変更要約: 生成 AI セキュリティ節 s4 に図 aws-genai-security（OWASP LLM リスク→AWS 緩和策）を追加。クローン基底章は SCS-C02 の図を継承済みで、図欠落は本 s4 のみだったため補完。
3.3コンピュートとエンドポイントの保護
コンピュート防御——Systems Manager（パッチ/セッションマネージャー）、ハードニング/ゴールデン AMI、Inspector、踏み台レス（SSM 接続）、EC2 メタデータ（IMDSv2）——を理解します。インスタンスを安全に保ちます。
コンピュートはパッチ・ハードニング・安全なアクセスで守ります。SSH を開けず、SSM 経由でアクセスします。
3.3.1コンピュート保護
- Patch Manager：OS パッチを自動適用し、脆弱性を減らす。
- Session Manager：SSH/踏み台なしで安全に接続。ポート開放不要・操作を監査。
- ハードニング/ゴールデン AMI：標準化された堅牢なイメージを配布する。
- IMDSv2：インスタンスメタデータにトークンを必須化し、SSRF 経由の資格情報窃取を防ぐ。
「SSH/踏み台レスの安全な接続＝Session Manager」「パッチ自動適用＝Patch Manager」「メタデータ保護＝IMDSv2 を強制」「脆弱性スキャン＝Inspector」 は SCS-C02 で頻出です。SSH ポート（22）を開けず、Session Manager で接続するのが推奨パターンです。
SCS-C02 のコンピュート防御は「攻撃面を減らし、アクセスと資格情報を安全に保つ」ことを問います。Systems Manager Session Manager は SSH/RDP ポートを開けず踏み台も不要で、IAM で認可されたユーザーがブラウザ/CLI からシェル接続でき、セッションを CloudTrail/CloudWatch Logs/S3 に記録して監査可能にします（鍵管理が不要で、22 番ポートを閉じられる）。Patch Manager はパッチベースラインとメンテナンスウィンドウで OS/アプリのパッチを自動適用し、Inspector が EC2/ECR/Lambda の CVE を継続スキャン、未修正の脆弱性を可視化します。イメージはゴールデン AMI（CIS ベンチマーク等でハードニング、不要サービス停止、EC2 Image Builder でパイプライン化）を標準配布します。IMDSv2 はインスタンスメタデータへのアクセスにセッショントークン（PUT→GET）を必須化し、ホップ制限も設定できるため、SSRF 経由でインスタンスロールの一時認証情報が盗まれる典型攻撃を防げます（IMDSv2 を強制し IMDSv1 を無効化）。資格情報はインスタンスロールで渡し、長期キーをインスタンスに置きません。設計の要は、Session Manager で踏み台レス＆ポート閉鎖、Patch Manager/Inspector で脆弱性管理、ゴールデン AMI でハードニング、IMDSv2 強制でメタデータを保護することです。
| 目的 | 手段 | 要点 |
|---|---|---|
| 安全なアクセス | Session Manager | SSH/踏み台なし・ポート閉鎖・監査 |
| 脆弱性の低減 | Patch Manager / Inspector | 自動パッチ＋継続スキャン |
| 堅牢な標準イメージ | ゴールデン AMI | CIS ハードニング・Image Builder |
| メタデータ保護 | IMDSv2 強制 | トークン必須で SSRF 窃取を防止 |
シナリオ：プライベートサブネットの EC2 に運用者が安全に接続し、SSH ポートは一切開けたくない。さらに SSRF 脆弱性からインスタンスロールの認証情報窃取も防ぎたい。→ Session Manager（SSM エージェント＋IAM 認可）で踏み台レス接続し、ポート 22 は閉鎖、操作は CloudWatch Logs/S3 に記録。インスタンスは IMDSv2 を強制（IMDSv1 無効化、ホップ制限）してメタデータ窃取を防ぎ、パッチは Patch Manager で自動適用、脆弱性は Inspector で監視します。
FAQ：なぜ IMDSv2 を強制する？ IMDSv1 はリクエストのみでメタデータ（インスタンスロールの一時認証情報を含む）を返すため、アプリの SSRF 脆弱性を突かれると攻撃者が認証情報を盗めます。IMDSv2 は事前に PUT でセッショントークンを取得しないと GET できず、ホップ制限も設定できるため、SSRF 経由の窃取を大幅に困難にします。IMDSv1 は無効化し、IMDSv2 必須に設定します。
ひっかけ：運用アクセスのために踏み台（bastion）に SSH ポートを開ける設計は、攻撃面を増やすため推奨されません——Session Managerならポートを開けず踏み台不要で、監査も得られます。また、インスタンスに長期アクセスキーを置くのも誤りで、インスタンスロール（一時認証情報）を使い、IMDSv2 強制で窃取を防ぎます。
3.3.2この節のまとめ
- 保護＝Patch Manager＋ゴールデン AMI＋Inspector
- 安全な接続＝Session Manager（踏み台レス）／メタデータ＝IMDSv2
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. SSH ポートを開けず、踏み台サーバーも置かずに EC2 へ安全に接続したい。何を使いますか？
Q2. SSRF 攻撃でインスタンスメタデータから一時認証情報が盗まれるのを防ぎたい。何を強制しますか？
Q3. 多数の EC2 の OS パッチを継続的に自動適用したい。何を使いますか？