAWSや他の利用者に影響を及ぼした場合は、損害賠償請求の可能性を否定できません。

**AWSは「責任共有モデル」という両者の責任の分界点を明確にしています。つまり双方が責任の分担をしなければ、安全の確保やセキュリティの担保ができないということ**です。セキュリティ確保の責任は、この記事をお読みになったITエンジニアの皆さん1人1人にあるという自覚を持ち、AWSを正しく利用して、その*利用効果の最大化*を図っていきましょう。

AWSは強固なセキュリティ対策が施され、ユーザー側はセキュリティ対策が不要と考えがちですが、これは大きな誤りです。AWSは「責任共有モデル」により、ユーザーもクラウド内のセキュリティに一定の責任を負います。ここでは、AWSのウィルス対策について解説します。

AWSには「責任共有モデル」という考え方があり、セキュリティ対策の責任はそれぞれが負うことになっている

AWS利用で、利用者側の対策不備によってセキュリティ事故が発生した場合は利用者がその全ての責任を負う

セキュリティ対策で利用者側が行うべき10の項目があり、これらを正しく行ってAWS利用効果の最大化を図ろう

AWSの利用で、セキュリティやウィルス対策の責任は誰が負う？

AWSの特徴は、*サービスの豊富さ*と*提供範囲の広さ*です。自社サービス提供エリアにおいて*均一なサービス*を提供するために、地域を**物理的なロケーション**に分割してサービス提供しています。その物理的なロケーション分割単位を「*リージョン*」と言います。

AWSは継続的にサービス提供地域を拡大し、その地域をカバーするリージョンを開設しています。
参考：[AWS グローバルインフラストラクチャ](https://aws.amazon.com/jp/about-aws/global-infrastructure/regions_az/)

### AWSのアベイラビリティゾーンとは？

AWSの*アベイラビリティゾーン（AZ）*とは、1つのリージョンを*冗長性・信頼性・可用性*を確保した、*1つ以上のデータセンター*で構成する単位を指します。アベイラビリティゾーンは、*複数の独立した場所*に設置されており、冗長的な電力源・ネットワーク、そして接続機能により*相互に接続され運用されています*。

*アベイラビリティゾーン*により、自然災害やデータセンター障害発生時においても**ビジネス影響を最小にすること**を目的としています。

### AWSのサービスエンドポイントとは？

AWSの*サービスエンドポイント*とは、AWSのサービスにプログラム接続するための**接続情報**を指します。具体的には、以下のリージョンエンドポイントに対して接続リクエストを発行します。

「*protocol://service-code.region-code.amazonaws.com*」

protocolはhttps等で、service-codeとは利用サービスの名称です。region-codeとは、指定するリージョンコードを指します。この*AWS サービスエンドポイント*を指定することで、リージョンとその提供サービスが利用可能となります。
参考：[AWS サービスエンドポイント](https://docs.aws.amazon.com/ja_jp/general/latest/gr/rande.html)

### AWSの日本におけるリージョンは？

日本では、2011年に*アジアパシフィック（東京）リージョン*が開設されサービス提供されています。この*アジアパシフィック（東京）リージョン*に加えて、2021年3月より*アジアパシフィック（大阪）リージョン*が開設されました。

*アジアパシフィック（東京）リージョン*は*4つのアベイラビリティゾーン*、*アジアパシフィック（大阪）リージョン*は*3つのアベイラビリティゾーン*を持ちます。共にAWSアジアパシフィックリージョンに属しており、日本ローカルのみならず、**アジア全域へのサービス提供**を行っています。

### AWSのリージョン指定方法は？

AWSのリージョンを指定する方法は、*AWS サービスエンドポイント*で*リージョンコード（region-code）*を指定します。また、Amazon Elastic Compute Cloud（Amazon EC2）を利用する場合は、Amazon EC2 コンソールからナビゲーションバーのリージョンセレクターより**該当リージョンを確認・指定**します。

日本のリージョンのリージョンコードは、*アジアパシフィック（東京）リージョン*は*ap-northeast-1*、*アジアパシフィック（大阪）リージョン*は*ap-northeast-3*となります。

AWSは世界の*25の地域*に対してリージョンを開設し、**サービス展開**しています。同様に*80のアベイラビリティゾーン*で展開しており、今後も*5つのリージョンと15のアベイラビリティゾーン*の**開設が計画**されています。以降で具体的なリージョン開設状況を説明していきます。

### AWSの初期のリージョン展開戦略は？

AWSでは、サービスの拡大や契約ユーザの増加に伴い順次リージョンを開設しています。サービス開始初期の*2006年から2010年*にかけて、以下の*4つのリージョン*が開設しました。これよりサービス開始時期においては**米国を中心にリージョンを開設**し、**サービス拠点の整備**を行っていたことが分かります。

*北米地域：2つのリージョン*
・米国東部（バージニア北部）リージョン（2006年）
・米国西部（北カリフォルニア）リージョン（2009年）
*南米地域：該当なし*
*欧州/中東/アフリカ地域：1つのリージョン*
・欧州（アイルランド）リージョン（2007年）
*アジアパシフィック地域：1つのリージョン*
・アジアパシフィック（シンガポール）（2010年）

*2011年から2015年*にかけては以下の*7つのリージョン*が開設し、*11のリージョン*となりました。この期間では、**米国の拠点整備や世界地域の整備**が進められていたことが伺えます。

*北米地域：2つのリージョン開設、合計4つのリージョン*
・米国西部（オレゴン）リージョン（2011年）
・GovCloud（米国西部）リージョン（2011年）
*南米地域：1つのリージョン開設*
・南米（サンパウロ）リージョン（2011年）
*欧州/中東/アフリカ地域：1つのリージョン開設、合計2つのリージョン*
・欧州（フランクフルト）リージョン（2014年）
*アジアパシフィック地域：3つのリージョン開設、合計4つのリージョン*
・中国本土（北京）リージョン（2013年）
・アジアパシフィック（シドニー）（2012年）
・アジアパシフィック（東京）リージョン（2011年）

### AWSの現行のリージョン展開戦略は？

直近となる*2016年から2021年*においては以下の*14のリージョンが開設*し、現在*25のリージョン*となっています。

*北米地域：3つのリージョン開設、合計7つのリージョン*
・米国東部（オハイオ）リージョン（2016年）
・GovCloud（米国東部）リージョン（2018年）
・カナダ（中部）リージョン （2016年）
*南米地域：1つのリージョン*
*欧州/中東/アフリカ地域：6つのリージョン開設、合計8つのリージョン*
・欧州（ロンドン）リージョン（2016年）
・欧州（パリ）リージョン（2017年）
・欧州（ミラノ）リージョン（2020年）
・欧州（ストックホルム）リージョン（2018年）
・中東（バーレーン）リージョン（2019年）
・AWS アフリカ（ケープタウン）（2020年）
*アジアパシフィック地域：5つのリージョン開設、合計9つのリージョン*
・中国本土（寧夏）リージョン（2017年）
・アジアパシフィック（大阪）リージョン（2021年）
・アジアパシフィック（ムンバイ）リージョン（2016年）
・アジアパシフィック（ソウル）リージョン（2016年）
・アジアパシフィック（香港）リージョン（2019年）

さらに、今後以下の*5つのリージョン*が開設を予定しており、合計*30のリージョン*を予定しています。

*北米地域：7つのリージョン*
*南米地域：1つのリージョン*
*欧州/中東/アフリカ地域：2つのリージョン開設予定、合計10のリージョン*
・欧州（スイス）リージョン
・欧州（スペイン）リージョン
*アジアパシフィック地域：3つのリージョン開設予定、合計12のリージョン*
・アジアパシフィック（ハイデラバード、インド）リージョン
・アジアパシフィック（ジャカルタ）リージョン
・アジアパシフィック（メルボルン）リージョン

このことより、*欧州並びにアジアパシフィック*において**継続的なAWSのリージョン開設**が進められており、今後も継続的なユーザ獲得の投資を予定していることが分かります。これはネットワーク網が整備され、*どの国からもサービス利用ができる環境*が整ったことが需要拡大を牽引しているためです。同様に、*法令順守*の観点で*国単位でコンプライアンス準拠*の必要性が高まっていることもリージョン開設の背景にあります。

## リージョン選択のおすすめポイントは？

リージョン選択にはいくつかのポイントがあります。最初のポイントとしては、自社の**サービスレベルが維持**できるか検討することです。具体的には、*想定レスポンス時間*がその*リージョンのSLA（Service Level Agreement）*で確保できるか確認します。同様に*レイテンシ*についても考慮し、サービス品質を確保します。

次のポイントとして、各リージョン毎に*サービス料金が異なる*ことが挙げられます。このサービス料金の違いを活用して**コスト削減が可能か検討**します。また、リージョン毎に*提供サービスが異なります*ので、必要とされるAWSのサービスが提供されているか確認しておきます。

以上を踏まえて、*サービスレベルやレスポンス時間*を想定して商用環境と開発環境を分けたり、*複数のリージョンを併用*したりすることで**コスト低減を図る**ことが可能です。同様に、*Amazon Elastic Compute Cloud （Amazon EC2）* で選択可能なインスタンスタイプも、リージョン毎に*提供可能なタイプに違い*が見られます。そのため、**コスト面と運用面を合わせて検討**することも重要と言えるでしょう。

### リージョン別のサービス詳細は？

AWSのリージョンで提供されるサービスは、*リージョン毎に異なります*。*需要の多いサービス*から順次取り入れていますので、各リージョン毎の提供サービスを比較し、**業務に必要なサービス連携を検討する**必要があるでしょう。
参考：[AWS リージョン別のサービス](https://aws.amazon.com/jp/about-aws/global-infrastructure/regional-product-services/?p=ngi&loc=4)

### リージョン選択の留意点は？

AWSでは登録アカウントにより*接続可能なリージョン*が限定されている場合があります。Amazon EC2の「Linux インスタンス用ユーザーガイド」によると、*ヨーロッパの法律要件*や*米国GovCloud*あるいは*中国*のアカウントでは別のリージョンへのアクセスが制限される旨が記載されています。この点も留意し、リージョンの比較検討を進めましょう。
参考：[AWS Amazon EC2 Linux インスタンス用ユーザーガイド リージョンとゾーン](https://docs.aws.amazon.com/ja_jp/AWSEC2/latest/UserGuide/using-regions-availability-zones.html)

このように**法令順守**の観点では国や地域により、*SLAや遵守事項*に違いがあります。AWSのサービス活用により提供するコンテンツやデータの保存先や保存方法等を確認し、**適正化**を図りましょう。

## 世界地域をカバーするAWSのリージョンを有効活用し最適なサービスを選択しましょう

AWSは自社クラウドサービスの*利用者増をカバー*するために、積極的にリージョンを開設し*サービス品質を確保*しています。*デジタルトランスフォーメーション（DX）*が加速する中、AWSのサービス利用は注目されています。*AWSのリージョン*を有効活用し、**コスト最小に高品質のサービス構築**を進めましょう。

AWSは最大のクラウドサービス事業者です。利用者拡大に伴うサービス品質を確保するために地域をリージョンに分割して管理しています。ここでは、AWSのリージョンを詳しく解説し、リージョン選択のおすすめポイントについても説明していきます。

AWSのリージョンとは、AWSが管理する物理的なロケーション分割単位を指します

AWSの各リージョン毎に、料金や提供サービスに違いがあります

各リージョンを有効活用することで、コスト最小に高品質なサービスを利用することが可能です

AWSのリージョンとは？リージョン選択のおすすめポイントを解説

## AWSのマネージドサービスは？

AWSでは、*豊富なサービス*を提供しています。AWSは**企業ユーザの利用を推進するため**に、運用管理サービスを*AWS Managed Services（AMS）*として提供しています。
参考：[AWS Managed Services](https://aws.amazon.com/jp/managed-services/)

### マネージドサービスの目的は？

通常利用者は構築したシステムやサービスを*一定の水準に維持*するために、*運用管理*を通じて想定する機能や性能を維持していきます。しかし、その*運用管理コスト*は*システムやサービスの複雑性の高まり*により、*技術習得や蓄積あるいは障害対応プロセスの整備*等が**一層複雑**になっています。

*マネージドサービス*はその専門性を持つ*外部プロバイダーへ委託*することにより、運用管理をサービスとして受ける**アウトソーシングモデル**を指します。そのため、要求するサービス水準を*サービスレベルアグリーメント（SLA）*として**委託側と受託側で締結**します。

マネージドサービスは*システムインテグレータ各社*より提供されており、AWSにおいても2016年、*AWS Managed Services（AMS）*としてサービス提供を開始しました。

### マネージドサービスのメリットとデメリットは？

マネージドサービス利用の*メリット*は、自社で吸収しにくい*最新技術に追従*しやすく、求められる*サービス品質の維持*と*リスク管理の効率性が向上する*ことです。

*デメリット*は、自社の専門技術が向上せずに*マネージドサービスプロバイダーへの依存度が高まる*ことが挙げられます。そのため、コスト削減もある程度までは可能ですが、*マネージドサービス提供者の意向*に左右されてしまうリスクがあります。この傾向は*クラウド利用によりさらにサービス連携の専門知識*が高まりますので、**マネージドサービスプロバイダーへの依存度がより高まる**でしょう。

*AWSのマネージドサービス*である**AMSの特徴**は、以下のメリットをもたらします。

・*セキュリティ対応*
近年セキュリティ強化の必要性が高まっています。AMSではHIPAA・HITRUST・GDPR・SOC・NIST・ISO・PCI・FedRAMPのコンプライアンス要件に準拠するための機能を提供しています。

・*クラウド移行促進*
クラウド移行時に生じるアセスメント作業を効率的に実施するために、企業向け実証結果（ベストプラクティス）に基づくワークロード移行が可能です。AMS利用により、ITIL準拠の運用プロセス・フローを実現できます。

・*最新運用プロセスへの追従*
Enterprise DevOpsにより、企業向けワークロードからクラウドネイティブワークロードまで対応可能です。DevOpsとITILを統合した最新運用フローが定義できます。その結果開発者はアプリケーション開発に注力できます。

### AMSと一般的なマネージドサービスとの違いは？

AMSが実装しているサービスは、AWSのサービスで必要とされる*インフラ運用管理機能を提供*することです。*全ての作業がAMSで完結するものではなくアプリケーション開発やマルチクラウド運用等はカバーされていません*。そのため、*AWS マネージドサービスパートナー（AWS Managed Services Partners）*と言われる**認定パートナー制度**を用意しています。

実際の*運用管理は、マネージドサービスプロバイダーの作業が必要*となるので、この**認定AWS マネージドサービスプロバイダーの支援を受けるのが良い**でしょう。

AMSの*デメリット*ですが、AMSではサービス保証をするためにサポートされるOSやセキュリティ関連サービスが*限定されること*が挙げられます。

また、現在サポートされる言語は**英語のみ**なので、*グローバル企業*を中心としたサービス展開顧客が現在のAMSの*ターゲット層*と言えるでしょう。AMSが日本語整備されるまでの期間は、これまで同様にAWSサービスのマネージドサービスをメニュー提供する*外部プロバイダー*を活用していくのが良いでしょう。

AMSでは、**2つの運用プラン**を用意しています。

・*AMS Accelerate Operations Plan*
　AMSの基本プランです。サービスデスク・用監視・バックアップ管理・コスト最適化・ロギング・レポーティング・サービスデリバリ・パッチ適用・アクセス管理・セキュリティ管理からとなります。

・*AMS Advanced Operations Plan*
　AMSの基本プランに加えて、変更管理を用いた予防措置等を提供します。基幹業務向けプランです。サービスデスク・運用監視・バックアップ管理・コスト最適化・ロギング・レポーティング・サービスデリバリ・パッチ適用・ランディングゾーン（マルチアカウント）とアカウント運用・配布・変更管理・アクセス管理・セキュリティ管理・ITSMの統合運用からとなります。

それぞれ*提供サービスレベルが定義*されているので、詳しくは以下のリンクをご参照ください。
参考：[AWS Managed Services Accelerate](https://aws.amazon.com/jp/managed-services/features/accelerate-operations-plan/)
参考：[AWS Managed Services Advanced](https://aws.amazon.com/jp/managed-services/features/advanced-operations-plan/)

### AMSでカバーされる管理機能は？

AMSの2種類のプランでは、**契約に応じて**以下の項目について*サービスを受けられます*。

・*サービスデスク*
　SLAに応じた問い合わせ対応
・*運用監視*
　パフォーマンスと可能性の監視と修復
・*バックアップ管理*
　定期バックアップとリカバリー
・*コスト最適化*
　AWSの利用状況に応じた推奨事項の提供
・*ロギング*
　サービスログおよびシステムログの集約と保存
・*レポーティング*
　月次サービスレポートの提供
・*サービスデリバリ*
　保守・運用作業
・*パッチ適用*
　パッチ導入の実施と確認
・*ランディングゾーンとアカウント運用*
　認証、セキュリティ等のアカウント管理
・*配布・変更管理*
　サービスプロビジョニングと変更管理の提供
・*アクセス管理*
　ActiveDirectoryによるアクセス管理
・*セキュリティ管理*
　個人情報、機密情報の保護と流出ブロック
・*ITSMの統合運用*
　ServiceNowとお客様のITSMとの統合をサポート

詳しくは以下のリンクをご参照ください。
参考：[AWS Managed Services Features](https://aws.amazon.com/jp/managed-services/features/)

*AMSの料金体系*は、他のサービス同様に*従量制*の料金体系です。具体的な料金は、**利用サービスに応じて請求されます**。詳細は以下の問い合わせリンクからお問い合わせください。
参考：[AWS Managed Services- Contact Sales](https://pages.awscloud.com/AWS-Managed-Services.html)

### AMS マネージドサービスパートナーとは？

*AMS マネージドサービスパートナー*は、AMSを活用してAWS利用者のマネージドサービスを支援する**パートナー事業者**です。AWSが提供する*インフラ管理・セキュリティ・コンプライアンスコントロール機能*を用いて*コスト最適に運用監視していきます*。現在、以下の各社がパートナー登録を行っています。

・*2nd Watch*
　ネットワークに強みを持つ会社
・*アクセンチュア*
　戦略からコンサルティング、DX、運用まで多岐に対応可能
・*Alestra*
　ネットワークインフラサービスの提供
・*Cambrian Technologies*
　クラウドネイティブのシステムインテグレータ
・*Cloud Comrade*
　クラウドネイティブサービス企業
・*Contino*
　DevOpsとクラウドプラットフォーム
・*デロイト*
　クラウドテクノロジーからビジネス課題解決まで
・*ECS*
　金融向けアジャイル開発
・*InterVision*
　IT向け戦略的サービスプロバイダー
・*Lemongrass*
　SAP on AWS サービスプロバイダー
・*Mobilize Cloud*
　クラウドネイティブアプリケーション開発
・*Onica*
　ビッグデータ、AI分析
・*Premaccess*
　機械学習・サーバーレス・人工知能のコンサルティング
・*Singtel Group*
　日常的なタスク管理
・*Sirius Computer Solutions*
　テクノロジーソリューションインテグレータ
・*Slalom*
　戦略・テクノロジー・ビジネス変革コンサルティング
・*tecRacer*
　AMS再販パートナー
参考：[AWS Managed Services Partners](https://aws.amazon.com/jp/managed-services/partners/)

## AWSのマネージドサービスを活用して業務効率を高めましょう

AWSではこれまでのサービス提供に加えて、*AMS マネージドサービス*をラインナップに追加しました。現時点では*グローバル企業を中心とした利用*を想定しています。そのため*外部プロバイダーが提供するAWSのマネージドサービス*を**比較検討**しながら、*業務効率を高められるよう準備*を進めましょう。

AWSの特徴は、豊富なサービスを提供していることです。AWSの膨大なサービスを活用するために、外部マネージドサービスプロバイダーに運用委託することが増えています。ここでは、AWS自体が提供するマネージドサービスやメリット・デメリットについて解説します。

AWSのサービスを活用するためにマネージドサービスの活用例が増えています

AWSではAWS Managed Services(AMS)として自社マネージドサービスを発表しています

AMSの特徴を理解し、現行のマネージドサービスプロバイダーと比較することをお勧めします

AWSマネージドサービスの活用方法は？メリット・デメリットを解説

*AWS*は、*豊富なサービス提供*が特徴です。AWSでは初めて利用される方のために概念や利用方法を整理し、学習コンテンツとして提供しています。その学習コンテンツを「*チュートリアル*」と言います。また、スキルレベルに応じて学習コンテンツが用意されているので、経験者でも**チュートリアルが有効な学習方法**です。
参考：[AWS ご利用開始のためのリソースセンター](https://aws.amazon.com/jp/getting-started/)

AWSでは、**学習ステップに応じたコンテンツ**を提供しています。

・*ステップ1（AWSクラウドの理解）*
AWSの基礎情報を紹介動画や主要概念として情報提供しています。

・*ステップ2（初めてのアプリケーション起動）*
1時間程度で使い方がマスターできるラーニングパスが用意されています。
それぞれ「フルスタックデベロッパー」「DevOpsエンジニア」「組み込み分析デベロッパー」「フロントエンドデベロッパー」「AIアプリケーションデベロッパー」「データベース管理者」「趣味的ビルダー」「データサイエンティスト」の8分類のラーニングパスが紹介されています。

・*ステップ3（AWSの活用）*
さらに知識を高めるために「データベース」「Machine Learning」「サーバーレス」「コンピューティング」「コンテナ」「ストレージ」の6つのクラウドリソースについて詳細学習手順を紹介しています。

AWSの*クラウドレベル*とは、学習で**想定されるスキルレベル**を指します。具体的には、以下の4段階が定義されています。

・*レベル100 - Introductory*
　AWSのサービスと機能の概要レベル
・*レベル200 - Intermediate*
　サービスの詳細やデモ、ベストプラクティス等の共有、レベル100の理解度が前提
・*レベル300 - Advanced*
　特定のトピックスを深堀する
・*レベル400 - Expert*
　該当サービスを深い知っている方向け、複数のサービスを連携して設計・実装するレベル

チュートリアルでは、*レベル100からレベル300*までの学習コンテンツが用意されています。*レベル400*は、複数サービスとの連携やサービスの深い知識が求められるので、チュートリアルではカバーされていません。

## 具体的なAWS チュートリアルは？

**AWS チュートリアル一覧**は「*ご利用開始のためのリソースセンター *」の「*ハンズオンチュートリアル*」で表示されます。
参考：[AWS ご利用開始のためのリソースセンター ハンズオンチュートリアル](https://aws.amazon.com/jp/getting-started/hands-on/)

### AWS チュートリアルの一覧は？

AWS チュートリアルは「*カテゴリ*」「*クラウドレベル*」「*コンテンツタイプ*」から**フィルター表示させて選択します。**2021年5月時点の情報を「*各カテゴリ*」「*クラウドレベル100*」でフィルターした結果は、以下の通りです。

・*コンテナ*（レベル100-1件）
「最新のアプリケーションを構築」、2.5時間

・*コンピューティング*（レベル100-13件）
「Linux仮想マシンを起動」、10分
「WordPressウェブサイトを起動」、10分
「Windows 仮想マシンを起動」、10分
「EC2 スポットインスタンスを使用してAmazon EMR clustersのコストと規模を最適化する方法」、10-20分
「EC2 スポットインスタンスを使用した大規模なバッチジョブの実行」、10分
「独自のMinecraftサーバーを運用する」、10分
「Pythonウェブアプリをデプロイ」、45分
「.NETアプリケーションをホスト」、1時間
「LAMPスタックウェブアプリケーションを構築」、1時間
「Drupalウェブサイトを構築」、1時間
「WordPressウェブサイトを起動および設定」、10分
「LAMP ウェブサイトを起動および設定」、10分
「Windows Server 2016インスタンスを起動および設定」、10分

・*データベース*（レベル100-9件）
「NoSQL テーブルを作成してクエリを実行」、10分
「Amazon DocumentDB（MongoDB互換）およびAWS Cloud9を使用してドキュメントデータベースをセットアップする」、10分
「サーバーレスアプリケーションの構築」、10-20分
「アプリケーション開発を加速する高速データベースクローニングおよびバックトラッキング」、10分
「変動するアプリケーションの要求を満たすために MySQL データベースをAuto scaling」、10分
「Amazon RDSでWordPressをデプロイ」、50分
「Amazon ElastiCache for Redisを使い、MySQLデータベースのパフォーマンスを向上させる」、2時間
「Amazon RDSでDrupalをデプロイ」、50分
「非リレーショナルデータベースを作成および管理」、2時間

・*開発ツール*（レベル100-3件）
「EC2 インスタンスでリモートからコマンドを実行」、10分
「Git リポジトリを AWS に移行」、30分
「AWS の開発ツールサービスの概要」、5分

・*Machine Learning*（レベル100-14件）
「深層学習の紹介」、20分
「深層学習モデルをトレーニング」、10分
「顔を検出・分析・比較」、10分
「Amazon SageMaker Autopilotを使用して機械学習モデルを自動作成する」、10分
「WordPress で作成したウェブサイトに音声を追加」、10分
「テキストの感情を分析」、10分
「AWS DeepLensプロジェクトを作成」、10分
「AWS DeepLensプロジェクトを拡張」、10分
「動画分析とリッチメタデータ抽出」、10分
「言語間でテキストを翻訳」、10分
「AWS Deep Learning AMI を起動」、10分
「機械学習モデルを構築・トレーニング・デプロイ」、10分
「進化するボット」、1.5時間
「音声を文字起こしする」、10分

・*モバイル*（レベル100-1件）
「ReactJS アプリをデプロイおよびホスト」、10分

・*サーバーレス*（レベル100-11件）
「「Hello, World!」をサーバーレスで実行」、10分
「サーバーレスのウェブアプリケーションを構築」、2時間
「ウェブアプリケーションをデプロイし、APIやデータベースとのインタラクティビティを追加する」、35分
「AWS Batchおよ AWS Step Functionsを組み合わせて、動画処理ワークフローを作成する」、10分
「分散されたアプリケーション間でメッセージを送信」、10分
「ファンアウトイベント通知を送信」、10分
「トピックにパブリッシュされたメッセージをフィルタ」、10分
「キューベースのマイクロサービスのオーケストレーション」、10分
「「最初に対応する」タスクリクエストのファンアウトパターンを作成」、10分
「サーバーレスアプリケーションでエラーに対処」、10分
「サーバーレスワークフローをスケジューリング」、10分

・*ストレージ*（レベル100-3件）
「静的ウェブサイトをホスト」、30分
「ファイルを保存および取得」、10分
「コンプライアンスアーカイブを設定」、1時間

・*アカウントの管理*（初級として1件）
「Service Quotasを使ってアカウントのservice quotasを増加する」、10分

### おすすめのAWS チュートリアルは？

チュートリアルの件数は非常に多いので、*クラウドレベル100*の中で*10分あるいは10〜20分*程度のハンズオン・動画コンテンツをお勧めします。**AWSにサインアップ**することで学習コンテンツが利用可能です。一部のコンテンツは*無料利用枠の対象*となっていますので有効活用しましょう。

なお、カテゴリとしては**利用想定サービスを中心に学習する**ことをお勧めします。または、ニーズの高い「*コンピューティング*」や「*ストレージ*」のカテゴリを用いて知識吸収を進めましょう。

次に、*30分や1時間等長めのコンテンツ*を活用し、理解を深めましょう。そして上位である*レベル200やレベル300*のコンテンツを使ったり、*他のカテゴリー*を学習したり**総合力を高めるのが良いでしょう**。

### レベル100以外のAWS チュートリアルは？

ここでは、2021年5月時点の*レベル200および300*についても触れていきます。
*レベル200*のAWS チュートリアルは以下の通りです。

・*コンテナ*（レベル200-1件）
「Kubernetesアプリケーションをデプロイ」、30分

・*コンピューティング*（レベル200-4件）
「WordPressウェブサイトを構築」、1時間
「負荷分散された WordPressウェブサイトを作成する」、1時間
「クラウドにデスクトップをプロビジョニング」、2日間
「Linux 踏み台ホスト」、5分

・*データベース*(レベル200-4件）
「Amazon DynamoDBとAmazon SNSを使用しターン制ゲームを構築」、2.5時間
「Amazon ElastiCache for Redisを使い、オンラインアプリケーション用の高速セッションストアを構築する」、2時間
「高速なクロスリージョン災害対策および低レイテンシーのグローバル読み取り」、10分
「Amazon DynamoDBを使用したゲームアプリケーションのデータモデリング」、2時間

・*開発ツール*（レベル200-2件）
「サーバーレスのアプリをローカルでデバッグ」、1時間
「Jenkins ビルドサーバーを設定」、45分

・*サーバーレス*（レベル200-2件）
「Amazon Auroraサーバーレスによるゲームの在庫システム」、2.5時間
「Amazon SNS メッセージをプライベートに発行する」、20分

・*ストレージ*（レベル200-1件）
「テープをクラウドストレージに置き換える」、40分

*レベル300*のAWS チュートリアルは以下の通りです。

・*コンテナ*（レベル300-1件）
「機械学習トレーニングの最適化とスケーリング」、10-20分

・*データベース*（レベル300-3件）
「Amazon DynamoDBを使用してモバイルアプリ向けのデータベースを設計」、3時間
「Oracle から Redshiftに移行」、2時間
「Oracle から Amazon Auroraに移行」、2時間

・*Machine Learning*（レベル300-1件）
「機械学習トレーニングの最適化とスケーリング」、10-20分

・*サーバーレス*（レベル300-1件）
「Amazon Aurora Serverless Amazon ElastiCacheを使用してリアルタイムなリーダーボードをビルドする」、3時間

レベル100の学習後は、*レベル200やレベル300*のチュートリアルの**コンテンツに挑戦**してみましょう。

## 豊富なAWSのチュートリアルを有効活用し、スキルアップに役立てましょう

AWSは*豊富なサービス*を提供しています。しかし、何から手を付ければよいのか分からない方も多いと思います。今回紹介したAWSのチュートリアルでは、*初心者から経験者*まで*多様なレベルの学習コンテンツ*が用意されています。自身の知識を保管するためにも**チュートリアルを活用**し、**AWSの最適なサービス利用**を進めましょう。

AWSはサービスが豊富なために、何から始めればいいのか迷う方も多いですよね。AWSではサービスの概要や機能を紹介し、学習に役立てられる「チュートリアル」というコンテンツを用意しています。ここでは、AWSのチュートリアルを紹介し、有効な活用方法を説明します。

AWSでは学習コンテンツをチュートリアルとして提供しています

チュートリアルはカテゴリとレベルに分類して初心者から経験者まで利用可能です

チュートリアルは無料利用枠を設定しているものもありますので、活用をお勧めします

AWSのサービス利用方法に迷ったら！チュートリアルの活用

AWSでは、*アカウント管理*に*AWS Identity and Access Management（IAM）*を用います。*AWSのスイッチロール*とは、複数のAWSアカウントを利用する場合にアカウント権限を*ロールとして付与*することで、*ログイン処理の手間を削減*し**AWSアカウントの利用効率を高める**ことができます。

通常システムは開発環境やテスト環境、そして本番環境等に分類されて運用されています。この際、*アクセス権限*をその*環境に適した制限*を加えたり、*業務に応じたロール*を設定したりします。

ここで、事業規模が大きいシステム運用の場合を考えてみます。その場合、本番環境も目的に応じて*複数のサーバー機能*を持ちますし、*開発担当者・テスト担当者・業務担当者*がいるためそれぞれの管理者の**ユーザー数は膨大**になってしまいます。通常アカウントは、サービス毎の*AWSアカウントID・ユーザー名・パスワード*を用います。そのため、管理するシステムが複数の場合は都度*現行システムアカウントのログアウト*・*移動先システムのログイン*を**煩雑に実行**しないといけません。

### AWSのスイッチロールの具体的なメリットは？

先ほどAWSのアカウント運用の概要をお話し、AWSアカウントの管理の大変さは伝わったと思います。担当者がチーム再編で解散したり、担当変更による離任・着任が多く発生したりするケースでは、*アカウントの追加・削除*だけでも**非常に多くの工数**が発生します。加えて、管理者が*複数のプロジェクトを同時に管理する*場合は、さらに多くのAWSアカウントを管理する必要が出てきます。

これらの複雑での手間のかかる**アカウント管理を簡素化**するのが、*スイッチロール*です。スイッチロールではAWSアカウントを*AWS IAM ユーザー*として管理し、*各開発環境やテスト環境等に応じたロール*を設定します。

利用例として、開発環境のアカウントからテスト環境のアカウントに移動する場合を考えてみます。その場合、ログイン済み開発環境アカウントで*テスト環境用*の*スイッチロールをクリック*することで、*テスト環境のロールに移動*します。同様に、他の環境へも*同一操作で移動*しますので*アカウントログインの手間*が**大幅に削減**され、**アカウント情報入力ミスが削減**できるでしょう。

## AWS スイッチロールの利用方法は？

AWS スイッチロールは簡単に利用できます。ロールを切り替えるには、*AWS マネジメントコンソール*の「*IAMコンソール*」を用います。その後、[Switch Role]の[*ロールの切り替え*]で**アカウントIDと与えられたロール名を入力するだけ**です。
元に戻るには、「IAM コンソール」で[XXXに戻る] を選択します。XXXは元のユーザー名です。
参考：[AWS Identity and Access Management ユーザーガイド ロールへの切り替え (コンソール)](https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)

なお、AWSアカウントの*ルートユーザー*の場合は*ロールを切り替えることはできず*、スイッチロールする際は*IAMユーザーとしてサインイン*が必要です。

### IAM コンソール以外のAWS スイッチロールの利用方法は？

IAM コンソール以外の**AWS スイッチロール方法**として、まず*AWS CLI*を用いてスイッチロールする手順を説明します。

（1）”aws configure”コマンドでアクセスキーID・シークレットアクセスキー・AWS リージョン・出力形式を一括初期設定（AWS CLIの初回のみ）
（2）UnixまたはLinuxの「.aws/config」ファイル、またはWindowsの「C:\Users\USERNAME\.aws\config」ファイルにプロファイル作成
（3）”aws iam list-users --profile YYYY”コマンドでロールの切り替え、ここでYYYYは（2）で作成したプロファイル名
（4）”aws iam list-users --profile”コマンドでロールを戻す、--profileの後はパラメータなし
参考：[AWS Identity and Access Management ユーザーガイド IAM ロールの切り替え (AWS CLI)](https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/id_roles_use_switch-role-cli.html)

*AWS API*を用いる場合は、*AssumeRole API*を用いて*アマゾンリソース名（ARN）*を引数で渡すだけです。AWS APIの場合は、*スイッチしたロールが終了*すると*自動的に元のアクセス許可*に戻ります。
参考：[AWS Identity and Access Management ユーザーガイド IAM ロールの切り替え (AWS API)](https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/id_roles_use_switch-role-api.html)

### AWS スイッチロール利用の事前準備は？

AWS スイッチロール利用のために、*AWS IAM*を用いて*ロールを設定*します。なお、AWS IAMは以下の方法で**アクセスが可能**です。

・*AWS マネジメントコンソール*
　ブラウザによるアクセス
・*AWS コマンドラインツール*
　AWS コマンドラインインターフェイス（CLI）またはAWS Tools for Windows PowerShell
・*AWS SDK*
　ソフトウェア開発キット（SDK）
・*IAM HTTPS API*
　HTTPSリクエストによるサービス接続
参考：[AWS Identity and Access ManagementI ユーザーガイド IAM とは](https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/introduction.html)

### IAM コンソールを用いたAWS IAM ロールの作成方法は？

*AWS マネジメントコンソール*を用いた**ロールの作成**は以下の手順で行います。

（1）AWS マネジメントコンソールからIAM コンソールを選択
（2）IAMのナビゲーションペインで[ロール]、[ロールの作成] の選択
（3）[別のAWS アカウント] の選択
（4）AWS アカウントIDの入力
（5）管理対象外アカウントのCLI利用時に[外部 ID が必要]を選択
（6）多要素認証（MFA）使用時に[MFAが必要]を選択、[次へ: アクセス許可]の選択
（7）ポリシーを選択、または[ポリシーの作成] 
（8）必要時[アクセス許可の境界の設定]、[次へ: タグ] を選択
（9）ロールへのタグ付けが必要であればタグ名を指定、[Next: Review]を選択
（10）[ロール名]を入力し[ロールの作成]を選択
参考：[AWS Identity and Access ManagementI ユーザーガイド IAM ユーザーにアクセス権限を委任するロールの作成](https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/id_roles_create_for-user.html)

###  IAM コンソール以外のAWS IAM ロールの作成方法は？

ここでは、* IAM コンソールを用いず*に*ロールを作成*していきます。*AWS CLIとAWS API*によるロールの作成手順を紹介します。共に同等の手続きに従いますので、**作業手順は同一**です。

最初に、*AWS CLI*を用いた手順を説明します。
（1）”aws iam create-role”コマンドでロールを作成
（2）”aws iam attach-role-policy”コマンドでマネージドアクセス許可ポリシーをロールにアタッチ
　（または”aws iam put-role-policy”コマンドでロールのインラインアクセス許可ポリシー 作成）
（3）必要時”aws iam tag-role”コマンドでカスタム属性をロールに追加
（4）必要時”aws iam put-role-permissions-boundary”コマンドでロールのアクセス許可の境界設定

続いて、*AWS API*によるロールの作成方法を説明します。
（1）CreateRole APIでロールを作成
（2）AttachRolePolicy APIでマネージドアクセス許可ポリシーをロールにアタッチ
　(またはPutRolePolicy APIでロールのインラインアクセス許可ポリシーを作成)
（3）必要時Tags Role APIでカスタム属性をユーザーに追加
（4）必要時PutRolePermissionsBoundary APIでアクセス許可の境界を設定

## AWSのアカウント切り替えをスイッチロールで効率的に進めよう

AWSのサービスも利用が進むと*複数アカウント管理*が求められてきます。*スイッチロール*はAWSのアカウント切り替えを*ロール単位*で行いますので、*複数の業務責任を持つ方*には**大変効率的**です。ぜひスイッチロールを体験していただき、*効率的なクラウド運用*を進めましょう。

AWSのサービス導入が進むと、権限を分けたアカウント管理が求められます。AWSのスイッチロールは、AWSアカウントの利用効率を高めることが可能です。ここでは、AWSのスイッチロールについて利用メリットや実際の設定方法について説明していきます。

AWSのスイッチロールとは、アカウント権限をロールとして付与しロール切り替えでサービス利用するものです

AWSのスイッチロールで、複数アカウントのログイン・ログアウト処理せずアクセス権限が付与されます

AWSのスイッチロールはコンソール操作の他、CLIやAPIでも対応可能で柔軟な運用が可能です

AWSのスイッチロールとは？そのメリットと設定方法を解説！

AWSの記事（17ページ目）