【速報】ECSマネージドインスタンス、GovCloud(US)でFIPS対応！Graviton/GPUも安心！

Amazon ECSマネージドインスタンスが、AWS GovCloud(US)リージョンでFIPS 140-3に準拠したワークロードをGravitonおよびGPUアクセラレータインスタンス上で実行できるようになりました。これにより、連邦政府機関や規制対象の業界におけるセキュリティ要件を満たすことが可能になります。

ECSマネージドインスタンスFIPS対応、GovCloud(US)限定の現状とエンジニアが知っておくべきこと

今回のFIPS対応は、セキュリティ要件の厳しい環境下でのコンテナ利用を大きく前進させるものですが、いくつか重要な点があります。

解決する課題:

• これまで、FIPS 140-3に準拠した環境でGPUやGravitonインスタンスを利用するには、AWS Fargateに限定されていました。ECSマネージドインスタンスのFIPS対応により、より幅広いインスタンスタイプでFIPS準拠の環境を構築できます。
• FIPS対応のための手動設定は煩雑で、運用負荷が高くなっていました。マネージドインスタンスでは、FIPS準拠が自動的に有効になるため、運用負荷を大幅に軽減できます。

最新のリージョン状況: AWS公式の裏取りを行った結果、現時点ではこのFIPS対応はAWS GovCloud (US)リージョンに限定されています。東京(ap-northeast-1)や大阪(ap-northeast-3)リージョンでは利用できません。この点は、特に日本国内の顧客は注意が必要です。

運用上の注意点:

• コスト: FIPS対応自体に別途コストはかかりませんが、EC2インスタンスの利用料金とECSマネージドインスタンスの管理料金が発生します。SpotインスタンスやCompute Savings Planの活用を検討しましょう。
• セキュリティ: SSHアクセスは推奨されず、ECS Execを利用してデバッグを行うようにしましょう。インスタンスは14日ごとに自動的に置き換えられるため、Immutable Infrastructureの考え方を取り入れることが重要です。
• 移行のヒント: Fargateから移行する場合は、タスク定義の互換性を確認し、キャパシティプロバイダをECSマネージドインスタンスに変更します。EC2から移行する場合は、カスタムAMIは不要で、14日ごとのインスタンス置き換えに注意が必要です。

最初に確認すべきこと:

1. ワークロードがAWS GovCloud (US)リージョンにデプロイされていることを確認してください。
2. InstanceLaunchTemplateでfipsEnabledパラメータをtrueに設定してください。
3. GovCloud (US)で非本番環境をデプロイし、FIPS準拠を検証してください。cat /proc/sys/crypto/fips_enabledコマンドで確認できます。

参考資料:

• AWS Fargate Federal Information Processing Standard (FIPS-140)
• Architect for Amazon ECS Managed Instances