AWS Guardrail 互換性ガイダンス
VeloDB BYOC は、顧客が管理する AWS 環境内で動作するよう設計されており、一般的なエンタープライズ・ガバナンス、セキュリティ、およびコンプライアンス制御と互換性があります。本文書は、VeloDB BYOC デプロイメントに適用される可能性のある AWS guardrail に関するガイダンスを提供し、サポートされる制御を特定し、必要な AWS 機能を阻害するように設定された場合にプロビジョニング、スケーリング、アップグレード、バックアップ、監視、復旧、またはサポート運用に影響を与える可能性のある制限事項をハイライトします。
本番デプロイメント前に、運用要件が組織のセキュリティポリシーおよびコンプライアンス標準と互換性を保つことを確実にするため、提案されるガバナンス制御について VeloDB と事前にレビューすることをお客様にお勧めします。
アーキテクチャ概要
BYOC デプロイメントモデルでは、すべてのデータプレーンリソースが顧客が所有・管理する AWS アカウント内にデプロイされます。顧客は基盤となるクラウドインフラストラクチャの所有権を保持し、独自のネットワーキング、セキュリティ、コンプライアンス、およびガバナンス制御の管理を継続します。
VeloDB は、Service Control Policies (SCP)、アクセス許可境界、AWS CloudTrail、AWS Config、Amazon EventBridge、顧客管理 AWS KMS キー、タグ付けポリシー、地域展開制限、およびプライベートネットワークアーキテクチャを含む標準的な AWS ガバナンスメカニズムと並行して動作するよう設計されています。これらの制御は、デプロイメントの通常のライフサイクル管理に必要な AWS サービス、API、アクセス許可、およびネットワーク接続を引き続き許可する限り、完全にサポートされます。
顧客所有のセキュリティおよびガバナンス制御
VeloDB は顧客所有セキュリティモデルに従います。顧客は、Security Group、Network ACL、Route Table、Service Control Policy、Permission Boundary、KMS キー、CloudTrail 設定、AWS Config ルール、および EventBridge 監視ポリシーを含む、AWS 環境の管理所有権と運用制御権を保持します。
通常の運用の一環として、VeloDB は顧客管理の Security Group、Network ACL、または Route Table を変更しません。顧客は、内部セキュリティ標準に合致するガバナンス制御、監視ポリシー、およびコンプライアンス要件を実装できますが、これらの制御が VeloDB ライフサイクル運用に必要な AWS リソース、アクセス許可、または接続を制限しないことが条件です。
IAM およびクロスアカウントアクセス要件
VeloDB BYOC は、顧客 AWS アカウント内でライフサイクル管理アクティビティを実行するために、顧客が作成したクロスアカウント IAM ロールを使用します。このロールは、VeloDB 管理インフラストラクチャコンポーネントのプロビジョニング、管理、監視、スケーリング、アップグレード、および復旧に使用されます。
デプロイメントロールは最小権限の原則に従い、デプロイメントライフサイクル管理に必要なアクセス許可に限定されます。必要な機能には、コンピュートリソース、ストレージリソース、ネットワークコンポーネント、監視統合、およびバックアップ関連サービスの管理が含まれる場合があります。
デプロイメントに必要な正確な IAM アクセス許可および信頼関係は、VeloDB BYOC デプロイメントガイドの Deployment credential (cross-account IAM role) セクションに文書化されており、リクエストに応じて提供することも可能です。
組織は、アクセス許可境界および追加の IAM ガバナンス制御を適用できますが、これらの制御が VeloDB デプロイメントロールに必要なアクセス許可を除去しないことが条件です。必要なアクションを阻害する制限的なアクセス許可境界は、クラスタプロビジョニング、容量スケーリング、ソフトウェアアップグレード、バックアップワークフロー、災害復旧手順、およびその他のライフサイクル管理運用を妨げる可能性があります。
Service Control Policy (SCP)
VeloDB は、Service Control Policy を適用する AWS Organizations 環境内でのデプロイメントをサポートします。顧客は SCP を使用して AWS サービス使用を制限し、管理アクションを限定し、地域デプロイメント要件を強制し、または組織全体のガバナンス標準を実装できます。
VeloDB は、SCP 適用からの組織全体の管理的除外を必要としません。しかし、SCP はデプロイメントに必要な AWS サービスへのアクセスを引き続き許可する必要があります。選択されたアーキテクチャと有効化された機能に応じて、これらのサービスには Amazon EC2、Amazon EBS、Elastic Load Balancing、AWS IAM、Amazon S3、AWS KMS、Amazon CloudWatch、および通常の運用で使用されるその他のサポート AWS サービスが含まれる場合があります。
必要な API をブロックまたは制限すると、初期プロビジョニング、クラスタ拡張、ソフトウェアアップグレード、バックアップ実行、インフラストラクチャ復旧、または継続的な運用管理が阻害される可能性があります。そのため、デプロイメント前に文書化された VeloDB 運用要件に対して SCP 設定を検証することをお客様にお勧めします。
地域、ネットワーキング、およびインフラストラクチャ制限
地域デプロイメント制御
VeloDB は、顧客が承認した AWS 地域内でのデプロイメントをサポートし、SCP、IAM ポリシー、または内部コンプライアンス標準を通じて適用される地域ガバナンス制御と互換性があります。
顧客は、指定された AWS 地域にデプロイメントアクティビティを制限できます。ただし、選択されたデプロイメントアーキテクチャに必要なすべての AWS サービスおよびリソースが、承認された地域内で引き続き利用可能である必要があります。指定されたデプロイメント地域へのアクセスをブロックする制限は、プロビジョニングおよびライフサイクル管理アクティビティを阻害する可能性があります。
VPC およびサブネット制限
VeloDB は、顧客管理 VPC 環境内で動作するよう設計されており、顧客が承認したサブネットおよびネットワークセグメントへのデプロイメントをサポートします。顧客は、セキュリティアーキテクチャに合致するネットワークセグメンテーション、サブネット制限、およびルーティング制御を適用できます。
成功した運用を確実にするために、承認されたサブネットは、十分な IP アドレス容量、必要な Availability Zone カバレッジ、およびデプロイメントコンポーネント間の相互通信に必要なネットワーク接続を提供する必要があります。過度に制限的なネットワーク制御は、クラスタ作成、スケーリングアクティビティ、ロードバランサデプロイメント、プライベート接続設定、またはその他のインフラストラクチャ管理運用を妨げる可能性があります。
リソース命名およびタグ付けポリシー
VeloDB は、顧客定義のリソース命名規則およびタグ付け標準をサポートします。組織は、コスト配分、所有権追跡、環境分類、運用ガバナンス、またはコンプライアンス目的のための必須タグ付け要件を適用できます。
必要なリソースが引き続き作成および管理できる限り、VeloDB は SCP、AWS Config ルール、タグポリシー、またはその他のガバナンスメカニズムを通じて必須タグ付けポリシーを適用する環境内で動作できます。
暗号化およびキー管理
VeloDB は、AWS 管理暗号化と顧客管理 AWS KMS キーの両方をサポートします。顧客制御暗号化を必要とする組織は、サポートされるサービスおよびストレージリソース用に顧客管理キーを設定できます。
中断のない運用を維持するために、顧客管理 KMS キーは、デプロイメントに参加する AWS リソースおよび IAM ロールに対して有効かつアクセス可能な状態を保つ必要があります。自動および手動の両方の KMS キーローテーションがサポートされ、標準的なセキュリティ実践の一環として推奨されます。
アクティブな暗号化キーが無効化、削除、削除予定、またはデプロイメントに必要なアクセス許可を除去する方法で変更された場合、運用上の問題が発生する可能性があります。このような変更は、暗号化されたストレージボリューム、スナップショット、バックアップ運用、復旧ワークフロー、およびデプロイメントによって管理されるその他の暗号化されたリソースに影響を与える可能性があります。
S3 ストレージ要件
Amazon S3 がバックアップ、復旧、または運用ストレージ機能に使用される場合、VeloDB は顧客管理バケットおよび顧客管理暗号化制御をサポートします。
顧客は、組織標準に従って、バケットポリシー、アクセス制御、暗号化要件、バージョニングポリシー、および監視制御を適用できます。復旧可能性と運用レジリエンスを向上させるため、バケットバージョニングが推奨されます。
必要な読み取り、書き込み、または復旧操作を阻害する制限は、S3 ストレージに依存するバックアップ実行、復元手順、またはその他の運用ワークフローに影響を与える可能性があります。デプロイメントに必要な S3 バケットおよび関連アクセスポリシーは、VeloDB BYOC デプロイメントガイドの Data credential (S3 bucket + IAM role) セクションに説明されています。
監視、監査、およびコンプライアンス統合
VeloDB は、標準的な AWS 監視およびコンプライアンスサービスと並行して動作するよう設計されており、顧客管理の監査およびガバナンスプログラムと完全に互換性があります。
AWS CloudTrail
すべての AWS 地域で CloudTrail ログ記録を有効にし、VeloDB 管理インフラストラクチャに関連する AWS API アクティビティを監視することをお客様にお勧めします。推奨される監視領域には、IAM ロール引き受け、EC2 ライフサイクル運用、EBS ボリューム管理、ロードバランサ設定変更、S3 アクセスアクティビティ、および KMS 運用が含まれます。
AWS Config
AWS Config は、リソースコンプライアンスの継続的評価、設定ドリフトの検出、およびガバナンス要件の適用に使用できます。一般的なユースケースには、IAM 変更の監視、パブリックリソース露出、KMS ポリシー変更、タグ付けコンプライアンス、およびセキュリティ姿勢検証の監視が含まれます。
Amazon EventBridge
顧客は、既存の監視およびインシデント対応プロセスと EventBridge を統合して、インフラストラクチャ変更、IAM 変更、KMS キー状態遷移、S3 ポリシー変更、インスタンスライフサイクルイベント、およびデプロイメントに関連するその他の運用アクティビティに対するアラートを生成できます。
接続要件
VeloDB はプライベートネットワークアーキテクチャをサポートし、AWS PrivateLink および顧客制御プライベートネットワーク設計などの接続モデルと互換性があります。
顧客は、適切な場合にインバウンドパブリックアクセスを制限できます。VeloDB は、通常の運用において顧客管理インフラストラクチャへのインバウンドパブリックネットワークアクセスを必要としません。
ただし、デプロイメントコンポーネントに必要なアウトバウンド接続は引き続き利用可能である必要があります。デプロイメントアーキテクチャに応じて、監視、アラート、ソフトウェア配布、サポート運用、および有効化された場合のリバーストンネル接続のためにアウトバウンド通信が必要になる場合があります。
デプロイメント固有のエンドポイント要件は、リクエストに応じて提供できます。
運用上の考慮事項
高度に統制された AWS 環境におけるデプロイメントまたは運用問題の最も一般的な原因となる制限カテゴリは以下の通りです：
- VeloDB デプロイメントロールに必要なアクセス許可の除去
- 必要な AWS API をブロックする Service Control Policy
- ライフサイクル管理運用を制限するアクセス許可境界
- 無効化、削除、削除予定、またはアクセス不可能な KMS キー
- バックアップまたは復旧運用を阻害する S3 アクセス制御
- 必要な接続パスをブロックするネットワーク制御
- 不十分なサブネット容量または Availability Zone カバレッジ
- デプロイメントに必要なコンピュート、ストレージ、ネットワーキング、またはロードバランシングリソースの作成または変更を阻害する制限
顧客は、本番デプロイメント前に VeloDB 運用要件に対して提案されるガバナンス制御を検証する必要があります。
推奨 Guardrail
VeloDB は、本番デプロイメントが以下を含む階層化ガバナンスモデルを採用することを推奨します：
- すべての地域で有効化された AWS CloudTrail
- AWS Config コンプライアンス監視
- IAM、KMS、ネットワーキング、およびインフラストラクチャ変更に対する EventBridge アラート
- 顧客管理 AWS KMS キー
- 必須リソースタグ付けポリシー
- 承認された地域デプロイメント制御
- 最小権限 IAM 制御
- 文書化された VeloDB 運用要件に対して検証された Service Control Policy およびアクセス許可境界
互換性サマリー
| AWS Guardrail | 互換性 | ガイダンス |
|---|---|---|
| Service Control Policy (SCP) | 条件付きサポート | 必要な AWS サービスおよび API が引き続き利用可能である必要があります。 |
| アクセス許可境界 | 条件付きサポート | VeloDB デプロイメントロールに必要なアクセス許可を除去してはなりません。 |
| AWS CloudTrail | 完全サポート | VeloDB 管理インフラストラクチャに関連する AWS API アクティビティの監査に推奨されます。 |
| AWS Config | 完全サポート | コンプライアンス監視および設定ドリフト検出に推奨されます。 |
| Amazon EventBridge | 完全サポート | IAM、KMS、ネットワーキング、およびインフラストラクチャ変更に関連するアラートに推奨されます。 |
| 顧客管理 AWS KMS キー | 条件付きサポート | キーは、必要な AWS リソースおよび IAM ロールに対して有効でアクセス可能な状態を保つ必要があります。 |
| リソースタグ付けポリシー | 条件付きサポート | ポリシーは、必要なリソースの作成および管理を許可する必要があります。 |
| 地域デプロイメント制限 | 条件付きサポート | 必要な AWS サービスおよびリソースが承認された地域内で引き続き利用可能である必要があります。 |
| VPC およびサブネット制限 | 条件付きサポート | 承認されたサブネットは、十分な容量、Availability Zone カバレッジ、および必要な接続を提供する必要があります。 |
| プライベートネットワークアーキテクチャ | 条件付きサポート | 必要なコントロールプレーンおよび運用接続が引き続き利用可能である必要があります。 |
結論
VeloDB は、一般的なエンタープライズ・ガバナンス、セキュリティ、およびコンプライアンス制御との互換性を保ちながら、顧客制御 AWS 環境内で動作するよう設計されています。必要な AWS アクセス許可、サービス、および接続が引き続き利用可能である限り、ほとんどの AWS guardrail は通常の運用に影響を与えることなく採用できます。
VeloDB は、本番デプロイメント前に提案される AWS guardrail 設定を検証することを推奨します。リクエストに応じて、VeloDB は顧客ガバナンス制御をレビューし、プロビジョニング、スケーリング、アップグレード、バックアップ、監視、復旧、およびサポート運用に関連する潜在的な互換性考慮事項を特定できます。