翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Detective Python スクリプトを使用してアカウントを管理する

Amazon Detective は、 GitHub リポジトリ にオープンソースの Python スクリプトのセットを提供しますamazon-detective-multiaccount-scripts。スクリプトには Python 3 が必要です。

これらを使用して、次のタスクを実行できます。

enableDetective.py スクリプトの概要

enableDetective.py スクリプトは次のことを実行します。

disableDetective.py スクリプトの概要

disableDetective.py スクリプトは、指定されたリージョン全体で、管理者アカウントの動作グラフから、指定されたメンバーアカウントを削除します。

また、指定されたリージョン全体で、管理者アカウントのために Detective を無効にするオプションも提供します。

スクリプトに必要な許可

スクリプトには、管理者アカウントと、追加または削除したすべてのメンバーアカウントに既存の AWS ロールが必要です。

IAM ポリシーで推奨されるベストプラクティスは、スコープが最も狭いロールを使用することです。グラフの作成、メンバーの作成、グラフへのメンバーの追加というスクリプトワークフローを実行するために必要なアクセス許可は、次のとおりです。

ロールの信頼関係

ロールの信頼関係は、インスタンスまたはローカルの認証情報がロールを引き受けることを許可する必要があります。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<ACCOUNTID>:user/<USERNAME>"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

必要な許可が付与されている共通のロールがない場合、少なくともそれらの許可が付与されているロールを各メンバーアカウントに作成する必要があります。管理者アカウントでもロールを作成する必要があります。

ロールを作成する場合は、必ず次を実行してください。

このプロセスを自動化するには、 EnableDetective.yaml AWS CloudFormation テンプレートを使用できます。テンプレートはグローバルリソースのみを作成するため、どのリージョンでも実行できます。

Python スクリプトの実行環境の設定

スクリプトは、EC2インスタンスまたはローカルマシンから実行できます。

EC2 インスタンスの起動と設定

スクリプトを実行する 1 つのオプションは、EC2インスタンスからスクリプトを実行することです。

スクリプトを実行するためのローカルマシンの設定

スクリプトはローカルマシンからも実行できます。

追加または削除するメンバーアカウントの .csv リストの作成

動作グラフに追加したり、動作グラフから削除したりするメンバーアカウントを特定するには、アカウントのリストを含む .csv ファイルを提供します。

各アカウントを別々の行に一覧表示します。各メンバーアカウントエントリには、 AWS アカウント ID とアカウントのルートユーザーの E メールアドレスが含まれます。

次の例を参照してください。

111122223333,srodriguez@example.com
444455556666,rroe@example.com

enableDetective.py の実行

enableDetective.py スクリプトは、EC2インスタンスまたはローカルマシンから実行できます。

スクリプトを実行すると、次の値を置き換えます。

disableDetective.py の実行

disableDetective.py スクリプトは、EC2インスタンスまたはローカルマシンから実行できます。

スクリプトを実行すると、次の値を置き換えます。