AWS Audit Manager および AWS Organizations - AWS Organizations
サービスにリンクされたロールサービスプリンシパル信頼されたアクセスを有効にする信頼されたアクセスを無効にするAudit Manager 用の委任管理者アカウントの有効化

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS Audit Manager および AWS Organizations

AWS Audit Manager は、 AWS 使用状況を継続的に監査し、リスクと規制や業界標準への準拠を評価する方法を簡素化します。Audit Manager はエビデンスの収集を自動化するため、ポリシー、手順、アクティビティが効果的に機能しているかどうかの評価が容易になります。監査が実施される際には、Audit Manager を使用し、コントロールについてのステークホルダーレビューを管理できます。また、監査用のレポートの作成に費やす手間を大幅に削減できます。

Audit Manager を と統合すると AWS Organizations、評価の範囲内に組織の複数の を含めることで、より広範なソース AWS アカウント から証拠を収集できます。

詳細については、「Audit Manager ユーザーガイド」のAWS 「組織の有効化」を参照してください。

次の情報は、 AWS Audit Manager との統合に役立ちます AWS Organizations。

統合を有効にする際に作成されるサービスにリンクされたロール

信頼されたアクセスを有効にすると、以下のサービスにリンクされたロールが組織の管理アカウントに自動的に作成されます。このロールにより、Audit Manager はサポートされているオペレーションを組織内のアカウントで実行できます。

このロールを削除または変更できるのは、Audit Manager と Organizations 間の信頼されたアクセスを無効にした場合か、組織から当該のメンバーアカウントを削除した場合です。

Audit Manager でこのロールを使用する方法について詳しくは、AWS Audit Manager ユーザーガイドの Using service-linked roles を参照してください。

  • AWSServiceRoleForAuditManager

サービスにリンクされたロールで使用されるサービスプリンシパル

前のセクションで説明したサービスにリンクされたロールを引き受けることができるのは、ロールに定義された信頼関係によって承認されたサービスプリンシパルだけです。Audit Manager によって使用されるサービスにリンクされたロールには、次のサービスプリンシパルへのアクセス許可が付与されます。

  • auditmanager.amazonaws.com

Audit Manager との信頼されたアクセスを有効にするには

信頼されたアクセスの有効化に必要な権限に関しては、信頼されたアクセスを有効にするために必要なアクセス許可 を参照してください。

Audit Manager では、組織の委任管理者となるメンバーアカウントを指定する AWS Organizations 前に、 への信頼されたアクセスが必要です。

信頼されたアクセスは、 AWS Audit Manager コンソールまたは AWS Organizations コンソールを使用して有効にできます。

重要

可能な限り、 AWS Audit Manager コンソールまたはツールを使用して Organizations との統合を有効にすることを強くお勧めします。これにより、 は、サービスに必要なリソースの作成など、必要な設定 AWS Audit Manager を実行できます。ここに示す手順は、統合の有効化に AWS Audit Managerが提供するツールを使用できない場合にのみ実施してください。詳細については、この注意を参照してください。

AWS Audit Manager コンソールまたはツールを使用して信頼されたアクセスを有効にする場合、これらのステップを実行する必要はありません。

Audit Manager コンソールを使用して信頼されたアクセスを有効にするには

信頼されたアクセスを有効にする手順については、AWS Audit Manager ユーザーガイドのセットアップを参照してください。

注記

AWS Audit Manager コンソールを使用して委任管理者を設定すると、 は信頼されたアクセス AWS Audit Manager を自動的に有効にします。

信頼されたアクセスを有効にするには、Organizations AWS CLI コマンドを実行するか、いずれかの で Organizations APIオペレーションを呼び出します AWS SDKs。

AWS CLI, AWS API
Organizations CLI/ を使用して信頼されたサービスアクセスを有効にするにはSDK

次の AWS CLI コマンドまたはAPIオペレーションを使用して、信頼されたサービスアクセスを有効にします。

  • AWS CLI: enable-aws-service-access

    次のコマンドを実行して、 を Organizations の信頼されたサービス AWS Audit Manager として有効にします。

    $ aws organizations enable-aws-service-access \
    --service-principal auditmanager.amazonaws.com

    このコマンドが成功した場合、出力は生成されません。

  • AWS API: E nableAWSServiceアクセス

Audit Manager との信頼されたアクセスを無効にするには

信頼されたアクセスの無効化に必要なアクセス権限に関しては、信頼されたアクセスを無効にするために必要なアクセス許可 を参照してください。

で信頼されたアクセスを無効にすることができるのは、 AWS Organizations 管理アカウントの管理者のみです AWS Audit Manager。

Organizations ツールを使用してのみ、信頼されたアクセスを無効にできます。

信頼されたアクセスを無効にするには、Organizations AWS CLI コマンドを実行するか、いずれかの で Organizations APIオペレーションを呼び出します AWS SDKs。

AWS CLI, AWS API
Organizations CLI/ を使用して信頼されたサービスアクセスを無効にするにはSDK

信頼されたサービスアクセスを無効にするには、次の AWS CLI コマンドまたはAPIオペレーションを使用します。

  • AWS CLI: disable-aws-service-access

    次のコマンドを実行して、Organizations で信頼されたサービス AWS Audit Manager として を無効にします。

    $ aws organizations disable-aws-service-access \
    --service-principal auditmanager.amazonaws.com

    このコマンドが成功した場合、出力は生成されません。

  • AWS API: D isableAWSServiceアクセス

Audit Manager 用の委任管理者アカウントの有効化

メンバーアカウントを組織の委任管理者として指定すると、そのアカウントのユーザーおよびロールは、Audit Manager の管理アクションを実行できるようになります。通常この管理アクションは、組織の管理アカウントのユーザーとロールだけが実行できるものです。この手法は、組織の管理から Audit Manager の管理を分離するのに有効です。

最小アクセス許可

次の許可を持つ Organizations 管理アカウントのユーザーまたはロールのみが、組織内で Audit Manager の委任管理者としてメンバーアカウントを設定できます。

audit-manager:RegisterAccount

Audit Manager 用に委任管理者アカウントを有効にする手順については、AWS Audit Manager ユーザーガイドのセットアップを参照してください。

AWS Audit Manager コンソールを使用して委任管理者を設定すると、Audit Manager は信頼されたアクセスを自動的に有効にします。

AWS CLI, AWS API

CLI または のいずれかを使用して AWS 委任管理者アカウントを設定する場合は AWS SDKs、次のコマンドを使用できます。

  • AWS CLI: 

    $  aws audit-manager register-account \
    --delegated-admin-account 123456789012

  • AWS SDK: RegisterAccountオペレーションを呼び出し、管理者アカウントを委任するためのパラメータdelegatedAdminAccountとして を指定します。