3 概要

3.1 ガバメントクラウドとは

ガバメントクラウドとは、公共情報システムの効果的かつ効率的な整備及び運用を推進するため、公共情報システムの整備又は運用において国と公共情報システム整備運用者が共同して利用することができるものとされたクラウド・コンピューティング・サービスを利用することができるようにデジタル庁が整備したクラウド環境であり、選定するCSPがサービス機能やリファレンスアーキテクチャとして提供するセキュリティ対策に加え、ガバメントクラウドとして必要と考えられるセキュリティ対策やガバナンス機能が適用されるクラウド環境である。
ガバメントクラウドでは、選定するCSPが提供するクラウドサービスのメリットを最大限享受できるよう、必要最小限のガバナンスおよびセキュリティ設定の適用を除き、原則として独自に共通的な機能・サービスを実装し提供することは行わず、可能な限りクラウドサービスをネイティブに利用することが出来る。
なお、情報システムの構築や運用は、独自にクラウドを調達する場合と同様、利用機関のポリシーや利用システムの要件を踏まえ、利用システムの責任において行う必要がある。

令和6年度において、ガバメントクラウドとして利用できるクラウドサービスはアマゾン ウェブ サービス ジャパン合同会社のAmazon Web Services（以下「AWS」という。）とグーグル・クラウド・ジャパン合同会社のGoogle Cloud、日本マイクロソフト株式会社のMicrosoft Azure（以下「Azure」という。）、日本オラクル株式会社のOracle Cloud Infrastructure（以下「OCI」という。）となる。このほか、さくらインターネット株式会社のさくらのクラウドについては、令和7年度末までにガバメントクラウドとしての技術要件を満たすことができれば、利用環境として利用可能となる。

3.2 対象システム

ガバメントクラウドの対象システムは、「政府情報システムにおけるクラウドサービスの適切な利用に係る基本方針」において対象とされている情報システム、「ガバメントクラウド利用検討の基本的な考え方について」において公共情報システムと定義されている情報システムである。

　
・「政府情報システムにおけるクラウドサービスの適切な利用に係る基本方針」の「1.2 適用対象」より抜粋
本方針は、デジタル・ガバメント推進標準ガイドラインが適用されるサービス・業務改革並びにこれらに伴う政府情報システムの整備及び管理に関する事項に適用するものとする。
ただし、特定秘密（特定秘密の保護に関する法律（平成25年法律第108号）第3条第1項に規定する特定秘密をいう。）及び行政文書の管理に関するガイドライン（内閣総理大臣決定。初版平成23年4月1日。）に掲げる秘密文書中極秘文書に該当する情報を扱う政府情報システムについては対象外とする。
また、安全保障、公共の安全・秩序の維持といった機微な情報及び当該情報になり得る情報を扱う政府情報システムについても対象外とする。

・「ガバメントクラウド利用検討の基本的な考え方について」の「3.1 公共情報システムの範囲」より抜粋

デジタル行政推進法第二十三条第一項において、「公共情報システム」は、「国又は地方公共団体の事務の実施に関連する情報システム」とされており、具体的には、以下の情報システムを想定している。
なお、公共情報システムといっても多種多様の情報システムが存在しており、①～⑤では分類できない類型であっても、国又は地方公共団体の事務の実施に関連するシステムに該当するものとして利用を希望する場合には、所管部局等からデジタル庁（ガバメントクラウド担当）に申請があれば、内容を確認の上、公共情報システムとして認める場合もある（⑥に該当）。

① 政府情報システム及び地方公共団体等の情報システム
② デジタル行政推進法に基づく行政手続等に係る独立行政法人等情報システム
③ 政府又は地方公共団体職員に利用されている独立行政法人等情報システム
④ 政府又は地方公共団体情報システムとデータ連携している独立行政法人等情報システム
⑤ 重点計画に記載の公共・準公共分野に該当し、制度官庁が標準仕様を定める情報システム（※）
⑥ ①～⑤に該当しないものであって、国又は地方公共団体の事務の実施に関連する情報システムに該当するものとして、所管部局等からの申出に基づきデジタル庁が公共情報システムと認めた情報システム（※）
※ 民間事業者が整備又は運用する場合を含む。

3.3 全体像

ガバメントクラウドではデジタル庁がCSPと契約し、クラウド利用料を支払い、利用システムに対して、デジタル庁より利用環境の払い出しを行う。

3.3.1 環境の全体像

ガバメントクラウドではCSPごとに全体管理のための「共通領域（全体管理機能）」と「利用システム向け領域」が存在する。

各利用システムは、利用システム向け領域に払い出された分離された環境のなかにシステムを構成する。各環境は、独立した管理機能を保持しており、環境ごとの管理画面や管理機能を有し、利用システムが操作できる。また、許可しない限り他環境とネットワーク的に接続されることはない。

環境は本番と検証のリソース混在防止、課金単位の分離のため、本番環境と検証環境を分けて利用すること。

ガバメントクラウドでは原則として開発環境は提供しないが、CI/CDを実施する利用システムについてのみ開発環境の提供を行う。その場合、インフラ部分のCI/CDについては、ガバメントクラウドで指定するツールやテンプレート/IaCファイルを用いてCI/CD環境を構成すること。それ以外のCI/CD環境をインフラ部分に選択する場合は、その合理性がガバメントクラウド管理組織で認められる場合のみとする。アプリケーションのCI/CD環境については、インフラ部分と同じ構成でも、独自の構成でも構わないものとする。なお環境とは具体的には以下を指す。

• AWS：アカウント
• Google Cloud：プロジェクト
• Azure：サブスクリプション
• OCI：コンパートメント（一部テナント）

　
共通領域（全体管理機能）

• システム共通の管理機能を保持。
• 利用システムのシステム管理者の払い出しや監査ログの収集管理、セキュリティアラート情報の収集などを想定。
• デジタル庁内にて構築・運用され、利用システムに必要機能が連携される。

　
利用システム向け領域

• 利用システムの各環境が（本番環境・検証環境などの単位）テンプレートで払い出され、その環境内に利用組織側で利用システムを構築する。
• 利用組織側でアプリケーションや関連サービス・実行環境を配置・構築が可能。その際、基本アーキテクチャのテンプレート/IaCファイルや利用ガイドはデジタル庁より提供される。
• 利用システムの各環境用の、構成ルール、セキュリティ監視等の一部の基本的なセキュリティ機能は、環境払い出し時に基本設定済み。
• システムごとの追加運用機能（アプリ監視やログ出力監視、アラート設定など）やシステムとして必要なセキュリティ対策機能は、ガイドを見ながら利用側で設定する。

図 3‑1 環境の全体像

　
デジタル庁より提供されるテンプレート/IaCファイル

• ガバメントクラウドテンプレートを構成する自動適用テンプレート、必須適用テンプレート、サンプルIaCファイル及び個別適用IaCファイル（国の行政機関向け）の概要は下表のとおり。
  自動適用テンプレート、必須適用テンプレートは、環境払い出し時にデジタル庁で自動的に適用させるもの（共通）と、利用システム側で必要なパラメータ等を入力して実行するもの（システム単位）の２種類に分かれる。
• サンプルIaCファイルは、環境構築に必要な典型的な構成を定義したIaCファイルであり、利用システム側にて、環境構築時に適宜内容をカスタマイズし使用する。
• 個別適用IaCファイル（国の行政機関向け）は、利用システム側で適宜判断して任意で適用するものであり、適用するCSP環境、あるいはガバメントクラウド全体の利便性やガバナンスの向上を目的としている。
• 詳細については、GCASアカウントを取得の上、GCASガイド（メンバー専用ページ）で公開されているガバメントクラウドテンプレート（メンバー専用ページ→ガバメントクラウドテンプレート/ポリシー→ガバメントクラウドテンプレート/ポリシーのダウンロードページ）を参照すること。

　
表 3‑1 テンプレート/IaCファイル一覧

3.3.2 ユーザーの全体像

ガバメントクラウドでは、ガバメントクラウド利用組織からの利用申請の情報に基づき、デジタル庁より必要な数のシステムを稼働させるクラウド環境が払い出される。また、その環境を管理する管理者権限ユーザーが提供される。管理者権限ユーザーはシステムの運用責任者、運用リーダーに向けたもので、環境に対してのほとんどの権限を持つ。なお、管理者権限以外の各ユーザーアカウントは令和6年度より展開される、GCASアカウントによる各CSP環境へシングルサインオン機能の利用前後で以下の対応とする。

• シングルサインオン機能利用開始前
  • 管理者権限ユーザーが各CSP環境内でユーザーアカウントを作成する。
• シングルサインオン機能利用開始後
  • GCASアカウントによる各CSP環境へのシングルサインオンが可能になるため、各CSP環境内でユーザーアカウント作成は不要であり禁止する。

管理者権限ユーザーに付与される権限については、技術マニュアル「ユーザー管理方法」を参照すること。管理者権限ユーザーが侵害される可能性を減らすため、本番環境の管理者権限ユーザーの人数は3名までを推奨する。通常の運用時は、必要最小限の権限を付与したユーザーで実施する。

図 3‑2 ユーザーの全体像（国の行政機関）

図 3‑3 ユーザーの全体像（地方公共団体等）

3.3.3 ネットワークの全体像

ガバメントクラウドとして提供する複数のCSPと利用組織間のネットワークは国の行政機関と地方公共団体等で繋ぎ方が異なる。

国の行政機関においてはガバメントクラウドでの一般ユーザー・各府省拠点からの接続やシステム間連携の接続はセキュリティが十分担保された上でインターネット経由での接続を基本とし、同一CSP間のシステム連携は、CSPサービスの利用を検討すること。ただし、各府省拠点からの接続について、インターネット経由での接続を許容できない場合は、デジタル庁ガバメントソリューションサービス（以下GSSネットワークとする）経由での接続や専用線を用いた閉域網での接続を検討すること。利用組織共通で利用するサービスがガバメントクラウドで稼働する場合の拠点やデータセンタからの接続や、共通サービスへのガバメントクラウド上のシステムからの利用で使用する接続も提供される。

地方公共団体等においては「地方公共団体における情報セキュリティポリシーに関するガイドライン」に従い接続すること。詳細については、「地方公共団体情報システムガバメントクラウド移行に係る手順書」を参照すること。

接続に関する技術的な詳細や接続方法の選択フロー、システム間連携については、GCASアカウントを取得の上、GCASガイド(メンバー専用ページ)で公開されているドキュメントを参照すること。

3.4 体制

ガバメントクラウドの責任範囲に係る企画・立案、調達及びサービス提供は、デジタル庁が担当する。また、ガバメントクラウドに係る体制および連携は以下体制図の通りである。

図 3‑4 クラウドCoEによる各府省・地方公共団体支援体制

　
デジタル庁では以下を行う。

• デジタル庁(デジタル庁)から利用システムに対してクラウド利用料を調査した上で、クラウドサービスに係る予算要求及び調達を一括して行う。
• 全体管理アカウントを管理し、利用システムに対し、環境利用のためのアカウントや管理者用のアカウントを払い出すとともに、各利用システムのクラウド利用料を一括して支払う。
• 利用システムからのガバメントクラウド自体やそのテンプレート/IaCファイルに関する問合せ対応、FAQの整備、ガバメントクラウド利用に関するドキュメント、利用システムの円滑な運用のサポートを提供する。
• クラウドCoE体制を通して、利用システムが行うクラウド環境移行作業（環境構築、ネットワーク接続、データ移行等）に関して支援を行う。
• ガバメントクラウドが推進するモダンアプリケーション化に向けて、企画段階を含む各工程における助言等支援を行う。

3.5 責任分界点

ガバメントクラウドの責任分界点はクラウドサービス事業者、デジタル庁、利用システムに分けられる。

デジタル庁の責任範囲はインフラ層に限定され、各プロジェクトのアプリケーションを中心としたプロダクト管理は利用システムの責任となる。

図 3‑5 責任分界点の全体像

3.5.1 情報資産の責任範囲

データ、アプリケーション、ソフトウェア、ハードウェアといった情報資産の観点から見た責任範囲のイメージは下図のとおり。各利用システムにて独自にクラウドサービスを調達する場合と同様に、CSPから提供されているIaaS、PaaS、SaaSを利用し、各CSPの責任共有モデルに応じて、利用システムの責任の下、システム稼働環境を設計・構築・運用する。ここで、ガバメントクラウドとしては、政府情報システムのモダンアプリケーション化推進の観点から、CSPが提供するマネージドサービス等の活用を積極的に推奨する。利用システムの要件により、やむを得ず持ち込みソフトウェア・ミドルウェアを利用する場合などは、クラウドサービスとの重複投資がないよう留意すること。

利用システムはクラウドサービスを直接利用できるため、クラウドサービス自体のサービスレベル（SL）は、各CSPが定めるSLAに準拠するものとする。クラウドサービス標準のSLAを参照しつつ、各システム自体の可用性や業務継続性の確保は、利用システムの責任において、十分に技術的対応策を検討する必要がある。ただし、止むを得ない場合については、大規模な天災等の不可抗力等と同様の扱いとすることを推奨する。

　

図 3‑6 情報資産の責任範囲

　

図 3‑7 可用性確保の責任範囲

3.5.2 セキュリティの責任範囲

各プロジェクトは、利用システムが必要とするセキュリティ水準の確保に向けて、必要なリスク分析やセキュリティ対策を設計し、クラウドのマネージドサービスを活用しながら実装する。ガバメントクラウドから提供する自動適用テンプレート、必須適用テンプレートは、クラウド設定に関するセキュリティ監視機能を提供するためこの実装に利用できる。

セキュリティインシデントのアラート監視や対応は利用システムの状況を把握する利用システムの運用組織が責任を持つ。デジタル庁では、共通的なリアルタイムでのセキュリティ監視は行わない。ただし、ガバメントクラウド全体としてセキュリティ状況を把握し、全体としてのセキュリティレベルの低下を防ぐため、各システムのセキュリティアラートは統計的に処理し利用する。

なお、セキュリティ水準を確保する上で基礎となる利用するクラウドサービス（IaaS、PaaS、SaaS）自体の保護は、前述のとおり、責任共有モデルの下、管理主体であるクラウドサービス事業者の責任範囲となる。

　

図 3‑8 セキュリティの責任範囲

　
前の章へ | 次の章へ