コントロールとコントロールセットの問題のトラブルシューティング

このページの情報を参照して、Audit Manager での一般的なコントロールに関する問題を解決できます。

評価にコントロールまたはコントロールセットが表示されません

簡単に述べると、評価のコントロールを表示するには、ユーザーは、その評価の監査所有者として指定される必要があります。さらに、関連する Audit Manager リソースを表示および管理するために必要な IAM 許可が必要です。

評価のコントロールにアクセスする必要がある場合は、その評価について、自分を監査所有者として指定するよういずれかの監査所有者に依頼します。評価を作成または編集するときに、監査所有者を指定できます。

また、評価を管理するために必要な許可が付与されていることも確認してください。監査所有者が AWSAuditManagerAdministratorAccess ポリシーを使用することをお勧めします。IAM 許可についてサポートが必要な場合は、管理者または AWS Support までお問い合わせください。IAM アイデンティティにポリシーをアタッチする方法の詳細については、IAM ユーザーガイドの「ユーザーへの許可の追加」および「IAM アイデンティティ許可の追加と削除」を参照してください。

コントロールに手動証拠をアップロードできません

コントロールに証拠を手動でアップロードできない場合は、コントロールのステータスが [inactive] (非アクティブ) であることが原因である可能性があります。

手動証拠をコントロールにアップロードするには、最初にコントロールのステータスを [Under review] (レビュー中) または [Reviewed] (レビュー済み) に変更する必要があります。手順については、AWS Audit Manager での評価コントロールのステータスの変更 を参照してください。

コントロールが「交換可能」と表示されているのはどういう意味ですか?

このメッセージは、カスタムフレームワーク内の 1 つ以上の標準コントロールで、更新されたコントロール定義が使用可能であることを示します。Audit Manager が提供する改善された証拠ソースを活用できるように、これらのコントロールを置き換えることをお勧めします。

実行手順については、「カスタムフレームワークの詳細ページで、カスタムフレームワークを再作成するように求められます」を参照してください。

1 つのコントロールのデータソースとして複数の AWS Config ルールを使用する必要があります

マネージドルールとカスタムルールを組み合わせて 1 つのコントロールに使用できます。これを行うには、コントロールに複数の証拠ソースを定義し、それぞれに対して希望するルールタイプを選択します。単一のカスタムコントロールに対して最大 100 個のカスタマーマネージドデータソースを定義することができます。

コントロールデータソースを設定しているときは、カスタムルールオプションは使用できません

つまり、自分の AWS アカウント または組織のカスタムルールを表示するためのアクセス権限がないことを意味します。具体的には、Audit Manager コンソールで DescribeConfigRules 操作を実行する権限がないということです。

この問題を解決するには、AWS管理者に問い合わせてサポートを依頼してください。ご自身がAWS 管理者の場合は、IAM ポリシーを管理することでユーザーまたはグループにアクセス権限を付与できます。

カスタムルールオプションも使用できますが、ドロップダウンリストにルールは表示されません

つまり、ご自身の AWS アカウント や組織ではカスタムルールが有効になっておらず、使用できないことを意味します。

AWS Config にまだカスタム ルールがない場合は、作成できます。手順については、AWS Config デベロッパーガイドの AWS Configカスタム ルール を参照してください。

カスタムルールが表示されることが予想される場合は、次のトラブルシューティング項目を確認してください。

カスタムルールはいくつか使用できますが、使用したいルールが見当たりません

目的のカスタムルールが表示されない場合は、次のいずれかの問題が原因である可能性があります。

使用したいマネージドルールが表示されません

Audit Manager コンソールのドロップダウンリストからルールを選択する前に、ルールタイプとしてマネージドルールを選択したことを確認してください。

それでも期待していたマネージドルールが表示されない場合は、ルール名を探している可能性があります。代わりに、ルール識別子を探す必要があります。

デフォルトのマネージドルールを使用している場合、名前と識別子は似ています。名前は小文字で、ダッシュが使用されています (例: iam-policy-in-use)。識別子は大文字で、アンダースコアが使用されます (例: IAM_POLICY_IN_USE)。デフォルトのマネージドルールの識別子を見つけるには、サポートされている AWS Config マネージドルールのキーワードのリストを確認し、使用したいルールのリンクをたどってください。これにより、そのマネージドルールの AWS Config ドキュメントが表示されます。ここから、名前と識別子の両方を確認できます。「Audit Manager」のドロップダウンリストで識別キーワードを探します。

カスタマイズされたマネージドルールを使用している場合は、AWS Configコンソールを使用してルールの識別子を検索できます。例えば、customized-iam-policy-in-useというマネージドルールを使用するとします。このルールの識別子を見つけるには、AWS Configコンソールに移動し、左側のナビゲーションメニューでルールを選択し、表からルールを選択します。

編集を選択すると、マネージドルールの詳細が開きます。

詳細セクションで、マネージドルールの作成元のソース識別子 (IAM_POLICY_IN_USE) を見つけることができます。

これで Audit Manager コンソールに戻り、ドロップダウンリストから同じ識別子キーワードを選択できます。

カスタムフレームワークを共有したいのですが、カスタム AWS Config ルールをデータソースとして使用するコントロールがあります。受信者はこれらのコントロールを収集することができますか?

はい、受信者はこれらのコントロールの証拠を収集できますが、そのためにはいくつかの手順が必要です。

Audit Manager が AWS Config ルールをデータソースマッピングとして使用して証拠を収集するには、次の条件を満たす必要があります。これは、マネージドルールとカスタムルールの両方に当てはまります。

アカウントのカスタム AWS Config ルールは、受信者の AWS 環境にまだ存在しない可能性がありますので、ご注意ください。さらに、受信者が共有リクエストを受け入れるとき、Audit Manager は受信者のアカウントにカスタムルールを再作成しません。受信者がカスタムルールをデータソースのマッピングとして使用して証拠を収集するには、AWS Config のインスタンスに同じカスタムルールを作成する必要があります。受信者がルールを作成して有効にすると、Audit Manager はそのデータソースから証拠を収集できます。

受信者に連絡して、AWS Config のインスタンスでカスタムルールを作成する必要があるかどうかを知らせることをお勧めします。

カスタムルールが AWS Config で更新されるとどうなりますか? Audit Manager で何かアクションを実行する必要がありますか?

AWS 環境内でのルール更新の場合

AWS 環境内のカスタムルールを更新する場合、Audit Manager でアクションを実行する必要はありません。Audit Manager は、次の表で説明されているように、ルールの更新を検出して処理します。Audit Manager は、ルールの更新が検出されても通知しません。

AWS 環境外でのルール更新の場合

カスタムルールが AWS 環境外で更新された場合、Audit Manager はルールの更新を検出しません。共有カスタムフレームワークを使用している場合は、この点を考慮する必要があります。これは、このシナリオでは、送信者と受信者がそれぞれ別々の AWS 環境で作業しているためです。次の表は、このシナリオの推奨アクションを示しています。