翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
Amazon Data Firehose リソースが AWSKMSキーで暗号化されていない場合の識別とアラート
作成者: Ram Kandaswamy (AWS)
概要
コンプライアンスのために、一部の組織では Amazon Data Firehose などのデータ配信リソースで暗号化を有効にする必要があります。このパターンは、リソースがコンプライアンス違反になったときに監視、検出、通知する方法を示しています。
暗号化要件を維持するために、このパターンをアマゾン ウェブ サービス (AWS) で使用して、 AWS Key Management Service (AWS KMS) キーで暗号化されていない Firehose 配信リソースを自動的にモニタリングおよび検出できます。このソリューションはアラート通知を送信し、拡張して自動修復を実行することもできます。このソリューションは、AWSLanding Zone または AWS Control Tower を使用する環境など、個々のアカウントまたはマルチアカウント環境に適用できます。
前提条件と制限
前提条件
Firehose 配信ストリーム
このインフラストラクチャの自動化AWS CloudFormationで使用される に対する十分なアクセス許可と知識
機能制限
このソリューションは、検出にAWS CloudTrail イベントを使用するため、リアルタイムではありません。また、暗号化されていないリソースが作成されてから通知が送信されるまでに遅延が生じます。
アーキテクチャ
ターゲットテクノロジースタック
このソリューションはサーバーレステクノロジーと以下のサービスを使用します。
AWS CloudTrail
Amazon CloudWatch
AWS コマンドラインインターフェイス (AWSCLI)
AWS Identity and Access Management (IAM)
Amazon Data Firehose
AWS Lambda
Amazon Simple Notification Service (Amazon SNS)
ターゲット アーキテクチャ

ユーザーが Firehose を作成または変更します。
CloudTrail イベントが検出され、一致します。
AWS Lambda が呼び出されます。
非準拠のリソースが特定されます。
メールが送信されます。
自動化とスケール
を使用するとAWS CloudFormation StackSets、1 つのコマンドで複数のAWSリージョンまたはアカウントにこのソリューションを適用できます。
ツール
AWS CloudTrail - AWS CloudTrail は、AWSアカウントのガバナンス、コンプライアンス、運用およびリスクの監査を可能にする AWSのサービスです。ユーザー、ロール、または AWS のサービスによって実行されたアクションは、 CloudTrail にイベントとして記録されます。イベントには、 AWS マネジメントコンソール、コマンドラインインターフェイス、および AWS APIオペレーションで実行されたアクションAWSSDKsが含まれます。
Amazon CloudWatch Events – Amazon CloudWatch Events は、 near-real-time AWSリソースの変更を記述するシステムイベントのストリームを配信します。
AWS CLI - AWS コマンドラインインターフェイス (AWSCLI) は、コマンドラインシェルのコマンドを使用して AWSサービスとやり取りできるオープンソースツールです。
IAM – AWS Identity and Access Management (IAM) は、 AWSリソースへのアクセスを安全に制御するのに役立つウェブサービスです。IAM を使用して、リソースを使用するために認証 (サインイン) され、許可された (アクセス許可を持つ) ユーザーを制御します。
Amazon Data Firehose – Amazon Data Firehose は、リアルタイムのストリーミングデータを配信するためのフルマネージドサービスです。Firehose では、アプリケーションを記述したり、リソースを管理したりする必要はありません。Firehose にデータを送信するようにデータプロデューサーを設定すると、指定した送信先にデータが自動的に配信されます。
AWS Lambda – AWS Lambda は、サーバーのプロビジョニングや管理を行わずにコードの実行をサポートするコンピューティングサービスです。Lambda は必要に応じてコードを実行し、1 日あたり数個のリクエストから 1 秒あたり数千のリクエストまで自動的にスケールします。課金は実際に消費したコンピューティング時間に対してのみ発生します。コードが実行されていない場合、料金は発生しません。
Amazon SNS – Amazon Simple Notification Service (Amazon SNS) は、パブリッシャーからサブスクライバー (プロデューサーおよびコンシューマーとも呼ばれます) へのメッセージ配信を提供するマネージドサービスです。
エピック
タスク | 説明 | 必要なスキル |
---|---|---|
AWS CloudFormation StackSets をデプロイします。 | でAWSCLI、
| クラウドアーキテクト、システム管理者 |
がスタックインスタンスを作成する。 | スタックは、選択したAWSリージョンと 1 つ以上のアカウントで作成する必要があります。 スタックインスタンスを作成するには、スタック名の値、アカウント番号、リージョンを独自に設定した内容に置き換えて、次のコマンドを実行します。
| クラウドアーキテクト、システム管理者 |
関連リソース
追加情報
AWS Config は Firehose 配信ストリームリソースタイプをサポートしていないため、Config AWS ルールをソリューションで使用することはできません。
添付ファイル
このドキュメントに関連する追加コンテンツにアクセスするには、次のファイルを解凍してください。「attachment.zip」