IAM Access Analyzer の検出結果を確認する - AWS Identity and Access Management
外部アクセスの検出結果未使用のアクセスに関する検出結果

IAM Access Analyzer の検出結果を確認する

IAM Access Analyzer を有効化したら、次のステップとして結果を確認し、結果で識別されたアクセスが意図的なものであるか、意図的なものでないかを判断します。また、検出結果を確認して、意図的なアクセスに対して類似する結果を特定し、その結果を自動的にアーカイブするためのアーカイブルールを作成することもできます。アーカイブ済みの結果と解決済みの結果を確認することもできます。

アカウント内のすべての検出結果を確認して、外部アクセスまたは未使用のアクセスが想定および承認されているかどうかを判断する必要があります。結果で識別された外部アクセスまたは未使用のアクセスが想定されたものである場合は、その結果をアーカイブできます。結果をアーカイブすると、そのステータスは [アーカイブ済み] に変わり、検出結果はアクティブな結果のリストから削除されます。結果は削除されません。アーカイブした結果はいつでも表示できます。アクティブな結果がゼロになるまで、アカウント内のすべての結果を処理してください。検出結果がゼロになると、新しく生成された [アクティブ] な結果は、環境内の最近の変更によるものであることがわかります。

結果を確認するには

  1. IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

  2. [Access analyzer] (アクセスアナライザー) を選択します。

  3. 検出結果のダッシュボードが表示されます。外部のアクセスアナライザーまたは未使用のアクセスアナライザーのアクティブな検出結果を選択します。

    検出結果のダッシュボードの表示について詳しくは、「IAM Access Analyzer の検出結果ダッシュボードを表示する」を参照してください。

注記

結果が表示されるのは、アナライザーの結果を表示するアクセス許可がある場合だけです。

アナライザーに関するすべての検出結果が表示されます。アナライザーによって生成されたその他の検出結果を表示するには、[ステータス] ドロップダウンから該当する結果タイプを選択します。

  • [Active (アクティブ)] を選択すると、アナライザーによって生成されたすべてのアクティブな結果が表示されます。

  • [Archived (アーカイブ済み)] を選択すると、アナライザーによって生成された結果のうち、アーカイブ済みの結果のみが表示されます。詳細については、「IAM Access Analyzer の検出結果をアーカイブする」を参照してください。

  • [Resolved (解決済み)] を選択すると、アナライザーによって生成された結果のうち、解決済みの結果のみが表示されます。結果を生成した問題を修正すると、結果のステータスが [解決済み] に変わります。

    重要

    解決済みの結果は、結果の最終更新から 90 日後に削除されます。アクティブな結果とアーカイブ済みの結果は、これらを生成したアナライザーを削除しない限り、削除されません。

  • [All (すべて)] を選択すると、アナライザーによって生成されたすべての結果が、ステータスを問わず、表示されます。

外部アクセスの検出結果

[外部アクセス] を選択し、[アナライザーを表示] ドロップダウンから外部のアクセスアナライザーを選択します。外部アクセスアナライザーの [結果] ページには、その検出結果を生成した共有リソースおよびポリシーステートメントに関する以下の詳細が表示されます。

検出結果 ID

結果に割り当てられた一意の ID。結果 ID を選択すると、その結果を生成したリソースとポリシーステートメントに関する追加の詳細が表示されます。

リソース

信頼ゾーン内にない外部エンティティに対してアクセスを許可するポリシーが適用されているリソースのタイプと部分的な名。

リソース所有者のアカウント

この列は、信頼ゾーンとして組織を使用している場合にのみ表示されます。結果で報告されたリソースを所有する組織内のアカウント。

外部プリンシパル

分析されたポリシーからアクセス許可を付与されている、信頼ゾーン外のプリンシパル。有効な値を次に示します。

  • AWS アカウント – リストされた AWS アカウント内のプリンシパルのうち、そのアカウントの管理者からアクセス許可を付与されているすべてのプリンシパルがリソースにアクセスできます。

  • 任意のプリンシパル – 任意の AWS アカウント内のプリンシパルのうち、[条件] 列に示された条件を満たしているすべてのプリンシパルがリソースへのアクセス許可を持ちます。たとえば、VPC がリストされている場合は、このリストされた VPC へのアクセス許可を持つ任意のアカウント内のすべてのプリンシパルがリソースにアクセスできることを意味します。

  • 正規ユーザー – AWS アカウント内のプリンスパルのうち、リストされた正規ユーザー ID を持つすべてのプリンシパルがリソースへのアクセス許可を持ちます。

  • IAM ロール - リストされた IAM ロールは、リソースへのアクセス許可を持ちます。

  • IAM ユーザー - リストされた IAM ユーザーは、リソースへのアクセス許可を持ちます。

条件

アクセスを許可するポリシーステートメントの条件。たとえば、[Condition (条件)] フィールドに [Source VPC (ソース VPC)] が含まれている場合は、リソースが、リストされた VPC にアクセスできるプリンシパルと共有されていることを意味します。条件は、グローバルまたはサービス固有です。グローバル条件キーには aws: プレフィックスが付きます。

共有方法

[共有方法] フィールドは、結果を生成したアクセスの許可方法を示します。有効な値を次に示します。

  • バケットポリシー — Amazon S3 バケットにアタッチされているバケットポリシーです。

  • アクセスコントロールリスト – Amazon S3 バケットにアタッチされているアクセスコントロールリスト (ACL)。

  • アクセスポイント — Amazon S3 バケットに関連付けられたアクセスポイントまたはマルチリージョンのアクセスポイント。アクセスポイントの ARN が [結果] の詳細に表示されます。

アクセスレベル

リソースベースのポリシーのアクションによって外部エンティティに許可されるアクセスのレベル。詳細については、結果の詳細を参照してください。アクセスレベルには、以下の値が含まれます。

  • リスト - オブジェクトが存在するかどうかを判断するためにサービス内のリソースをリストするためのアクセス許可。このレベルのアクセス権を持つアクションはオブジェクトをリストできますが、リソースのコンテンツは表示されません。

  • 読み取り - サービス内のリソースのコンテンツと属性を読み取るためのアクセス許可。ただし、これらを編集することはできません。

  • 書き込み - サービス内のリソースを作成、削除、または変更するためのアクセス許可。

  • アクセス許可 - サービス内のリソースに対するアクセス許可を付与または変更するためのアクセス許可。

  • タグ付け - リソースタグの状態のみを変更するアクションを実行するためのアクセス許可。

更新

結果のステータスに対する最終更新のタイムスタンプ、または更新が行われていない場合は結果が生成された日時。

注記

ポリシーが変更されてから IAM Access Analyzer がリソースを再度分析して結果を更新するまでに、最大で 30 分かかる場合があります。

[ステータス]

結果のステータス。[Active (アクティブ)]、[Archived (アーカイブ済み)]、または [Resolved (解決済み)] のいずれかです。

未使用のアクセスに関する検出結果

IAM Access Analyzer では、1 か月あたりに分析された IAM ロールとユーザーの数に基づいて、未使用のアクセス分析に対する料金が発生します。価格設定の詳細については、「IAM Access Analyzer pricing」を参照してください。

[未使用のアクセス] を選択し、[アナライザーを表示] ドロップダウンから未使用のアクセスアナライザーを選択します。未使用のアクセスアナライザーの [検出結果] ページには、その結果を生成した IAM エンティティに関する以下の詳細が表示されます。

検出結果 ID

結果に割り当てられた一意の ID。結果 ID を選択すると、その結果を生成した IAM エンティティに関する追加の詳細が表示されます。

結果タイプ

未使用のアクセスに関する検出結果のタイプは、[未使用のアクセスキー]、[未使用のパスワード]、[未使用の権限]、または [未使用のロール] のいずれかです。

IAM エンティティ

検出結果で報告された IAM エンティティ。これは IAM ロールまたはユーザーのいずれかです。

AWS アカウント ID

この列は、組織内のすべての AWS アカウントに対してアナライザーを設定した場合にのみ表示されます。組織内の AWS アカウントのうち、結果で報告された IAM エンティティを所有するアカウント。

最終更新日

検出結果で報告された IAM エンティティが最後に更新された日時、または更新が行われていない場合はエンティティが作成された日時。

[ステータス]

結果のステータス (アクティブ、アーカイブ済み、解決済みのいずれか)。