5.2セキュリティとコンプライアンスのサービス

AWS には多くのセキュリティサービスがあり、名前だけ覚えると混乱します。コツは「何のためのサービスか（目的）」で5つに束ねること——検出・監査／保護／データ保護／ID／コンプライアンス。この地図さえ持てば、新しいサービス名が出てもどの箱に入るか判断できます。

5.2.1検出・監査

• CloudTrail：アカウント内の API 操作の監査ログを記録（誰が・いつ・何をしたか）。
• AWS Config：リソースの構成を記録し、ルールへの準拠状況を評価する（構成の変化を追える）。
• Amazon GuardDuty：ログを分析して脅威を自動検出。結果を一元化する Security Hub、脆弱性スキャンの Amazon Inspector、S3等の機密データ検出の Amazon Macie も同じ「検出」系。

5.2.2保護とデータ保護

• AWS WAF：Web アプリを不正リクエスト（SQLインジェクション等）から保護。AWS Shield：DDoS 攻撃から保護。
• AWS KMS：暗号鍵の作成・管理（保存/転送データの暗号化）。AWS Secrets Manager：API キーやパスワードなどのシークレット管理（自動ローテーション）。

5.2.3ID とコンプライアンス

• IAM（前節）：ID とアクセス管理（誰が何をできるか）。
• AWS Artifact：AWS のコンプライアンス報告書や契約（ISO/SOC などの監査証跡）をオンデマンドで入手。
• AWS Trusted Advisor：コスト・セキュリティ・信頼性・性能・サービス制限の観点でベストプラクティスを推奨（セキュリティ点検にも使える）。

5.2.4セキュリティ・アイデンティティの in-scope サービス（補足）

CLF-C02 のセキュリティ範囲には、上記に加え次のサービスも含まれます。アイデンティティ：複数アカウントやアプリへのシングルサインオン（SSO）を提供する AWS IAM Identity Center、Web/モバイルアプリのユーザー認証（サインアップ/サインイン）を担う Amazon Cognito、Active Directory をマネージドに使う AWS Directory Service。保護・暗号化：HTTPS 証明書を無料で発行・自動更新する AWS Certificate Manager、暗号鍵を専用ハードウェアで管理する AWS CloudHSM、複数アカウントの WAF/ファイアウォール規則を一元管理する AWS Firewall Manager。検出・監査：脅威の調査・根本原因分析を支援する Amazon Detective、監査証跡を継続収集してコンプライアンス監査を効率化する AWS Audit Manager。「SSO＝IAM Identity Center／アプリのユーザー認証＝Cognito／AD＝Directory Service／証明書＝Certificate Manager／専用鍵HW＝CloudHSM／FW一元管理＝Firewall Manager／調査＝Detective／監査自動化＝Audit Manager」と役割で区別します。

5.2.5この節のまとめ

• 検出/監査：CloudTrail（API）/ Config（構成）/ GuardDuty（脅威）/ Inspector・Macie・Detective・Audit Manager
• 保護：WAF（Web）/ Shield（DDoS）/ Firewall Manager（一元管理）、データ：KMS（鍵）/ CloudHSM / Secrets Manager / Certificate Manager
• ID：IAM / IAM Identity Center（SSO）/ Cognito（アプリ認証）/ Directory Service（AD）。コンプラ：Artifact / Trusted Advisor