データ主権とリージョンの制御

個人データや規制の対象のデータには、「この国 () の外に置いてはいけない」という要件が付くことがあります。データ基盤では、本番のデータだけでなく、バックアップ、レプリカ、ログ、一時ファイルもその範囲に入ります。 DEA では、許可されていないリージョンへのバックアップやを防ぐ仕組み (、の) と、データの所在を保つ設計が問われます。

Point

データ主権 (data sovereignty) は、データが保存されている国の法律に従うという考え方です。
データレジデンシー (data residency) は、データを特定の地域・国の中に保存するという要件です。
SCP = Service Control Policy の略で、AWS Organizations で OU やアカウントに付ける、権限の上限を決めるポリシーです。
和訳
- Sovereignty: 主権
- Residency: 居住、所在
- Weblio英和辞書「sovereignty」

概要

AWS では、利用者が選んだにデータが保存され、利用者が明示的に複製しない限り他のリージョンへは移りません。そのため、データ主権の対策は「許可されていないリージョンでリソースを作らせない」「リージョンをまたぐ複製の設定をさせない」「守られていることを継続的に確かめる」の3つになります。

見るポイント	代表的な判断
アカウント・組織の全体で止めたいか	やのリージョン拒否のコントロールを使います。
特定の操作 (リージョンをまたぐ複製) だけを止めたいか	その操作のを SCP で拒否します。
すでにあるリソースの違反を見つけたいか	のルールで評価します。

主要技術

①SCP によるリージョンの制限 ⚠️ 頻出

aws:RequestedRegion 条件キーは、リクエストの宛先のを表します。許可するリージョン以外へのリクエストを拒否するをに付けると、その OU のすべてのアカウントで、の権限に関係なく他のリージョンにリソースを作れなくなります。

{
  "Effect": "Deny",
  "NotAction": ["iam:*", "organizations:*", "sts:*", "cloudfront:*", "route53:*", "support:*"],
  "Resource": "*",
  "Condition": {
    "StringNotEquals": {"aws:RequestedRegion": ["ap-northeast-1", "ap-northeast-3"]}
  }
}

押さえること	内容
グローバルなサービスの除外	IAM、、、などは米国東部 (バージニア北部) のを使うため、`NotAction` で除外しないと使えなくなります。
管理用のロールの除外	例外が必要な管理ロールは、`aws:PrincipalArn` の条件で除外します。
SCP の効き方	SCP は権限を与えず、上限を決めるだけです。管理アカウントには効きません。

②AWS Control Tower のリージョン拒否のコントロール

は、複数アカウントの環境 (ランディングゾーン) に (コントロール) を一括で適用するサービスです。

コントロール	範囲	内容
ランディングゾーンの拒否	ランディングゾーン全体	管理対象のリージョン以外へのアクセスを拒否します。ごとには設定できません。
OU に適用するリージョン拒否	指定した OU	特定の OU だけ、許可するリージョンを絞ります。

いずれも内部ではで実装されます。ホームリージョンは拒否できず、やなどのグローバルなサービスは除外されます。有効にする前に、拒否するリージョンに既存のリソースがないことを確かめます (有効にするとアクセスできなくなります)。

コントロールの種類	例
予防 (preventive)	SCP でリージョンや操作を拒否します。
検出 (detective)	のルールで違反を検出します。
事前 (proactive)	のフックで、作成前に設定を検査します。

③バックアップ・レプリケーションの複製先を制御する ⚠️ 頻出

をまたいでデータが複製される機能は多くあります。どれも要件に反するリージョンへ向けないことが必要です。

機能	リージョンをまたぐ複製	防ぎ方の例
	クロスリージョン (CRR)	許可リージョン外に宛先のを作らせない。レプリケーションの設定の操作を限定します。
	別リージョンのバックアップボールトへのコピー	許可リージョン外にボールトを作らせない SCP。バックアッププランのコピー先を許可リージョンにします。
	の別リージョンへの自動コピー	スナップショットのコピーを有効にする操作を SCP で拒否します。
・	リージョンをまたぐ、Aurora グローバルデータベース	複製の作成先を許可リージョンに限定します。
		レプリカのリージョンを許可リージョンに限定します。
	キー	レプリカのキーを許可リージョン外に作らせません。
	シークレットのレプリカ	レプリカのリージョンを限定します。

Redshift のスナップショットのコピーを有効にする操作 (EnableSnapshotCopy) は、コピー先のリージョンを引数に渡して、複製元のリージョンのに対して呼びます。aws:RequestedRegion は複製元のリージョンになるため、リージョンを拒否する SCP だけでは止まりません。この操作そのものを SCP で拒否します。

予防だけでは漏れがありうるため、のルールで S3 のレプリケーションの設定やバックアッププランを評価し、で複製の設定の操作を監視します。

④データの所在を保つ設計

観点	設計の例
処理の場所	ジョブ、、を、データと同じ許可で動かします。別リージョンのサービスへデータを送って処理させません。
災害対策	許可される範囲内の2つのリージョン (例: 東京と大阪) の間で複製します。
	のキーをデータと同じリージョンに置きます。
ログと一時データ	のログ、のクエリ結果、Glue の一時ディレクトリも許可リージョンのに置きます。
外部への提供	共有 (、の共有) の相手のリージョンも要件の範囲か確かめます。
データの棚卸し	での所在を、Glue Data Catalog でデータセットの所在をつかみます。

試験対策

データ主権の問題では、「組織全体で予防する」なら・、「違反を見つける」なら、「誰が設定したか」なら、と役割を分けます。ポリシーだけで制限する選択肢は、管理者が自分で外せるため、組織の統制としては弱い答えです。

①判断マトリクス

問題文のキーワード	選ぶもの	理由
全アカウントで許可以外の利用を禁止	`aws:RequestedRegion` で拒否する	アカウントの管理者でも外せません。
の環境でリージョンを制限	リージョン拒否のコントロール	ランディングゾーン全体またはに適用します。
バックアップが許可外のリージョンへコピーされるのを防ぐ	許可外のリージョンでのボールト作成を SCP で拒否 + プランの見直し	コピー先を作れなくします。
のを別リージョンへ送らせない	スナップショットのコピーを有効にする操作を SCP で拒否	複製の設定自体を止めます。
許可外のリージョンへのの設定を検出	のルール	継続的に評価します。
は必要だが国外に出せない	国内の2つのリージョンの間で複製	所在の要件と可用性を両立します。
SCP を付けたらやが使えなくなった	グローバルなサービスを `NotAction` で除外	米国東部のを使うためです。

②よくある誤答

が権限を与えると考えること。SCP は上限を決めるだけで、許可はポリシーで与えます。
SCP で管理アカウントも制限できると考えること。管理アカウントには効きません。
で違反の操作を事前に止められると考えること。Config は検出と修復で、予防は SCP です。
バックアップやログ、一時ファイルの所在を忘れること。