開発ライフサイクルで学ぶ Amazon ECS コンテナセキュリティ実践ワークショップ

コンテナワークロードのセキュリティは、単一の対策ではなく、開発ライフサイクル全体を通じた多層的な取り組みが求められます。本ワークショップでは前半の座学で、コンテナのビルド、サプライチェーンを経た Amazon ECR への格納、Amazon ECS によるデプロイ、そしてランタイムでの稼働という各段階において、セキュリティをどう担保するかを順を追って網羅的に解説します。コンテナ技術アーキテクチャの階層とコンポーネントを俯瞰しながら、レジストリ、オーケストレーター、ホストといった各レイヤーに、予防的統制（最小権限、AWS Fargate の採用、ディストロレスイメージ、Immutable タグなど）と発見的統制（AWS CloudTrail、Amazon Inspector、Amazon GuardDuty Runtime Monitoring など）を対応づけ、後半のハンズオンが全体のどこを守るものかを明確にします。

本ワークショップでは、主に以下のトピックを扱います。

• コンテナセキュリティの全体像：開発ライフサイクル（ビルド → Amazon ECR への格納 → Amazon ECS によるデプロイ → ランタイム稼働）に沿った俯瞰
• 予防的統制と発見的統制の体系的な整理と、各レイヤー（レジストリ・オーケストレーター・ホスト）へのマッピング
• 生成 AI ワークロード時代に重要性が増す「できることを減らす」設計（AWS Fargate による隔離、Linux Capabilities の削除、root 権限の排除）
• Amazon Inspector の拡張スキャンによる言語ライブラリの脆弱性（CVE）検知と対応【ハンズオン】
• マルチステージビルドやタスク定義の見直しによるアタックサーフェスの削減【ハンズオン】
• Amazon GuardDuty Runtime Monitoring による不審通信の検知と、対象ワークロードの切り離し【ハンズオン】

また、生成 AI を活用したエージェントなどのワークロードが増える中で、AWS Fargate のような隔離された実行環境や、Linux Capabilities の削除・root 権限の排除といった「できることを減らす」設計の重要性にも触れます。後半のハンズオンでは、AWS Fargate 上の Amazon ECS ワークロードを対象に、Amazon Inspector の拡張スキャンで言語ライブラリの脆弱性（CVE）を検知し、マルチステージビルドやタスク定義の見直しによってアタックサーフェスを削減します。さらに、意図的に発生させた不正な通信を Amazon GuardDuty Runtime Monitoring で検知し、対象ワークロードを切り離すまでの一連の流れを体験します。検知から対応までを手を動かして学ぶことで、実務に活かせるコンテナセキュリティの勘所を習得できます。