4. 特徴

4.1 クラウドサービスの一括調達

デジタル庁にて、クラウドサービス事業者と一括契約を行うことで、国の行政機関および地方公共団体等でのクラウド調達が不要になるため、クラウドサービス調達に必要な工数の削減に寄与する。

さらに、政府全体のバイイングパワーを発揮することで、例えば、クラウド標準サポートとしてより質の高いサポートを受けることが可能となるなど、有利な条件でクラウドサービスを利用することが可能となる。

また、クラウドサービス利用料の予算確保をデジタル庁にて一括で行うことで、全体的かつ一元的な管理を行うことが可能になる。

4.2 モダンアプリケーション化を支援

ガバメントクラウド利用の事前準備として、ガバメントクラウド利用組織が構築予定のアーキテクチャに関してモダンアプリケーション化が徹底されているかを精査し、ガバメントクラウドに構築する政府情報システムおよび地方公共団体情報システムは一定のモダンアプリケーション化を達成すること。

ガバメントクラウド利用組織はモダンアプリケーション化を実現する事で、クラウドサービス利用料削減や開発スピード向上、セキュリティ品質向上が可能となる。モダンアプリケーション化の実現において、SaaS利用は開発量の削減となるため強く推奨される。ただし、SaaS利用が無条件に推奨されるわけではない。利用者数の段階的な増加が見込まれる場合等、運用段階でSaaS利用料が高額となるケースもあるため、ライフサイクルコストの観点から真にコスト削減効果が発現するかを慎重に評価する必要がある。例えば、SaaSと同様の機能をマネージドサービスで実現することが可能であれば、ライフサイクルコストの観点から両方式を比較して十分に評価すべきである。

さらに、任意で利用可能なIaCでのモダンアプリケーションサンプルIaCファイルの提供を行っているため、ガバメントクラウド利用組織はモダンアーキテクチャの設計・構築工数を大幅に削減することが可能となる。

サンプルIaCファイルは最新技術の動向に合わせて追加、更新を行う方針である。

※サンプルIaCファイルで構築したインフラの運用はガバメントクラウド利用組織の責務となるため、サンプルIaCファイルの内容を理解したうえで利用すること。

図 4‑1 サンプルIaCファイルの例

4.3 ベースラインのセキュリティを担保

ガバメントクラウド利用組織は、払い出された環境に対しての必須作業である必須適用テンプレートを適用する事で、クラウド利用に最適化されたベースラインのセキュリティ設定を行うことが可能となる。

デジタル庁が適用する自動適用テンプレートと利用組織が適用する必須適用テンプレートによる設定は予防的統制と発見的統制に分類される。

1. 予防的統制：不正な操作を事前に防止

• セキュリティや監査ログの収集に関するサービスの削除防止
• 管理者用及び作業者用ユーザーアカウントのログイン時にMFAを強制
• リージョナルサービスにおける日本国内リージョン以外の使用禁止、未有効化リージョンの有効化禁止
• セキュリティ上問題となりやすいサービスの禁止

2. 発見的統制：管理リソースのモニタリング及び不正の検出
   アカウント保護、ストレージ保護、セキュリティ監視、ログ管理、鍵保護、データ暗号化、攻撃対策等に関するクラウドサービスの有効化による管理リソースのモニタリング及び不正の検出

4.4 拠点とのネットワーク接続をパターン化

各府省拠点および一般ユーザーからガバメントクラウド利用システムへの接続に当たっては、インターネットを経由する接続、GSSネットワークを経由する接続（各府省又は拠点からの接続に限る）、専用線を用いた閉域網を経由する接続が選択可能である。

各接続方法における留意事項と作業分担を①～③に記す。

①インターネット経由での接続
ガバメントクラウドでの各種接続はインターネット経由での接続を基本とする。
インターネット経由での接続に際しては、ゼロトラストの原則とCSPが提供する各種提供サービスを利用して安全でスケーラブルなアーキテクチャを構築することを推奨する。
特に保守拠点からのガバメントクラウドのCSPの管理GUIへの接続については、一般的なガイドラインに準拠しセキュリティを担保すること。
接続に係る設計や設定は、利用システム（PJMO）が実施する。接続に係るCSPのクラウド利用料については、利用システム（PJMO）が見積り、GCASシステム情報登録のクラウド利用料の試算に含めて入力する。

②GSSネットワーク経由での接続
各府省拠点とGSSネットワーク経由でのガバメントクラウド接続は、GSS LAN、府省独自LAN、府省共通システムの接続パターンが選択可能である。利用システムは、各府省のネットワーク管理担当や各府省クラウドCoEに確認の上、接続パターンを適切に選択すること。
利用システム環境側で接続に必要となるサービスのクラウド利用料は、利用システム（PJMO）が見積り、GCASシステム情報登録のクラウド利用料の試算に含めて入力する。詳細については、「表 4-2 接続に係る役割分担」を参照すること。

③専用線を用いた閉域網での接続
CSPの提供する専用線サービスを使用すると、オンプレミスネットワークから同じリージョン内の1つ以上のVPCへの専用接続を確立し、インターネットを経由しないプライベート接続が可能になる。CSPの提供する専用線サービスを用いた閉域網での接続を必要とするかについては、コストやセキュリティの要件に応じて、各システムにて適切に選択すること。
接続に係る設計や構築は、各府省のネットワーク管理担当や各府省クラウドCoEに相談の上、利用システム（PJMO）が実施する。接続に係るCSPのクラウド利用料については、利用システム（PJMO）が見積り、GCASシステム情報登録のクラウド利用料の試算に含めて入力する。ただし、クラウド利用料以外の物理結線等に係る費用は、利用システムが個別に予算要求を行う。

• 保守環境での接続
  保守環境として各府省の保守拠点から各利用システムとの接続を行う際は、原則インターネットを経由した接続を利用する。安定的な専用ネットワーク帯域が必要である場合はGSSネットワーク経由での接続や専用線を用いた閉域網での接続を検討すること。各接続方法は下表の記載箇所を参照すること。

表 4‑1 接続方法の参照箇所

• 利用システム間の連携
  利用システム間の連携に当たっては、インターネットを経由する接続、GSSネットワークを経由する接続、専用線を用いた閉域網を経由する接続、CSPサービスを利用した接続が選択可能である。
  CSPサービスを利用した接続を含めた技術的な詳細等について、GCASアカウントを取得の上、GCASガイド(メンバー専用ページ)で公開されているドキュメントを参照すること。
  接続に係る設計や構築の主管、CSPのクラウド利用料の見積り分担について、下表に示す。利用システム（PJMO）においては、各府省のネットワーク管理組織や各府省クラウドCoEに相談した上で実施すること。

表 4‑2 接続に係る役割分担

なお、ガバメントクラウドとしては、GSSネットワークとの接続に特段の制限は予定していない。各クラウドサービスの上限値やGSSネットワーク等の制約（使用可能な帯域等）の範囲内での運用となる。

4.5 改善活動に向けたデータの可視化

ガバメントクラウド利用組織は、利用するCSPが提供するシステムメトリクス監視機能や、データ可視化機能を使って、自システム状況の可視化を実現できる。デジタル庁では、ガバメントクラウド全体管理の観点から、各システムのビジネスメトリクス、アラーム、主要システムメトリクス、ログ、コスト、セキュリティアラート等を統計的に処理しダッシュボードにてデータの可視化を実施する。ガバメントクラウドからこのうちの一部機能をサンプルIaCファイルとして利用システムに提供する。このIaCファイルは、いわゆる「システム運用」ではなく「サービス運用」を目指した定量的可視化を行うことを目的としている。システム運用者・システム提供者向けの運用ダッシュボードではなく、システム利用者に最適なサービスを提供し、改善し続けるためのダッシュボードである。「システムがどのような状態にあるのか」を把握するのはもちろん重要であるが、それ以上に「ユーザーにどのような利益や影響を与えていて、どう改善すべきか」を中心に考えるように設計されている。

これによりガバメントクラウド利用組織はコスト・セキュリティ・事業計画などの面でデータの可視化の実装を容易に実現でき、改善活動を推進することが可能となる。

可視化するデータの詳細は検討中のため、仕様が確定次第本書を更新予定である。

図 4‑2 可視化するデータのイメージ

前の章へ | 次の章へ