Audit Manager の証拠を GRC システムに統合する

このチュートリアルでは、以下のことを実行する方法を示します。

• ステップ 1: Audit Manager を有効にする

• ステップ 2: 権限をセットアップする

• ステップ 3. エンタープライズコントロールを Audit Manager コントロールにマッピングする

• ステップ 4. コントロールマッピングを最新の状態に保つ

• ステップ 5: 評価を作成する

• ステップ 6. 証拠の収集を開始する

作業を始める前に、以下の条件を満たしていることを確認します。

• AWSで実行されているインフラストラクチャがある。

• 社内の GRC システムを使用する、またはベンダーが提供するサードパーティーの GRC ソフトウェアを使用する。

• Audit Manager の設定に必要なすべての前提条件を満たしている。

• AWS Audit Manager 概念と用語を理解する をよく理解している。

留意すべきいくつかの制限事項：

• Audit Manager はリージョン別です AWS のサービス。Audit Manager は、 AWS ワークロードを実行する各リージョンで個別に設定する必要があります。

• Audit Manager は、複数のリージョンから単一のリージョンへの証拠の集約をサポートしていません。リソースが複数の にまたがる場合は AWS リージョン、GRC システム内で証拠を集約する必要があります。

• Audit Manager には、作成できるリソース数のデフォルトのクォータがあります。必要に応じて、デフォルトのクォータの引き上げをリクエストできます。詳細については、「Quotas and restrictions for AWS Audit Manager.」を参照してください。

• ロール作成ワークフローのステップ 8 で、[ポリシーの作成] を選択し、ロールのポリシーを入力します。

  ロールには、少なくとも以下のアクセス許可が必要です。

  {
    "Version" : "2012-10-17",
    "Statement" : [
      {
        "Sid" : "AuditManagerAccess",
        "Effect" : "Allow",
        "Action" : [
          "auditmanager:*"
        ],
        "Resource" : "*"
      },
      {
        "Sid" : "OrganizationsAccess",
        "Effect" : "Allow",
        "Action" : [
          "organizations:ListAccountsForParent",
          "organizations:ListAccounts",
          "organizations:DescribeOrganization",
          "organizations:DescribeOrganizationalUnit",
          "organizations:DescribeAccount",
          "organizations:ListParents",
          "organizations:ListChildren"
        ],
        "Resource" : "*"
      },
      {
        "Sid" : "IAMAccess",
        "Effect" : "Allow",
        "Action" : [
          "iam:GetUser",
          "iam:ListUsers",
          "iam:ListRoles"
        ],
        "Resource" : "*"
      },        
      {
        "Sid" : "S3Access",
        "Effect" : "Allow",
        "Action" : [
          "s3:ListAllMyBuckets"
        ],
        "Resource" : "*"
      },
      {
        "Sid" : "KmsAccess",
        "Effect" : "Allow",
        "Action" : [
          "kms:DescribeKey",
          "kms:ListKeys",
          "kms:ListAliases"
        ],
        "Resource" : "*"
      },
      {
        "Sid" : "KmsCreateGrantAccess",
        "Effect" : "Allow",
        "Action" : [
          "kms:CreateGrant"
        ],
        "Resource" : "*",
        "Condition" : {
          "Bool" : {
            "kms:GrantIsForAWSResource" : "true"
          },
          "StringLike" : {
            "kms:ViaService" : "auditmanager.*.amazonaws.com"
          }
        }
      },
      {
        "Sid" : "SNSAccess",
        "Effect" : "Allow",
        "Action" : [
          "sns:ListTopics"
        ],
        "Resource" : "*"
      }, 
      {
        "Sid" : "TagAccess",
        "Effect" : "Allow",
        "Action" : [
          "tag:GetResources"
        ],
        "Resource" : "*"
      }
    ]
  }             

  表示を増やす

• ロール作成ワークフローのステップ 11 で、ロール名 に vendor-auditmanager と入力します。

• ポリシーステートメントには sts:AssumeRole action への Allow の影響を含める必要があります。

• リソース要素のロールの Amazon リソースネーム (ARN) を含める必要があります。

• 使用できるポリシーステートメントの例を次に示します。

  このポリシーでは、プレースホルダーテキストをベンダーの AWS アカウント ID に置き換えます。

  {
   "Version": "2012-10-17",
    "Statement": {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": "arn:aws:iam::account-id:role/vendor-auditmanager"
    }
  }       

  表示を増やす

• GetEvidence

• GetEvidenceByEvidenceFolder

• GetEvidenceFolder

• GetEvidenceFoldersByAssessment

• GetEvidenceFoldersByAssessmentControl

• 評価 – 評価を管理するための概念とタスクについて説明します。

• コントロールライブラリ – カスタムコントロールを管理するための概念とタスクについて説明します。

• フレームワークライブラリ – カスタムフレームワークを管理するための概念とタスクについて説明します。

• 証拠ファインダー - クエリ結果からの CSV ファイルのエクスポート、評価レポートの生成方法について説明します。

• ダウンロードセンター - Audit Manager から評価レポートと CSV エクスポートをダウンロードする方法について説明します。