AWS、ルートユーザーのサインイン処理を複数リージョンへ分散しレジリエンスを向上

AWSは、ルートユーザーのサインイン処理を米国東部（バージニア北部）、米国東部（オハイオ）、米国西部（オレゴン）の3つのリージョンに分散して提供を開始しました。これにより、特定のリージョンへの依存を低減し、可用性を向上させています。サインイン方法は変更不要で、AWSが自動的にルーティングを行います。なお、CloudTrailのConsoleLoginイベントは、サインイン処理が行われたリージョンに記録されるため、監視対象に以下の3つの米国リージョンを含める必要があります。

エンジニアへの影響と運用上の注意点

解決される課題

ルートユーザーのサインインが特定のリージョン（バージニア北部）に依存していたため、当該リージョンで障害が発生した際のリスクがありました。今回の分散により、サインインの可用性が大幅に向上します。

日本国内の運用における注意点

リサーチ結果に基づくと、本機能のサインイン処理リージョンは米国3リージョンのみです。東京（ap-northeast-1）や大阪（ap-northeast-3）リージョンでサインイン処理が行われることはなく、日本国内からサインインする場合でも、CloudTrailのログは米国リージョンに記録されます。「ログが東京・大阪にない」という事象は、仕様変更によるものであると認識しておく必要があります。

実務的なアドバイス

ルートユーザーのサインイン活動を監視するセキュリティ・アラートの設定は、必ず米国東部（バージニア北部）、米国東部（オハイオ）、米国西部（オレゴン）の3つのリージョンすべてを対象に含めるように更新してください。特定のリージョンのみを監視対象にしていると、ルーティング先が変更された場合に検知知見が漏れる可能性があります。

次に確認すべきアクション

1. CloudTrailの監視設定の確認: 現在の監視対象リージョンに、上記3つの米国リージョンが含まれているか確認してください。

参照ドキュメント:

• AWS Sign-In documentation
• CloudTrail ConsoleLogin event reference

https://docs.aws.amazon.com/signin/latest/userguide/introduction-to-root-user-sign-in-tutorial.html