防衛クラウドの導入を計画する
計画手法は、クラウド導入のコマンド ドメインに含まれます。
図 1: ドメイン トラッカー - コマンド ドメイン
計画手法は、ミッション所有者がクラウド導入の準備をする場所です。 彼らは、要件を定義し、ミッション目標を達成するのに役立つ意思決定を行い、適切な利害関係者と関わる必要があります。 これらの計画は、人材とプラットフォーム管理のニーズを決定します。 適切な計画は、プロジェクトが利害関係者から同意を得られるようにするのに役立ちます。
クラウド ブローカーを使用することをお勧めします。計画では、ミッション所有者がクラウド ブローカー サービスを使用するためのアプローチを選択します。 ここでは、ミッション所有者が、目標を満たすための技術的な要件を定義していることを前提としています。 定義していない場合、それはクラウド ブローカー戦略を実施する前に必要な前提条件となります。 この関係は多くのメリットを提供するため、クラウド ブローカーの使用は、防衛組織のベスト プラクティスです。 一部の防衛組織では、コマンド チェーンで特定のクラウド ブローカーを使用することを義務付けています。 クラウド ブローカーの重要性とメリットを考えると、クラウド ブローカーのメリットとアプローチには検討する価値があります。
クラウド ブローカーのメリット
クラウド ブローカーは、クラウド プラットフォームを構築および管理する一元化されたグループです。 クラウド ブローカーは、クラウド環境を管理し、ミッション所有者がクラウドを簡単に導入できるようにするために必要なタスクの多くを実行します。 防衛組織にはクラウド ブローカーの要件がある場合があり、ミッション所有者はこれらの要件を計画に組み込む必要があります。 ミッション所有者が複数のクラウド ブローカーから選択できる場合は、このプロジェクトに最適なサービスと価格を提供するクラウド ブローカーを判断する必要があります。
クラウド ブローカーには、次のメリットがあります。
管理されたプラットフォーム ランディング ゾーン - 防衛環境でホストされているサービス、ソリューション、アプリケーションには、管理された環境が必要です。 クラウド ブローカーは、コンプライアンス要件を満たす管理されたプラットフォーム環境 (プラットフォーム ランディング ゾーン) を構築し、維持します。
Azure ランディング ゾーンには、セキュリティで保護され、信頼性が高く、コスト効率の高いクラウド運用のために防御アプリケーションで必要となるすべてのコンポーネントが含まれるターゲット アーキテクチャが用意されています ("図 2 を参照")。 Azure ランディング ゾーンは、8 つの設計領域にわたって主要な原則に従っています。 Azure ランディング ゾーン環境は、プラットフォーム ランディング ゾーンとアプリケーション ランディング ゾーンで構成されます。
"プラットフォーム ランディング ゾーン": プラットフォーム ランディング ゾーンは、複数のアプリケーションで使用されるコア サービスを提供するサブスクリプションです。 サンプル アーキテクチャ ("図 2 を参照") では、赤色で囲まれているコンポーネントとサブスクリプションがプラットフォーム ランディング ゾーンです。 これらは、ID、管理、接続などの共有サービスを、この環境内のアプリケーションに提供します。
"アプリケーション ランディング ゾーン": アプリケーション ランディング ゾーンは、アプリケーションをホストするためのサブスクリプションです。 サンプル アーキテクチャ ("図 2 を参照") では、アプリケーション ランディング ゾーンは青色のボックスで囲まれています。 このアーキテクチャには、"アプリケーション ランディング ゾーン A1 サブスクリプション" と "アプリケーション ランディング ゾーン A2 サブスクリプション" という 2 つのアプリケーション ランディング ゾーンがあります。 このアーキテクチャでは、"アプリケーション ランディング ゾーン A2 サブスクリプション" のみが詳細に示されています。
図 2: 概念的な Azure ランディング ゾーン アーキテクチャ
クラウド ブローカーを使わない場合、ミッション所有者はアプリケーション ランディング ゾーンとプラットフォーム ランディング ゾーンを担当します。 しかし、クラウド ブローカーを使う場合、ミッション所有者はアプリケーション ランディング ゾーンのみを管理すればよく、ミッション目標達成のためにアプリケーションをモダン化することに集中できます。 クラウド ブローカーは、プラットフォーム ランディング ゾーンのコア サービスに対する技術的責任を負います。
プラットフォーム ランディング ゾーンには、次の規範を含む設計上の決定が含まれます。
- Cost Management
- セキュリティ ベースライン管理
- ID ベースライン管理
- リソースの整合性
- デプロイ高速化
詳細については、「プラットフォームとアプリケーションのランディング ゾーン」を参照してください。
コア サービス - クラウド ブローカーは、ID、ネットワーク、管理などのコア サービスを実装および管理します。 ほとんどの場合、クラウド ブローカーは、新しいクラウド環境をオンプレミス ネットワークに安全に接続して、運用環境を構築し、ミッション要件に基づいてポリシーを適用して ID アクセス管理 (IAM) ソリューションを確立します。
プラットフォームの運用承認 (ATO) - 経験豊富なクラウド ブローカーは、ミッション所有者が独自に行う場合よりも迅速にプラットフォーム レベルの ATO を実現できるように支援できます。 プラットフォーム レベルの ATO は、ミッション所有者が重要なアプリケーションをどれだけ迅速にデプロイできるかに直接影響します。 詳細については、ATO の高速化に関する記事を参照してください。
効率性の向上 - クラウド ブローカーは、情報のフローを自動化できるため、手動でデータを生成してプラットフォームのコンプライアンス要件を管理する必要がなくなります。 この自動化により、アプリケーションのデプロイに関する承認機関へのタイムリーかつ正確なルーティングが可能になり、追跡可能性と説明責任を実現できます。 クラウド ブローカーを使用しない場合は、ミッション所有者が次の難題を克服する必要があります。
- 資金の取得と割り当て
- 監視とコンプライアンスの要件の管理
- セキュリティ チームからの承認の取得
- アプリケーションのビルドのための技術チームへのプロジェクトの引き渡し
これらのアクティビティは、数週間または数か月、場合によっては年単位で続く可能性があります。 クラウド ブローカーは、ミッション所有者のためにプロセスを簡素化し、迅速化します。
クラウド ブローカーのアプローチ
クラウド ブローカーの使用を検討する際に、ミッション所有者が考慮すべきさまざまなアプローチがあります。 ミッション所有者は、1 つのクラウド ブローカーまたは複数のクラウド ブローカーを使用できます。適切なアプローチは、ミッションのニーズによって決まります。
1 つのクラウド ブローカーのアプローチ - 1 つのクラウド ブローカーのアプローチでは、ミッション所有者はクラウド サービスについて 1 つのエンティティと契約します。 さまざまなサポート モデルが存在する可能性がありますが、クラウド ブローカーが単一の窓口になります。 1 つのクラウド ブローカーは、テナントと呼ばれる 1 つのクラウド ID ソリューションを提供します。 シングル テナントには、いくつかの明白なメリットがあります。 シングル テナントは次のようなメリットがあります。
- すべてのクラウド環境の可視性と透明性を向上させることで、ID とアクセス管理の複雑さを軽減します
- コンプライアンスに準拠した情報共有を促進しながら、セキュリティを強化します
- ゼロ トラスト アーキテクチャの構築を簡略化します
- 緊迫した状況下で兵士間のデータ転送効率を向上させます
これらのメリットがミッション所有者のニーズを満たしている場合は、1 つのブローカーがより良いアプローチである可能性が高くなります。
複数のクラウド ブローカーのアプローチ - 複数のクラウド ブローカーのアプローチでは、2 つ以上のクラウド ブローカーを使用してマネージド クラウド サービスを提供します。 複雑な組織では複数のクラウド ブローカーの方が有効です。多くの場合、防衛環境には複数のクラウド ブローカー戦略の根拠となるのに十分な複雑さがあります。 ただし、注意が必要です。 複数のクラウド ブローカーは、クラウド導入計画により多くのリスクをもたらし、組織が管理するコミュニケーションの経路が増加します。
次の要因は、複数のクラウド ブローカーのアプローチが適切かどうかを判断するのに役立ちます。
所有権: ミッション所有者には、専用のクラウド ブローカーが必要になる場合があります。 多くの場合、意思決定グループは、ミッション目標を達成し、依存関係による遅延を回避するために、専用のテナントを必要とします。
分離: ミッション所有者には、コンプライアンス、ガバナンス、または ID の理由から分離された環境が必要になる場合があります。 各テナント (Microsoft Entra ID のインスタンス) は、分離された ID 環境を表し、必要に応じて確実な分離バリアを作成できます。
管理: クラウド アプリケーションの管理とモダン化のために、複雑な環境を分離することが最適な場合があります。 しかし、この管理の分離により、コマンド チェーンの複雑さが増します。 すべてのクラウド資産を 1 つのビューで表示することがより困難になります。
セキュリティ: さまざまな影響レベルでデータ コンプライアンスを維持するには、承認済みの複数のテナントと複数のクラウド ブローカーが必要になり、それらの影響レベルを管理するための経験が必要になる場合があります。
複数のクラウド ブローカー戦略は、防衛組織のさまざまなレベルで使用できます。 ブローカーは、個々の軍事部隊 (海軍、空軍、陸軍) またはアプリケーションのグループに割り当てることができます。 選択肢は、所有権、分離、管理、セキュリティに関する防衛組織のニーズによって異なります。
詳細については、「計画の概要」および「移行評価チェックリスト」をご覧ください。
次のステップ
計画により、防衛組織の実行準備が整います。 編成手法では、この計画を使用し、技術的なもの以外の前提条件の達成を開始します。