基本方針

主要ポリシー

アカウント管理:

• Must: ワークロードごとにアカウントを分離する
• Must: 命名規則 techmanu-{env}-{dept}-{purpose} に従う
• Must: ルートアカウントにMFAを設定し、日常利用を禁止する

セキュリティ:

• Must: 保存データ・通信データを暗号化する
• Must: 全アカウントでCloudTrailを有効化する
• Should: IAMロールは最小権限の原則に従う

コスト管理:

• Must: 全リソースに必須タグを付与する
• Must: 月間予算の80%でアラートを設定する
• Should: 未使用リソースを月次で棚卸する

アーキテクチャ:

• Must: 本番環境はマルチAZ構成とする
• Must: インフラはIaCで管理する
• Should: 新規ワークロードはコンテナ化を優先する

タグ付け戦略

OU構造

Root (techmanu)
├── Security OU
│   ├── techmanu-security-audit
│   └── techmanu-security-logging
├── Infrastructure OU
│   ├── techmanu-infra-network
│   └── techmanu-infra-shared
├── Sandbox OU
│   └── techmanu-sandbox-{個人名}
├── Workloads OU
│   ├── Development OU
│   │   ├── techmanu-dev-engineering
│   │   ├── techmanu-dev-iot
│   │   └── techmanu-dev-data
│   ├── Staging OU
│   │   ├── techmanu-stg-engineering
│   │   ├── techmanu-stg-iot
│   │   └── techmanu-stg-data
│   └── Production OU
│       ├── techmanu-prod-engineering
│       ├── techmanu-prod-iot
│       └── techmanu-prod-data
└── Suspended OU

ネットワーク設計

セキュリティベースライン

全アカウントに自動適用:

• CloudTrail有効化（全リージョン）
• Config有効化
• GuardDuty有効化
• Security Hub有効化（CIS Benchmark）
• S3 Block Public Access有効化
• EBS Default Encryption有効化
• IAM Password Policy設定

Config Rules一覧

自動修復シナリオ

1. 公開S3バケット: 検出→自動でパブリックアクセスブロック→所有者通知
2. 未暗号化EBS: 検出→スナップショット取得→暗号化ボリューム作成→通知
3. VPCフローログ未設定: 検出→自動でフローログ有効化→ログをLogging Accountに集約

コンプライアンスダッシュボード

表示項目:

• 全社コンプライアンススコア（リアルタイム）
• 部門別スコア（棒グラフ）
• ルール別準拠率（ヒートマップ）
• 未準拠リソース一覧（重要度別）
• トレンド（過去3ヶ月の推移）