セキュリティで保護された Azure コンピューティング アーキテクチャ (SACA)

Azure にワークロードをデプロイする米国国防総省 (DoD) のお客様は、セキュリティで保護された仮想ネットワークを設定し、DoD の標準とプラクティスで規定されているセキュリティ ツールとサービスを構成するためのガイダンスを求めています。

2017 年に、防衛情報システム機関 (DISA) は 、セキュリティで保護されたクラウド コンピューティング アーキテクチャ (SCCA) 機能要件ドキュメント (FRD) を公開しました。 SCCA では、防御情報システム ネットワーク (DISN) と商用クラウド プロバイダーの接続ポイントをセキュリティで保護するための機能目標について説明します。 SCCA では、ミッション所有者が接続境界でクラウド アプリケーションをセキュリティで保護する方法についても説明します。 商用クラウドに接続するすべての DoD エンティティは、SCCA FRD に記載されているガイドラインに従う必要があります。

SCCA には、次の 4 つのコンポーネントがあります。

• 境界クラウド アクセス ポイント (BCAP)
• Virtual Datacenter Security Stack (VDSS)
• Virtual Datacenter Managed Services (VDMS)
• 信頼されたクラウド資格情報マネージャー (TCCM)

Microsoft は、Azure で実行される DoD IL4 ワークロードと DoD IL5 ワークロードの両方の SCCA 要件を満たすのに役立つソリューションを開発しました。 この Azure 固有のソリューションは 、Secure Azure Computing Architecture (SACA) と呼ばれ、SCCA FRD への準拠に役立ちます。 接続後にワークロードを Azure に移動できます。

SCCA のガイダンスとアーキテクチャは DoD のお客様に固有のものですが、一般市民のお客様が 信頼できるインターネット接続 (TIC) ガイダンスに準拠し、セキュリティで保護された DMZ を実装して Azure 環境を保護したい商用のお客様を支援することもできます。

セキュリティで保護されたクラウド コンピューティング アーキテクチャ コンポーネント

境界クラウド アクセス ポイント (BCAP)

BCAP の目的は、クラウド環境で発生した攻撃から DISN を保護することです。 BCAP は侵入の検出と防止を実行します。 また、承認されていないトラフィックも除外されます。 このコンポーネントは、SCCA の他のコンポーネントと併置できます。 このコンポーネントは、物理ハードウェアを使用して展開することをお勧めします。 BCAP のセキュリティ要件を次の表に示します。

BCAP のセキュリティ要件

Virtual Datacenter Security Stack (VDSS)

VDSS の目的は、Azure でホストされている DoD ミッション所有者アプリケーションを保護することです。 VDSS は、SCCA のセキュリティ操作の大部分を実行します。 トラフィック検査を実行して、Azure で実行されるアプリケーションをセキュリティで保護します。 このコンポーネントは、Azure 環境内で提供できます。

VDSS のセキュリティ要件

Virtual Datacenter Managed Services (VDMS)

VDMS の目的は、ホスト セキュリティと共有データ センター サービスを提供することです。 VDMS の機能は、SCCA のハブで実行することも、ミッション所有者が独自の Azure サブスクリプションにデプロイすることもできます。 このコンポーネントは、Azure 環境内で提供できます。

VDMS のセキュリティ要件

信頼されたクラウド資格情報マネージャー (TCCM)

TCCM はビジネス ロールです。 この個人は、SCCA の管理を担当します。 彼らの義務は次のとおりです。

• クラウド環境へのアカウント アクセスの計画とポリシーを確立します。
• ID とアクセスの管理が正しく動作していることを確認します。
• クラウド資格情報管理プランを維持します。

この個人は、承認者によって任命されます。 BCAP、VDSS、VDMS は、TCCM がジョブを実行するために必要な機能を提供します。

TCCM のセキュリティ要件

SACA コンポーネントと計画に関する考慮事項

SACA 参照アーキテクチャは、VDSS および VDMS コンポーネントを Azure にデプロイし、TCCM を有効にするように設計されています。 このアーキテクチャはモジュール式です。 VDSS と VDMS のすべての部分は、一元化されたハブまたは複数の仮想ネットワークに格納できます。 一部のコントロールは、ミッション所有者の環境で対応したり、オンプレミスで対応することができます。 次の図は、このアーキテクチャを示しています。

SCCA コンプライアンス戦略と技術アーキテクチャを計画するときは、すべての顧客に影響を与えるため、最初から次のトピックを検討してください。 DoD のお客様には次の問題が発生しており、計画と実行が遅くなる傾向があります。

組織はどの BCAP を使用しますか?

• DISA BCAP:
  • DISA には、現在運用および保守している 2 つの Gen 2 BCAP があり、3 つの新しい Gen 3 BCAP が近日中にオンラインで提供されます。
  • DISA の BCAP はすべて Azure への Azure ExpressRoute 回線を備えています。Azure ExpressRoute 回線は、政府機関や DoD のお客様が接続に使用できます。
  • DISA には、Microsoft 365 などのサービスとしての Microsoft ソフトウェア (SaaS) ツールをサブスクライブしたいお客様向けのエンタープライズ レベルの Microsoft ピアリング セッションがあります。 DISA BCAP を使用すると、SACA インスタンスへの接続とピアリングを有効にすることができます。
  • DISA BCAP を使用することをお勧めします。 このオプションは、すぐに利用可能で、冗長性が組み込まれており、現在この運用環境で実際に運用しているお客様もいます。
• 独自の BCAP を構築します。
  • このオプションでは、併置されたデータ センター内の領域をリースし、ExpressRoute 回線を Azure に設定する必要があります。
  • このオプションでは、DoD CIO からの追加の承認が必要です。
  • 追加の承認と物理的なビルドアウトのため、このオプションは最も時間がかかり、取得が困難です。
• DoD ルーティング可能な IP 領域:
  • エッジで DoD ルーティング可能な IP 空間を使用する必要があります。 NAT を使用して、これらのスペースを Azure のプライベート IP 空間に接続するオプションを使用できます。
  • IP 領域を取得するには、DoD ネットワーク インフォメーション センター (NIC) に問い合わせてください。 これは、DISA を使用したシステム/ネットワーク承認プロセス (SNAP) 提出の一部として必要です。
  • NAT を使用して Azure のプライベート アドレス空間を接続する予定の場合は、SACA をデプロイする予定のリージョンごとに、NIC から割り当てられたアドレス空間の /24 サブネット以上が必要です。
• 冗長性：
  • フェールオーバー機能のために、少なくとも 2 つのリージョンに SACA インスタンスをデプロイします。
  • 個別の ExpressRoute 回線を介して少なくとも 2 つの BCAP に接続します。 その後、両方の ExpressRoute 接続を各リージョンの SACA インスタンスにリンクできます。
• DoD コンポーネント固有の要件:
  • 組織には、SCCA 要件以外の特定の要件がありますか? 一部の組織には、特定の IPS 要件があります。
• SACA はモジュールアーキテクチャです。
  • 環境に必要なコンポーネントのみを使用します。
    • 単一層または多層にネットワーク仮想アプライアンスをデプロイします。
    • クラウドネイティブ IPS または Bring Your Own IPS を使用します。

VDSS のデプロイに使用する自動ソリューションはどれですか?

前述のように、さまざまなアプライアンスと Azure サービスを使用して SACA 参照を構築できます。 Microsoft には、ネイティブ サービスまたは Palo Alto Networks、F5、Citrix などのパートナーのソリューションを使用して SACA をデプロイするための自動化されたソリューション テンプレートがあります。 これらのソリューションについては、次のセクションで説明します。

どの Azure サービスを使用しますか?

• ログ分析、ホストベースの保護、IDS 機能の要件を満たすことができる Azure サービスがあります。 一部のサービスが Microsoft Azure DoD リージョンで一般公開されていない可能性があります。 この場合、これらの Azure サービスが要件を満たしていない場合は、サード パーティ製のツールを使用する必要があります。 使い慣れたツールと、Azure ネイティブ ツールを使用する可能性を確認します。

• できるだけ多くの Azure ネイティブ ツールを使用することをお勧めします。 クラウド セキュリティを念頭に置いて構築され、Azure プラットフォームの残りの部分とシームレスに統合されます。 次の一覧の Azure ネイティブ ツールを使用して、さまざまな SCCA 要件を満たします。

  • Azure Monitor
  • Microsoft Defender for Cloud
  • ネットワーク ウォッチャー
  • Azure Key Vault
  • Microsoft Entra ID
  • アプリケーション ゲートウェイ
  • Azure Firewall
  • Azure Front Door
  • ネットワーク セキュリティ グループ
  • Azure DDoS Protection
  • Microsoft Sentinel

• サイズ

  • サイズ決定のプロセスを完了する必要があります。 SACA インスタンス経由の同時接続の数とネットワーク スループットの要件を確認します。
  • この手順は重要です。 VM、ExpressRoute 回線のサイズを変更し、SACA デプロイで使用するさまざまなベンダーから必要なライセンスを識別するのに役立ちます。
  • 適切なコスト分析を行うには、サイズ設定の演習を行う必要があります。 適切なサイズ設定により、最適なパフォーマンスが得られます。

最も一般的なデプロイ シナリオ

一部の Microsoft のお客様は、SACA 環境の完全な展開または少なくとも計画段階を経ています。 その経験から、最も一般的なデプロイ シナリオに関する分析情報が明らかになります。 次の図は、最も一般的なアーキテクチャを示しています。

図からわかるように、顧客は通常、2 つの DISA BCAP をサブスクライブします。 ExpressRoute プライベート ピアは、DISA BCAP の各場所で Azure に対して有効になります。 これらの ExpressRoute ピアは、各 Azure リージョンの仮想ネットワーク ゲートウェイにリンクされます。 すべてのイングレス トラフィックとエグレス トラフィックは、DISA BCAP への ExpressRoute 接続を介して SACA 経由で流れます。

その後、ミッション所有者は、アプリケーションをデプロイする予定の Azure リージョンを選択します。 仮想ネットワーク ピアリングを使用して、アプリケーションの仮想ネットワークを SACA 仮想ネットワークに接続します。 その後、すべてのトラフィックを VDSS インスタンス経由で強制的にトンネリングします。

SCCA の要件を満たすので、このアーキテクチャをお勧めします。 可用性が高く、簡単にスケーリングでき、デプロイと管理が簡素化されます。

自動 SACA デプロイ オプション

前述のように、Microsoft はベンダーと提携して、自動化された SACA インフラストラクチャ テンプレートを作成しました。 これらのテンプレートは、次の Azure コンポーネントをデプロイします。

• SACA 仮想ネットワーク
  • VDMS サブネット
    • このサブネットでは、ジャンプ ボックス VM を含め、VDMS に使用される VM とサービスがデプロイされます。
  • 信頼されていないサブネット、信頼されているサブネット、管理サブネット、または AzureFirewallSubnet サブネット
    • これらのサブネットは、仮想アプライアンスまたは Azure Firewall がデプロイされる場所です。
• ジャンプボックス管理用の仮想マシン
  • これらは、環境の帯域外管理に使用されます。
• ネットワーク仮想アプライアンス
• Azure Bastion
  • Bastion は、SSL 経由で VM に安全に接続するために使用されます
• パブリック IP
  • ExpressRoute がオンラインになるまで、フロントエンドに使用されます。 これらの IP は、バックエンドの Azure プライベート アドレス空間に変換されます。
• ルート テーブル
  • これらのルート テーブルは、自動化時に適用され、内部ロード バランサー経由で仮想アプライアンスを介してすべてのトラフィックを強制的にトンネリングします。
• Azure ロード バランサー - Standard SKU
  • これらは、サードパーティのアプライアンス間でトラフィックを負荷分散するために使用されます。
• ネットワーク セキュリティ グループ
  • 特定のエンドポイントに通過できるトラフィックの種類を制御するために使用されます。

Azure SACA のデプロイ

環境の要件に応じて、Mission Landing Zone デプロイ テンプレートを使用して 1 つまたは複数のサブスクリプションにデプロイできます。 サードパーティのライセンスに依存しない組み込みの Azure サービスが使用されます。 このテンプレートでは、Azure Firewall やその他のセキュリティ サービスを使用して、SCCA に準拠したアーキテクチャをデプロイします。

Azure のドキュメントとデプロイ スクリプトについては、「 Mission Landing Zone」を参照してください。

Palo Alto Networks SACA のデプロイ

Palo Alto Networks デプロイ テンプレートは、1 つを多数の VM-Series アプライアンスにデプロイし、VDMS のステージングとルーティングを行って、1 層の VDSS 準拠アーキテクチャを有効にします。 このアーキテクチャは、SCCA の要件を満たしています。

Palo Alto Networks のドキュメントとデプロイ スクリプトについては、 Azure 上の Palo Alto Networks の SACA 実装に関するページを参照してください。

F5 Networks SACA のデプロイ

2 つの独立した F5 デプロイ テンプレートは、2 つの異なるアーキテクチャをカバーします。 最初のテンプレートには、アクティブ/アクティブの高可用性構成に含まれる F5 アプライアンスのレイヤーは 1 つだけです。 このアーキテクチャは、SCCA の要件を満たしています。 2 番目のテンプレートは、アクティブ/アクティブ高可用性 F5 の 2 番目のレイヤーを追加します。 この 2 番目のレイヤーを使用すると、F5 レイヤー間に F5 とは別の独自の IPS を追加できます。 すべての DoD コンポーネントに特定の IPS が規定されているわけではありません。 その場合、F5 デバイスの IPS がアーキテクチャに含まれているため、F5 アプライアンスのシングル レイヤーはほとんどの場合機能します。

F5 のドキュメントとデプロイ スクリプトについては、 F5 と Azure SACA を参照してください。

Citrix SACA のデプロイ

Citrix デプロイ テンプレートは、高可用性 Citrix ADC アプライアンスの 2 つのレイヤーをデプロイします。 このアーキテクチャは VDSS 要件を満たしています。

Citrix のドキュメントとデプロイ スクリプトについては、 SACA ベースのデプロイを参照してください。

次のステップ

• Azure Government の取得とアクセス
• Azure Government の概要
• Azure ガバメント セキュリティ
• Azure Government のコンプライアンス
• Azure を使用した信頼されたインターネット接続 (TIC)
• セキュリティで保護された分離のための Azure ガイダンス
• FedRAMP High
• DoD 影響レベル 4
• DoD 影響レベル 5
• DoD 影響レベル 6
• Azure およびその他の Microsoft クラウド サービスのコンプライアンス スコープ
• Azure Policy の概要
• Azure Policy 規制コンプライアンスの組み込みイニシアチブ
• Azure ランディング ゾーンを使用したセキュリティ制御マッピング