本書は利用者がクラウドサービスを操作する際の利用方針や操作方法を理解するための文書である。本件で⾔及する対象は、クラウド提供のサービス、クラウド提供のサービスで操作可能なコンポーネントの操作⽅法に限ることとし、それ以外の操作のためのログインについては本ドキュメントの対象外である。 ## クラウドサービスを操作する3つのパターン以下のようにクラウド提供のサービスへのアクセスパターンを分類する。このパターンに従い運⽤を⾏い、かつ、ガバメントクラウドで提供されるゼロトラストサービスを活⽤することで、ブラウザからクラウドサービスにかけてのゼロトラストが達成できる。 **表:01 クラウドサービスの操作方法**

ユースケース	認証ID	操作インターフェース	ツール	備考
クラウドサービスインフラの構築・設定（テンプレートの適用時やリソースの変更）	GCASユーザー（GCASの認証でSSO）	IDE、コマンドラインツール、Cloud9など ※CloudShellは利用不可	AWS CDK AWS Codeシリーズ、GitHubActions等（CICDを導入する場合）	・テンプレートの適用時やリソースの変更時には、IaCツールであるAWS CDKなどのIaCツールを使用して実施すること。・AWS CloudFormationやTerraformなども利用できるが、必須適用テンプレートがCDKであること、抽象化が行えること、 CSPのサポートを受けられることから、CDKで管理すると開発がスムーズである。・IaCで管理しているコードは、AWS CodeシリーズやGitHubActionsなどのツールを、IDE等を経由して使い、CICDを行うことを推奨する。
クラウドサービスインフラの構築・設定（テンプレートの適用時やリソースの変更）	GCASユーザー（GCASの認証でSSO）	IDE、コマンドラインツール、Cloud9など ※CloudShellは利用不可	AWS CLI	テンプレート、リソース、およびデータの参照時や、軽微な変更検証を行う際に利用する。
クラウドサービスインフラの構築・設定内容の参照（テンプレート、リソースの設定内容及びデータの参照）	GCASユーザー（GCASの認証でSSO）	AWS マネジメントコンソール（アプリランチャーやSSO用URLからアクセス）		テンプレート、リソース、およびデータを視覚的に参照するとき
		IDE、コマンドラインツール、Cloud9など ※CloudShellは利用不可	AWS CDK	・マネジメントコンソールは設定内容の概観のために利用。・IaCテンプレートは、パラメータなど設定内容も含め詳細確認用途、もしくは差分を確認する用途で利用。
		IDE、コマンドラインツール、Cloud9など ※CloudShellは利用不可	AWS CLI	・マネジメントコンソールではGUIとして捨象されてしまっているデータを参照したいとき。・一括で大量の設定情報を抽出したいとき。
外部サービスとの連携（SaaS等）	GCASユーザー（GCASの認証でSSO）	AWS マネジメントコンソール（アプリランチャーやSSO用URLからアクセス）		外部SaaSなどとAPIにて連携する際に利用する
	AWS Systems Manager Agent＋IAMロール	IDE、コマンドラインツール、Cloud9など ※CloudShellは利用不可	AWS CLI	・サーバーにSSM Agentをインストール。・その上で、SSM Agentに対してIAMロールで必要な権限を付与し、サーバーとの連携を行う。
	IAMユーザー（マシンアカウント用）	原則禁止	アクセスキー、シークレットアクセスキー	セキュリティ上の問題から原則禁止となり、統制がかかっております。利用しない連携方法にてご検討ください。
クラウド提供のサービス、クラウド提供のサービスで操作可能なコンポーネント以外の操作のためのログイン（システムを、ハードウェアレイヤー、ミドルウェアレイヤー、アプリケーションレイヤー、ユーザーインターフェース（UI）レイヤーとしたとき、およそミドルウェアレイヤー以上を想定）	OSやミドルウェアのユーザー利用者認証	利用システムの責任範囲であり、準拠すべきセキュリティ要件、セキュリティポリシーに基づいて定めること	利用システムの責任範囲であり、準拠すべきセキュリティ要件、セキュリティポリシーに基づいて定めること

### デジタル庁が提供するテンプレートの適用デジタル庁が提供する必須適用テンプレートなどのテンプレートはAWS CDKで提供されるため、テンプレートの適用はAWS CDKを用いて実施すること。適用したテンプレートの参照はAWS マネジメントコンソールやAWS CLIなど任意の方法で実施できる。テンプレートについては、GCASアカウントを取得の上、GCASガイド（メンバー専用ページ）で公開されているガバメントクラウドテンプレート（メンバー専用ページ→ガバメントクラウドテンプレート/ポリシー→ガバメントクラウドテンプレート/ポリシーのダウンロードページ）を参照すること。ただし、必須適用テンプレートはService Catalog上から適用することも可能である。詳細については、技術マニュアル「必須適用テンプレートについて(AWS編)」を参照。 ### テンプレート、リソースの設定内容及びデータの参照リソースの参照はAWSマネジメントコンソールでGUIにて確認をすることや、AWS CLIなどで設定内容を確認、もしくはAWS CDKやAWS CloudFormationなどの設定ファイルをコードで確認するなど、任意の⽅法で実施できる。 ## クラウドサービスの操作に活用できるツール AWS CDK、AWSマネジメントコンソール、AWS CLI、それぞれのアクセス、ログイン、各種設定、参照、操作方法について以下で示す。 ### AWS Cloud Development Kit（AWS CDK） AWS CDKはコードを用いてインフラを定義することができるIaCツールである。言語はJavaScript、TypeScript、Python、Java、C#が一般公開されており、開発者プレビューではGoがサポートされている。 - AWS CDKの認証情報はAWSアクセスポータルで発行可能な一時認証情報を用いる。一時認証情報の発行手順は以下のドキュメント参照すること。 - IaCツールとしては、AWS CloudFormationやTerraformなども利⽤できる。ただし、必須適⽤テンプレートがAWS CDKの形で提供されること、抽象化が⾏えること、CSPのサポートを受けられることから、AWS CDKでIaCを管理すると開発がスムーズであると思われる。 [AWSドキュメント：CLI アクセス用の IAM ロール認証情報の取得] https://docs.aws.amazon.com/ja_jp/singlesignon/latest/userguide/howtogetcredentials.html - AWS CDKのインストール方法については、以下のドキュメント内の「AWS CDK をインストールする」を参照すること。 [AWSドキュメント：AWS CDK の開始方法] https://docs.aws.amazon.com/ja_jp/cdk/v2/guide/getting_started.html - AWS CDKの設定方法は以下のドキュメントを参照すること。 [AWSドキュメント：AWS CDKはじめてのアプリ] https://docs.aws.amazon.com/ja_jp/cdk/v2/guide/hello_world.html - AWSのリソースをAWS CDKで構築、変更する方法は以下のドキュメントを参照すること。 [AWSドキュメント：AWS CDKハウツー] https://docs.aws.amazon.com/ja_jp/cdk/v2/guide/how_tos.html - AWSリソースの操作方法についてはAWS公式ドキュメントを参照すること。 AWSのリソースをAWS CDKで構築する際に使用するコマンドは以下のドキュメントを参照すること。 [AWSドキュメント：AWS CDKツールキット (cdkコマンド)] https://docs.aws.amazon.com/ja_jp/cdk/v2/guide/cli.html AWSのリソースをAWS CDKで構築する際の参照コードは以下のドキュメントを参照すること。 [AWSドキュメント：API Reference] https://docs.aws.amazon.com/cdk/api/v2/docs/aws-construct-library.html 　 ### AWSマネジメントコンソール AWSマネジメントコンソールは、ユーザーや権限に加え、AWSの提供するマネジメントサービス、インスタンスやネットワークおよびストレージを作成して管理するための直感的なグラフィカル・インタフェースである。 [AWSドキュメント：AWS Management Console とは] https://docs.aws.amazon.com/ja_jp/awsconsolehelpdocs/latest/gsg/learn-whats-new.html [AWSドキュメント：AWS マネジメントコンソールでサポートされているブラウザはどれですか?] https://aws.amazon.com/jp/premiumsupport/knowledge-center/browsers-management-console/ AWSマネジメントコンソールへのアクセス方法について、以下に説明する。 #### GCASシングルサインオン機能を利用したログイン方法 - AWSアクセスポータルへの直接ログイン AWSアクセスポータル(図1)のURL情報が共有されている場合は、URLにアクセスすることでへ直接ログイン可能である。このURLはAWS Organizations単位で異なる。AWSアクセスポータルでログイン先のAWSアカウントとアクセス許可セットを選択後、AWSマネジメントコンソールにログイン可能である。 ![図:01 AWSアクセスポータル画⾯](/images/aws_how-to-operate-cloud-service-02.png) **図:01 AWSアクセスポータル画⾯** - Google アプリランチャー画⾯のアイコン利⽤者は、ブラウザから https://www.google.com へアクセスし、GCASアカウントを利⽤して「ログイン」をクリックする。ブラウザ右側にある、Googleアプリのランチャーを選択し、AWSなどの名称で表⽰されているアイコンと名称を確認し(図02)、クリックすることでIdCポータルへ遷移する。IdCポータルでログイン先のAWSアカウントとアクセス許可セットを選択後、AWSマネジメントコンソールにログイン可能である。 ![図:02 Googleアプリのランチャー画⾯](/images/aws_how-to-operate-cloud-service-03.png) **図:02 Googleアプリのランチャー画⾯** - GCAS システム管理画⾯に表⽰されるログインボタン GCASアカウント保有者がアクセス可能なCSP環境がGCASの「システム」管理画⾯から確認できる。システム⼀覧からアクセス先のシステム名を選択し、遷移した画⾯から「CSP環境」のタブを選択して、アクセスしたい環境をさらに選択すると、SSOリンクの欄にアクセス先のURLが表⽰されている(図03)。このURLへのアクセスでIdCポータルへ遷移する。IdCポータルでログイン先のAWSアカウントとアクセス許可セットを選択後、AWSマネジメントコンソールにログイン可能である。 ![図:03 GCAS上のSSOリンク表⽰画⾯](/images/aws_how-to-operate-cloud-service-04.png) **図:03 GCAS上のSSOリンク表⽰画⾯** - AWSマネジメントコンソールへの直接ログインルートユーザーおよびIAMユーザーは次のURLのAWSマネジメントコンソールにアクセスし、多要素認証後、ログインできる。 [https://console.aws.amazon.com](https://console.aws.amazon.com/ "AWSマネジメントコンソール") 　 ### AWSコマンドラインインターフェイス（AWS CLI） - AWS CLIでのアクセスはAWSアクセスポータルで発行可能な一時認証情報を用いてアクセスを行う。一時認証情報の発行手順は以下のドキュメント参照すること。IAMユーザーのアクセスキーの利用は漏洩リスクの観点から原則禁止とする。システム運用を十分に検討した結果、アクセスキーを利用せざるを得ないとは判断した場合には、ガバメントクラウド管理組織で内容を審査するため個別に連絡すること。 [AWSドキュメント：CLI アクセス用の IAM ロール認証情報の取得] https://docs.aws.amazon.com/ja_jp/singlesignon/latest/userguide/howtogetcredentials.html - AWS CLIがインストール可能なOSとバージョンと、インストール方法については以下の公式AWSドキュメント内「AWS CLIのインストールと更新の手順」を参照すること。 [AWSドキュメント：AWS CLI の最新バージョンをインストールまたは更新します。] https://docs.aws.amazon.com/ja_jp/cli/latest/userguide/getting-started-install.html - AWS CLIをインストールしたら、AWS CLIの初期化、承認、構成の管理、プロパティの管理など、各種設定を行う。AWS CLIの設定方法については以下のドキュメントを参照すること。 [AWSドキュメント：AWS CLI の設定] https://docs.aws.amazon.com/ja_jp/cli/latest/userguide/cli-chap-configure.html - AWS CLIの概要と操作方法についてはAWS公式ドキュメントを参照すること。よく使用されるコマンドのリストについては以下ドキュメント内の「AWS CLI クイックリファレンス」を参照すること。 [AWSドキュメント：AWS Command Line Interface とはどのようなものですか。] https://docs.aws.amazon.com/ja_jp/cli/latest/userguide/cli-chap-welcome.html AWS CLIで使用するコマンドのリストについては以下のドキュメントを参照すること。 [AWSドキュメント：AWS CLI Command Reference] https://docs.aws.amazon.com/cli/latest/index.html ## 改訂履歴 | 改訂年月日 | 改訂理由 | | --------- | -------- | | 2023年03月06日 | 新規作成 | | 2023年03月27日 | CDK、CLIの利用方法、クラウドサービスのアクセス方法について、記載内容の拡充と用語の揺らぎの修正 | | 2023年06月30日 | 必須適用テンプレートのAWS Service Catalog利用に伴う修正 | | 2023年11月27日 | AWSコマンドラインインターフェイス（AWS CLI）について、記載内容の修正 | | 2024年3月1日 | AWSマネジメントコンソールについてSSO前後でアクセス方法を記載し、内容を修正
AWS CLIの利用についてアクセスキーの利用の原則禁止を追記 | | 2024年3月29日 |GCASシングルサインオン機能利用開始後についてログイン方法を修正 | | 2024年5月23日 |GCASシングルサインオン機能利用開始後のログイン方法について記載内容を修正 | | 2024年7月19日 |クラウドサービスの操作方法及びテンプレート等について記載内容を修正 | | 2024年10月31日 |GCASシングルサインオン機能利用開始に伴い以前のログイン方法についての記載を削除 |

クラウドサービスの操作方法(AWS編)