リージョン、アベイラビリティーゾーン、エッジロケーション

AWSは世界各地の実際の場所で稼働しており、データを置く場所はセキュリティに影響します。重要な3つの概念は、リージョン、アベイラビリティーゾーン、エッジロケーションです。

リージョンとは、北バージニアやアイルランドのような、分離された地理的領域です。リージョンに置いたデータは、移動しない限りそこに留まります。これは現地の法律に従ううえで重要です。

リージョンは分離されているため、どのリージョンを選ぶかによってデータが物理的に存在する場所が決まります。GDPRなどの規則により、特定の場所にデータを留める必要がある場合があるため、この選択は実際のセキュリティ制御になります。

1つのリージョン内には複数のアベイラビリティーゾーンがあり、それぞれ独自の電力設備とネットワークを持つ分離されたデータセンターです。1つのデータセンターが停止しても、アプリケーションを稼働させ続けられます。

データを保護するうえでは、リージョンの境界が最も重要です。データレジデンシーと分離範囲を決めるためです。AZは障害発生時も稼働を維持するためのものです。役割は異なりますが、どちらも重要です。

エッジロケーションはユーザーの近くにある拠点で、CloudFrontやRoute 53が遅延を削減するために利用します。また、WAFなどの防御機能によって、トラフィックが環境に到達する前にフィルタリングする場所でもあります。

エッジロケーションはユーザーの近くにあるため、攻撃を早期にブロックするのに最適です。DDoS攻撃による大量のトラフィックも、コアサーバーに到達する前にそこで吸収できます。

ほとんどのサービスはリージョン単位のエンドポイントを使用するため、あるリージョンで行った操作が別のリージョンに影響することはありません。GuardDutyなどのツールはリージョンごとに有効化する必要があり、そうしないと監視できない範囲が生じます。

IAM、CloudFront、Route 53など、いくつかのサービスはグローバルです。これらの設定はリージョンごとではなく、一度にすべての場所へ適用されます。この違いを知ることで、制御が実際にどこへ適用されるかを判断できます。

適切な設計では、コンプライアンスのためにリージョンを選び、耐障害性のために複数のAZへ分散し、エッジで脅威をフィルタリングします。試験では、シナリオの中にデータレジデンシーのヒントが隠されていることがよくあります。

新しいリージョンの一部はオプトイン方式で、明示的に有効化するまで無効になっています。使用していないリージョンを無効のままにすること自体が制御になります。攻撃者が隠れられる場所と、監視すべき場所を減らせるためです。

AWSの地理的構成をセキュリティに適用してみましょう。

まとめ：リージョンはデータレジデンシーを決め、アベイラビリティーゾーンは耐障害性を高め、エッジロケーションはユーザーの近くで脅威をフィルタリングします。ほとんどのサービスはリージョン単位で、IAMはグローバルです。