参照可能なログサーバを分けることで、契約者情報の漏えいを防止

　大橋氏からマイクを引き継いだのは、同じくKDDIの技術統括本部、プラットフォーム開発本部アジャイル開発センターの廣田 翼氏。廣田氏は、電気が身近になる「auでんき見える化アプリ」へのセキュリティ実装方法を紹介してくれた。

　auでんき見える化アプリは、電気の利用実績や今後の予想利用金額を表示する機能に加え、消費電力が少ない商品の購入機能も備えたアプリだ。「契約に関する情報を扱うので、セキュリティには気を遣いました」（廣田氏）

KDDIの廣田 翼氏

　アプリへのセキュリティ実装で特に考慮したポイントは3つ。個人情報など重要情報へのアクセス、ログイン管理、監査証跡の保存だ。アプリはスカイアーチネットワークスの協力を得て開発、運用しているので、同社からもセキュアにアクセスできる仕組みを考えなければならなかった。

　トラブルシュートの際には、システムのログをまず確認することが一般的だ。しかしそこには個人情報が多く含まれているので、社外から簡単に参照できるようにはできない。そこで社内向けとスカイアーチ向けに個別のクラウド監視サービスの「AWS CloudWatch」を立て、社内向けには完全なログを、スカイアーチ向けには重要情報をマスクしたログを転送するようにした。

　アクセス可能なAWS CloudWatchのコントロールは、AWSの権限コントロール機能「IAM ロール」で行っている。これにより、スカイアーチを含むパートナーにトラブルシュートへの協力を仰ぐ際にも、契約者の情報を見せずに済む。

踏み台サーバを使いアクセス経路を一本化、全リソースへのアクセスを一元管理可能に

　セッション最後に登壇したのは、KDDIの技術統括本部プラットフォーム開発本部S/O・認証グループの林 奈都子氏。林氏が紹介したのは、AWS内でディレクトリサービス「Active Directory」の機能をマネージドサービスとして提供する「AWS Microsoft AD」（注）を使ったアカウントとセキュリティの一元管理手法だ。同社のオウンドメディアである「au Webポータル」や「My au」などで使われているという。

※注：正式名称は「AWS Directory Service for Microsoft Active Directory（Enterprise Edition）」。

　「スマートフォン／携帯電話の利用料金や利用データ量、獲得ポイント、契約情報などを取り扱うので、社内で最も高いセキュリティが求められます」（林氏）

KDDIの林 奈都子氏

　KDDIはログイン管理や重要情報の保護のため、前述のオウンドメディアの運用管理に利用する各リソースへのアクセス可能な端末をIPアドレスで制限している。対象となるリソースはAWS管理ツールの「AWS マネジメントコンソール」に統合監視ツールの「Zabbix」、複数のLinuxインスタンス（仮想マシン）と多岐にわたり、リソースごとにアクセス可能な接続元IPアドレスのリストを設定して管理するのは現実的ではないと考えた。そこで取った手法が、踏み台サーバを使ったアクセス経路の一本化だ。各リソースへは踏み台サーバからしかアクセスできないように設定した。踏み台サーバにアクセス可能な接続元IPアドレスのリストを管理するだけで、全リソースへのアクセスを一元管理できる仕組みだ。

　踏み台サーバにアクセス可能なアカウントの管理には、AWS Microsoft ADを使用。従来のActive Directory機能に加えて、オンプレミスで稼働するActive Directoryの認証情報でAWS マネジメントコンソールへログインできるID連携機能、日次スナップショットなどの機能を提供する。

　さらに踏み台サーバで起動できるアプリケーションや、Webブラウザからアクセス可能なURLもAWS Microsoft ADで制限し、情報漏えい対策に臨む。パスワードの長さなどアカウントポリシーも、AWS Microsoft ADで一元管理しているという。

　こうした具体的な実装を紹介した後に再び大橋氏が登壇し、会場の聴衆に向けてこう語りかけた。

　「大規模な組織でAWSのような新しい技術を安全に導入していくためには、案件ごとに変わる要件に対応できる柔軟なガバナンスが求められます。どんなに魅力的であっても、こうした整備なしに飛び付くことはできず、長い時間がかかることを覚悟してください。ただ、その第一歩は、今この瞬間からでも踏み出せます」（大橋氏）