ガバメントクラウドテンプレートとは？

以前のコラム「通常のクラウドとガバメントクラウドの違いはなにか」にて、ガバメントクラウドの役割分担や責任範囲を解説しました。情報資産の責任範囲に登場する、デジタル庁唯一の責任範囲となっているものが「ガバメントクラウドテンプレート」です。

そもそもテンプレートとは何でしょうか。テンプレートとは辞書的には「ひな形」であり、あらかじめ決められた定型文や資料となります。情報システムでのテンプレートとは、あらかじめ用意された設計書や設定をひな型として流用する意味合いで使うことが多いと思います。ガバメントクラウドのテンプレートも同様の考え方となります。

では、何をひな形としているのでしょうか？ ずばり、AWSから提供される様々なリソースや情報、AWS構成や設定のひな形です。

ガバメントクラウドテンプレートについては、「ガバメントクラウドのガバナンス・セキュリティはSCPと自動適用テンプレート、必須適用テンプレートによって担保される。」（※）とされており、ガバメントクラウドにとって非常に重要なものです。重要にも関わらず、全体像を把握できる形で公開されている情報が少ないので、よくお問い合わせをいただく部分です。ガバメントクラウド上に移行・構築しようとしている情報システムに影響があるのか？、どのような機能が提供されるのか？とても気になる部分だと思います。今回は、このテンプレートについて解説します。

詳細は非公開…

いきなりでスミマセン、実はこの「ガバメントテンプレート」そのものは公開されていません。正式には、GCASアカウントを取得した後に、GCASのメンバー専用ページから参照することが可能です。（メンバー専用ページ→ガバメントクラウドテンプレート/ポリシー→ガバメントクラウドテンプレート/ポリシーのダウンロードページ、で参照可能）
今回は様々な公開情報を基にガバメントクラウドテンプレートを説明します。

テンプレートの種類

ガバメントクラウドには複数のテンプレートが用意されています。その中で「自動適用テンプレート」と「必須適用テンプレート」を適用する必要があります。「自動適用テンプレート」は、ガバメントクラウドの利用アカウントが払い出され、アクセスした際にはすでに適用されています。このため、利用者は適用作業を特に意識する必要はありません。一方で「必須適用テンプレート」は、利用者によってテンプレート適用の作業を行う必要があります。
ガバメントクラウドから提供されるテンプレートを以下に示します。

（GCASガイド「ガバメントクラウド概要解説_3 概要」 表 3-1 テンプレート一覧 抜粋をNECで一部加筆）

自動適用テンプレート

自動適用テンプレートは予防的統制を目的として適用されます。
予防的統制とは、セキュリティ問題やリスクが発生する前に、それらを未然に防ぐために実施される対策や仕組みのことです。セキュリティインシデントの原因となる問題を予防・軽減させるための対策を意味します。

ガバメントクラウド（AWS）では、「AWS Control Tower」、「AWS Organizations」が利用されます。
AWS Control Towerでは、予防ポリシーが設定され、AWSにてあらかじめ定義されているガイダンスである「必須」、「強く推奨」の2つが有効化されます。

AWS Organizationsでは、SCP（Service Control Policy）が定義されます。SCPでは、ガバメントクラウドが禁止するアクションがあらかじめ設定されます。2025年3月現在、以下のポリシーが適用されています。

※ AWS CloudShellに関してはAWS CloudShell VPC environmentのみ利用可能

（GCASガイド「予防的統制内容説明(AWS編)」抜粋をNECで一部加筆）

「ガバメントクラウドは日本国内リージョンしか利用できない」という話を耳にすることがあると思いますが、それはここで制御されているためです。ただ、AWSのサービス仕様上、バージニア北部リージョンも一部サービスが利用できるように設定されています。

GCASガイド「ガバメントクラウド利用概要（AWS編）　3.2 予防的統制の設定内容では、上記に加えて様々な統制がなされていることが示されています。ガバメントクラウドでの禁止サービスやリザーブドインスタンスの利用制限などが示されます。ただ、ガバメントクラウドで利用できるサービスについては、たびたび見直しされており、最新の情報を確認されることを強く推奨します。

これらの予防ポリシー、SCPがOrganizational Unit(OU)として、ガバメントクラウド環境の払い出し時に各アカウントに定義されます。

必須適用テンプレート

必須適用テンプレートは発見的統制を目的として適用されます。
発見的統制とは、セキュリティ問題やリスク顕在化によるインシデントが発生した後に、それを検出して特定するために実施される対策や仕組みのことです。この必須適用テンプレートは公開情報が少なく、GCASアカウント取得前の状態ではなかなか全体像を把握することが難しいテンプレートです。

GCASガイド 発見的統制内容説明(AWS編)では、主に以下のAWSサービスが使用されると説明されています。

各サービスには、ガバメントクラウドにて初期設定がなされています。 例として、AWS Security Hubでは、以下のセキュリティベストプラクティスが有効化されています。（2025年3月現在）

これらのベストプラクティスも時間経過とともにその時点で最適なものに変化していきます。 このため、運用中にアラートの内容が変化することもあります。 クラウドのメリットですが、運用上は注意が必要ですね。

各サービスにて以下の事象が発生した際に、メールまたはslackにて設定した通知先にアラートが発出されます。

（GCASガイド「発見的統制内容説明(AWS編)」抜粋）

GCASガイド「ガバメントクラウド利用概要（AWS編）　3.3 発見的統制の設定内容では、上記に加えて様々な発見項目が定義されていることが示されています。自動適用テンプレート同様に、見直しがたびたび起きており、最新の情報を確認されることを強く推奨します。

必須適用テンプレートのポイントとして、利用者による設定が必要なことが挙げられます。
前述の通り、アラートの送信先の設定など、利用者による事前設定が必要な個所があります。また、「カスタマイズ可能」とされている通り、利用者によるテンプレートのカスタマイズも可能です。
AWSサービスの更新やテンプレートの初期設定変更、バグ修正なども時折発生しますが、それらを利用している環境に適用するのは利用者の責任となる点に注意が必要です。

必須適用テンプレートの提供方法

必須適用テンプレートは、2つの提供方法が用意されています。提供方法が示されている、GCASガイド「ガバメントクラウド利用概要（AWS編）　3.6 必須適用テンプレートの提供方法」を抜粋します。

上記の通り、「CDKテンプレートによる提供」、「AWS Service Catalogによる提供」の2つの提供方法が用意されています。それぞれの方法について説明します。

全体的な概略

GCASガイド「ガバメントクラウド利用概要（AWS編）3.1 ガバナンス・セキュリティの全体像」では、以下の概略図が示されています。

さいごに

今回は、ガバメントクラウドで提供されるテンプレートについてご説明しました。自動適用テンプレートと必須適用テンプレートについては、それぞれ下記統制を目的に作られています。

自動適用テンプレート：予防的統制
必須適用テンプレート：発見的統制

公開情報のみで執筆しているため、テンプレートそのものの情報については触れられていない点はご容赦願います。しかし、GCASアカウントを取得するまでは公開情報からテンプレート情報を得る必要がありますので、その際の理解の一助になれば幸いです。

また、「ガバメントクラウド運用支援サービス」では、ガバメントクラウドや通常のクラウドで利用可能な様々なテンプレートをご用意しています。ガバメントクラウドから提供されるテンプレートでの環境構築効率化だけでなく、その上位の環境構築も是非テンプレートを活用して効率化していただければと思います。ご興味のある方はぜひNECにお気軽にご相談ください。

皆様のガバメントクラウドの理解と円滑な利用への一助になれば幸いです。