c4.3 IAM データ境界を強制する

データ境界とは

クラウド運用が分散化するにつれ、AWS のデータ境界は誤設定や意図しないデータアクセスのリスクを低減します。データ境界は、組織全体の常時稼働の権限ガードレール群で、次を保証します。

• 信頼できるアイデンティティ（自社アカウントのプリンシパル、または代わりに動作する AWS サービス）が、
• 信頼できるリソース（自社アカウントまたは AWS サービスが所有）に、
• 想定されたネットワーク（自社の VPC やオンプレミスネットワーク）からアクセスすること。

これらのガードレールはきめ細かいアクセス制御を置き換えるものではなく、セキュリティ不変条件を強制し、最小権限への道をより安全に進められるようにします。

構築方法

Service Control Policies、Resource Control Policies、VPC エンドポイントポリシーを、IAM 条件キー（aws:PrincipalOrgID、aws:ResourceOrgID、aws:SourceVpc など）を使って組み合わせます。他のセキュリティ統制と同様に扱い、脅威分析を行ってから、リスク基準に基づいて境界の統制を反復的に実装します。データ境界のガイダンスと Data Perimeter ワークショップが各境界タイプを解説します。