OptSight と連携する AWS アカウントを運用している事業者 (ASP・運用委託先) や情報システム部門の方が、 IAM ロールを作成する前に確認する内容をまとめた資料です。このページの URL を、そのまま審査資料としてお使いいただけます。

権限の一覧 (3 章) は、現在配布している CloudFormation テンプレートから自動で表示しています。 テンプレートを改版した場合も、この資料が古いまま残ることはありません。

1. 作成されるもの

CloudFormation テンプレート

用途に応じて 2 種類あります。どちらも次の URL で内容をご確認いただけます。

実際の作成時に OptSight の画面からお渡しするリンクやファイルは、上記テンプレートに 貴団体専用の値 (ExternalId・AWS アカウント ID・スタック名) を事前に入れたものです。権限の内容は変わりません。

2. 信頼ポリシー (誰がこのロールを使えるか)

作成されるロールの信頼ポリシーは次のとおりです。

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::982206603762:role/OptSightCollector"
  },
  "Action": "sts:AssumeRole",
  "Condition": {
    "StringEquals": { "sts:ExternalId": "<貴団体専用に発行する値>" }
  }
}

• このロールを引き受けられるのは、OptSight の基盤用 AWS アカウント (982206603762) にある OptSightCollector ロールだけです。
• 加えて、貴団体専用の ExternalId (16 文字以上) が一致しない限り引き受けはできません。 第三者がロールの ARN を知っても使えない仕組みで、デジタル庁 GCAS の推奨方式と同じ形です。
• 1 回の引き受けで得られる一時認証情報は、最長 1 時間で失効します。
• OptSightCollector を使えるのは、OptSight のアプリケーション実行基盤の自動処理 (短期トークンによる認証) だけです。 人が使うアクセスキーやパスワードは存在しません。

3. 権限ポリシー (何ができるか)

付与するのは読み取りの権限だけで、作成・変更・削除、IAM の操作は含みません。 住民情報や業務データ、サーバーの OS 内部、S3 のファイル、データベースの中身は読み取れない権限構成です。

標準 (コスト + 構成)テンプレート v8

コストのみテンプレート v3

対象が「*」の行は、アクション自体が読み取り専用のため、リソースを限定せずに許可しているものです。 テンプレートの版を上げて権限を追加する場合は、追加する権限と理由を事前にお知らせし、AWS アカウントを運用する方がスタックを更新した時点で有効になります。

4. 取得する AWS サービス・API・データ項目

標準テンプレートで取得するものです。コストのみのテンプレートでは、このうち Cost Explorer の日次金額だけになります。

取得の頻度と保存する粒度は サービス仕様 に記載しています。 権限上は CloudWatch アラームの状態も読めますが、現在は取得していません (次回のテンプレート改版で権限から外します)。

5. 共同利用方式 (ネットワーク分離) での制御

1 つの AWS アカウントに複数の団体の環境が同居している場合の、他団体の情報を取得・保存・表示しないための制御です。

前提: IAM だけでは絞り切れない範囲

AWS IAM の仕様では、「特定のタグが付いたリソースだけを読める」ロールは作れません。 EC2 や RDS の一覧を返す API は、タグの条件で読み取り範囲を制限できないためです。 したがって標準テンプレートのロールは、技術的には同じ AWS アカウント内の他団体のリソース情報も読み取れる権限になります。 OptSight はこの前提を隠さずにご説明したうえで、次の 3 段階で取得・保存・表示を自団体分に限定しています。

(1) 取得の段階で自団体分だけを受け取る

(2) 受信した直後に照合し、他団体分は保存しない

(3) タグで分けられないものは、権限ごと付与しない

次の API は AWS アカウント全体の値を返し、団体ごとに分けられません。ネットワーク分離の連携では、 テンプレートの分離方式のパラメータ (OptSight が入力済み) により、これらの権限をロールに付与しません。 IAM の段階で呼び出せないため、OptSight の実装に関わらず他団体の情報は読み取れない仕組みです。

テンプレート v7 以前で作成したスタックには、これらの権限が付いています。OptSight はネットワーク分離の連携ではこれらを呼び出しませんが、 スタックを v8 以降に更新すると権限そのものが外れます。

保存したデータは団体ごとに分けて持ち、データベースの行レベルセキュリティとアプリケーションの絞り込みの二重の仕組みにより、 他の団体の利用者の画面には表示されません。

IAM の段階でさらに絞る方法

• コストのみのテンプレート — EC2・RDS・CloudWatch などの権限を含まないため、他団体のリソース構成や使用率は IAM の段階で読み取れません。ただし Cost Explorer はタグの条件を IAM で付けられないため、 コストについては「アカウント全体の集計値を読める権限」になります (取得時は自団体のタグで絞ります)。 この方式では、EC2 の一覧・使用率・落とし忘れの検知・最適化提案など、構成情報を使う機能はご利用になれません。

同じ AWS アカウントを使う別の団体が OptSight を利用する場合

• ロールは団体の連携ごとに 1 つです。別の団体が OptSight を利用する場合は、その団体専用のスタックとロールを別の名前で作成していただきます。 既存のロールを他の団体の取得に使うことはないため、OptSight が読み取りを始めるには必ず、AWS アカウントを運用する方による CloudFormation の実行が必要です。
• 各ロールの ExternalId は連携ごとに別の値です。ある団体の連携をやめるときは、その団体のスタックだけを削除すれば、 他の団体の連携には影響しません。
• ロールを作成しても、すぐには取り込みを始めません。団体が申請したタグを OptSight 運営が確認し、 同じアカウントの他の団体が使っているタグと重なっていないことなどを確かめて承認してから取り込みます。 団体があとからタグを変える場合も同じ承認を経て、それまでに取り込んだデータは削除してから取り込み直します。

事業者様の側で確かめる方法

• このロールによる API の呼び出しは、すべて AWS CloudTrail の管理イベントとして残る仕組みです。 セッション名が optsight- で始まるので、OptSight からの呼び出しかどうかはそこで見分けがつきます。
• 呼び出した API の種類と頻度に加え、多くの API ではリクエストの条件 (タグ条件の値など) も記録に残ります。 どこまで記録し何日保持するかは、CloudTrail の設定次第です。

タグの設定方法

取得の範囲は、自団体のリソースに付いているタグ (キーと値の組) で決まります。スタックを作成する前に、次の手順でタグを確認してください。

6. 取得データの保存場所と保存期間

7. 人によるアクセス

8. 関連資料

• セットアップガイド — 自治体担当者と事業者の作業の分担、画面ごとの手順
• サービス仕様 — 取得頻度・保存する粒度・保存期間
• 接続確認 — 庁内ネットワークで許可が必要な通信先

このページにない確認事項や、セキュリティチェックシートへのご記入のご依頼は、OptSight 担当者までお問い合わせください。