POCから本番環境へ：Amazon Quick のセキュリティ確保（Agents、Flows、Spaces）

Amazon Quick の概念実証（POC）プロジェクトは、小規模なパイロットチームでは成功することがよくありますが、セキュリティおよびコンプライアンスチームが本番計画をレビューすると停滞することがあります。10 人のパイロットユーザーに対して機能した権限モデルは、5 つの部門を追加すると機能しなくなることがよくあります。エージェントが意図した範囲外のデータを返す可能性があり、コンプライアンスチームはデータセット、エージェント、Spaces の接続関係を監査するのに苦労します。\n\nAmazon Quick は、ダッシュボード、Chat Agents、Flows、Spaces をナレッジベースと組み合わせます。各機能は、標準的なダッシュボードコントロールではカバーされないセキュリティサーフェスを導入します。\n\nこの記事では、AnyCompany シナリオを例に、ダッシュボード、Spaces、ナレッジベース、エージェント、Flows を設計し、ユーザーと部門を追加しても維持できるセキュリティコントロールを説明します。このウォークスルーでは、データセットシェーピング、エージェント分離、ドキュメント分類、承認ゲートの 4 つのパターンをカバーし、ガバナンスフレームワークと本番準備チェックリストも含まれます。\n\nまず、AnyCompany のユースケースを考えます。5,000 人の従業員、5 つの部門、5 つの拠点があります。3 つのオーディエンスが、異なるレベルで同じデータを必要とします。人事リーダーシップは、給与や離職リスクを含む完全な人員データを必要とします。部門マネージャーは、自分のチームの運用指標のみを必要とします。全従業員は、会社の方針と匿名化されたトレンドにアクセスできます。1 つのデータセットを 3 つのオーディエンスすべてに公開し、権限のみに依存すると、設定ミスの余地が大きくなります。\n\nこのソリューションでは、1 つのソースデータセットを 3 つの承認整合的なビューに整形し、それぞれを目的に応じたエージェントに接続します。オーディエンスごとに対応するダッシュボードを公開し、Spaces をコンテンツ所有権にスコープし、Flow を介して人間が介入するコントロールで送信アクションをゲートします。\n\n検証済みのパターンには、データセットシェーピング（データセットレベルで機密列を削除し、構造的にアクセス不能にする）、エージェント分離（各エージェントをそのオーディエンスにスコープされた 1 つのデータセットに接続）、ドキュメント分類（権限に頼るのではなく、機密ドキュメントをナレッジベースから除外）、承認ゲート（Flow で送信アクションの前に人間の承認を要求）があります。各パターンは、権限設定でアクセスをブロックするのではなく、ユーザーにデータが届く前にデータを削除します。\n\n前提条件として、Amazon Quick が有効になっている AWS アカウント（Enterprise プラン）、異なるペルソナを表す少なくとも 3 つの Amazon Quick ユーザーアカウント（またはロールを切り替えられる 1 人のユーザー）、サンプル従業員データセット（5,000 行、30 列）、AWS CloudTrail トレイル、Flows が外部システムに接続する場合は AWS Secrets Manager アクセスが必要です。このウォークスルーでは Amazon Quick マネージド ID（非 IDC）を使用することに注意してください。IAM Identity Center（IDC）を使用する場合、グループ管理の場所は異なりますが、セキュリティパターン（データセットシェーピング、RLS、エージェント分離）は引き続き適用されます。\n\nステップバイステップのウォークスルーでは、まずデータセットを整形して承認に一致させます。これは最も重要なセキュリティ上の決定の 1 つです。データセットの列は、接続された全員が見られる上限を定義するため、列を削除することは、権限で非表示にするよりも構造的に強力です。合成従業員データセットを生成するか、同様の構造の HR データセットを使用します。データセットには、従業員 ID、性別、年齢、部門、役職、職位レベル、勤務地、年間給与、エンゲージメントスコア、離職フラグなどの 30 列が含まれます。5 つの部門（営業、エンジニアリング、オペレーション、財務、人事）と 5 つの拠点を設定します。GitHub リポジトリには、完全な列リストとサンプル生成スクリプトがあります。\n\nCSV を Amazon Quick にアップロードして、3 つのデータセットを作成します。全 30 列を含む 'anycompany-employees-full'（人事リーダーシップ向け、5,000 行）、機密列を削除し RLS を適用した 'anycompany-employees-managers'（部門マネージャー向け）、集計された 'anycompany-employees-trends'（全従業員向け）。その後、RLS の適用、エージェントの設定、ドキュメント分類、Flow の承認ゲート、Spaces のスコープ設定、監査ログの有効化など、残りのステップを実行します。最後に、ガバナンスフレームワークと本番準備チェックリストを使用して、本番環境への移行に備えます。