AWS Wickr

解決する課題

• 機密性の高い社内・対外コミュニケーションを、第三者に読まれない強固な暗号化で行いたい
• チャット基盤のサーバー構築や暗号鍵の運用負荷から解放されたい
• やり取りの保持期間や破棄を管理者が制御し、情報残留のリスクを下げたい
• 一方で監査要件に応えるため、必要な範囲でメッセージを保持・追跡できる仕組みも欲しい

主要概念と用語

• ネットワーク（Wickr Network）: 組織の管理単位。ユーザーやセキュリティグループ、ポリシーをまとめて管理する
• セキュリティグループ: メンバーをまとめ、保持期間や機能の可否などのポリシーを一括適用する単位
• エンドツーエンド暗号化（E2EE）: 送信者と受信者の端末間でのみ復号でき、経路上やサーバー上では平文を見られない暗号化方式
• エフェメラルメッセージ: 既読後や一定時間経過後に自動的に消える、保持期間つきのメッセージ
• ルーム / 1対1: 複数人での協働の場（ルーム）と個別のやり取り。テキスト、通話、ファイル共有に対応する
• Wickr Enterprise: 自前環境にデプロイして運用する、セルフホスト型の提供形態
• データ保持（Data Retention）: ガバナンス目的で、ネットワーク内のメッセージを保存・エクスポートする仕組み
• SSO 連携: 既存の ID プロバイダと連携し、社内アカウントでサインインさせる仕組み

仕様・制限・クォータ

• メッセージ、音声・ビデオ通話、画面共有、ファイル共有といった協働機能を E2EE 下で利用できる
• メッセージには保持期間（有効期限）や既読後の破棄を設定でき、ポリシーで強制できる
• ユーザーやポリシーはセキュリティグループ単位で整理し、グループごとに機能の可否を制御する
• ユーザー認証は**SSO（ID プロバイダ連携）**を基盤にできる
• 利用できるリージョンは限定的で、利用前に対応状況を確認する
• ファイルサイズや参加人数などにはサービス側のクォータがあり、最新値は公式で確認する

内部の仕組み

AWS Wickr は、メッセージや通話、ファイル共有をエンドツーエンド暗号化で提供するマネージドな協働サービスです。暗号化と復号は各ユーザーの端末側で行われ、メッセージや通話の鍵は送受信する端末だけが扱います。これにより、転送経路上のサーバーや AWS の運用基盤からは内容を読み取れない設計になっており、利用者は鍵交換の仕組みを意識せずに済みます。

メッセージごとに鍵を切り替える方式を採るため、ある時点の鍵が漏れても過去・将来のメッセージまで一括で復号される事態を避けやすいのが特徴です。管理者はネットワーク全体やセキュリティグループ単位で、保持期間や利用できる機能をポリシーとして適用します。エフェメラルメッセージを既定にすれば、端末やサーバーに内容が残り続けるのを抑えられます。

監査・コンプライアンス要件に対しては、データ保持機能を明示的に有効化することで、ネットワーク内のメッセージを保存・エクスポートできます。E2EE の機密性とガバナンス上の追跡可能性は本来トレードオフの関係にあるため、この保持はネットワーク単位で管理者が意図的に設定する位置づけです。

設計パターン / ベストプラクティス

• 機密度に応じてセキュリティグループを分割し、保持期間や使える機能をグループごとに最適化する
• 既定のメッセージを**短い保持期間（エフェメラル）**にし、必要な会話だけ保持を長くする
• ユーザー認証はSSO に集約し、入退社の管理を既存の ID 基盤と一本化する
• 監査が必要な範囲にはデータ保持を有効化し、対象外グループとはポリシーを分ける
• 外部協力者を招く場合は専用グループを用意し、社内の既定ポリシーと混在させない

運用・監視

• ユーザー・セキュリティグループ・ポリシーの管理は管理コンソールや APIで行う
• 管理操作の証跡はCloudTrailで追跡し、設定変更の監査に利用する
• データ保持を有効化した場合は、保存先やエクスポート先の容量・アクセス権を継続的に点検する
• 退職者や不要アカウントを定期的に棚卸しし、ライセンスとアクセスを整理する
• SSO 連携や保持ポリシーの設定が崩れていないかを定期的に確認する

コスト

• 課金は基本的にユーザー単位の月額が中心となる
• 利用ユーザー数に比例するため、不要アカウントの整理が直接コストに効く
• データ保持を有効化する場合は、保存先ストレージなど周辺リソースの費用も合わせて見積もる
• 無償で使える範囲や上位プランの区分があるため、要件に合わせて選ぶ
• 具体的な料金は変動するため、最新の公式料金で見積もる

セキュリティ

• メッセージ・通話・ファイルはエンドツーエンドで暗号化され、経路上やサーバー上で平文を扱わない
• メッセージごとの鍵切り替えにより、過去・将来のメッセージの一括漏えいリスクを抑える
• エフェメラル設定で端末・サーバーへの内容残留を最小化できる
• ユーザー認証はSSOに集約し、既存の ID プロバイダのポリシーを適用できる
• 監査要件にはデータ保持で応えつつ、対象範囲をポリシーで限定する
• 管理操作は IAM で権限を制御し、操作証跡は CloudTrail に残す

関連サービス・比較

ハンズオン / CLI例

# Wickr ネットワークの一覧を取得する
aws wickr list-networks

# 特定ネットワークの詳細を確認する
aws wickr get-network \
  --network-id "$NETWORK_ID"

# ネットワークのデータ保持設定を確認する（ガバナンス用途）
aws wickr describe-data-retention-settings \
  --network-id "$NETWORK_ID"