EC2 インスタンス構成証明でセルフマネージド型データベースのゼロオペレーターアクセス (ZOA) を実現

本稿は、EC2インスタンス構成証明を活用してセルフマネージドデータベースに対するゼロオペレーターアクセスを実現する設計と実装方針を説明している。Attestable AMIを中心に、NitroTPM・UKI・LUKSを組み合わせ、データベースの機密性と運用性を両立する枠組みを提示する。

ブート時の信頼チェーンでは、ニトロファームウェアがUKIを測定しPCR4・PCR12・PCR7に反映させる。Attestable AMI内のシステムが起動時に構成証明を作成・検証し、AWS KMSへのアクセス条件としてこれら測定値を活用する。これにより、正しいブート環境でのみ暗号化されたリソースの解読が可能になる。

リファレンス実装は5つのステップで説明される。UKIのビルド、dm-verityによるストアの紐付け、nitro-tpm-pcr-computeによるPCR算出、参照測定値(tpm_pcr.json)の出力、KMSキーポリシーへの組み込みである。これによりAMIの測定値とKMSの復号条件を結びつける。

運用上のポイントとして、ZOA実現のためSSHやシリアル接続を無効化し、ポート制限やIMDSのアクセス制御、読み取り専用のファイルシステム配置、dm-verityによる検証などが挙げられる。AMIの変更はPCR値に反映されるため、ポリシー管理には注意が必要である。