翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS セキュリティエージェントとインターフェイス VPC エンドポイント (AWS PrivateLink)

AWS PrivateLink を使用して、VPC と AWS セキュリティエージェントの間にプライベート接続を作成できます。インターネットゲートウェイ、NAT デバイス、VPN 接続、または Direct Connect 接続を使用せずに、VPC 内にあるかのようにセキュリティエージェントにアクセスできます。VPC 内のインスタンスは、セキュリティエージェントにアクセスするためにパブリック IP アドレスを必要としません。

このプライベート接続を確立するには、 AWS PrivateLink を搭載したインターフェイスエンドポイントを作成します。インターフェイスエンドポイントに対して有効にする各サブネットにエンドポイントネットワークインターフェイスを作成します。これらは、セキュリティエージェント宛てのトラフィックのエントリポイントとして機能するリクエスタ管理のネットワークインターフェイスです。

詳細については、「 AWS PrivateLink ガイド」の「PrivateLink 経由で AWS サービスにアクセスする」を参照してください。 AWS PrivateLink

セキュリティエージェントの考慮事項

セキュリティエージェントのインターフェイスエンドポイントを設定する前に、 AWS 「 PrivateLink ガイド」の「考慮事項」を参照してください。

セキュリティエージェントは、エージェントスペースの管理オペレーション、侵入テスト、セキュリティ検出結果など、VPC からのすべての API アクションの呼び出しをサポートします。

エンドポイントの作成時に、IPv4、IPv6、またはデュアルスタックを選択できます。

VPC エンドポイントポリシーは、 セキュリティエージェントでサポートされています。デフォルトでは、Security Agent へのフルアクセスはインターフェイスエンドポイントを介して許可されます。エンドポイントポリシーをインターフェイスエンドポイントにアタッチするか、セキュリティグループをエンドポイントネットワークインターフェイスに関連付けることで、アクセスを制御できます。

セキュリティエージェントへのすべての API コールは、VPC エンドポイントを介したコールを含め、TLS 1.2 以降を使用して暗号化されます。データ保護の詳細については、「AWS セキュリティエージェントのデータ保護」を参照してください。セキュリティエージェントの API コールは AWS CloudTrail に記録されます。詳細については、「例: AWS セキュリティエージェントのログファイルエントリ」を参照してください。

Security Agent のインターフェイスエンドポイントを作成する

セキュリティエージェントのインターフェイスエンドポイントは、Amazon VPC コンソールまたは コマンドラインインターフェイス (AWS CLI) AWS を使用して作成できます。詳細については、 AWS 「 PrivateLink ガイド」の「インターフェイスエンドポイントの作成」を参照してください。

次のサービス名を使用して、Security Agent のインターフェイスエンドポイントを作成します。

com.amazonaws.<region>.securityagent

AWS CLI を使用してインターフェイスエンドポイントを作成するには、次のコマンドを実行します。リージョン、VPC ID、サブネット IDs、セキュリティグループ ID を独自の値に置き換えます。

aws ec2 create-vpc-endpoint \
    --vpc-id vpc-1a2b3c4d \
    --vpc-endpoint-type Interface \
    --service-name com.amazonaws.<region>.securityagent \
    --subnet-ids subnet-1a2b3c4d subnet-5e6f7a8b \
    --security-group-ids sg-1a2b3c4d \
    --private-dns-enabled

プライベート DNS を使用するには、VPC trueの 属性enableDnsSupportと enableDnsHostnames 属性の両方を に設定する必要があります。詳細については、「Amazon VPC ユーザーガイド」の「VPC の DNS 属性」を参照してください。

インターフェイスエンドポイントのセキュリティグループを設定する

インターフェイスエンドポイントを作成するときに、セキュリティグループをエンドポイントネットワークインターフェイスに関連付けて、Security Agent へのトラフィックを制御できます。セキュリティエージェントと通信する必要がある VPC 内のリソースからのインバウンド HTTPS トラフィック (ポート 443) を許可するセキュリティグループを作成します。

セキュリティグループには、次のインバウンドルールを含める必要があります。

詳細については、 AWS 「 PrivateLink ガイド」の「セキュリティグループ」を参照してください。

インターフェイスエンドポイントのエンドポイントポリシーを作成する

エンドポイントポリシーは、インターフェイスエンドポイントにアタッチできる IAM リソースです。デフォルトのエンドポイントポリシーでは、インターフェイスエンドポイントを介したセキュリティエージェントへのフルアクセスが許可されます。VPC から Security Agent に許可されるアクセスを制御するには、カスタムエンドポイントポリシーをインターフェイスエンドポイントにアタッチします。

エンドポイントポリシーは以下の情報を指定します。

詳細については、 AWS 「 PrivateLink ガイド」の「エンドポイントポリシーを使用してサービスへのアクセスを制御する」を参照してください。

例: AWS セキュリティエージェントアクションの VPC エンドポイントポリシー

以下は、 AWS セキュリティエージェントのエンドポイントポリシーの例です。エンドポイントにアタッチすると、このポリシーは、すべてのリソースのすべてのプリンシパルに対して、リストされている AWS セキュリティエージェントアクションへのアクセスを許可します。

{
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": "*",
         "Action": [
            "securityagent:CreatePentest",
            "securityagent:ListPentests",
            "securityagent:BatchGetPentests",
            "securityagent:StartPentestExecution",
            "securityagent:StopPentestExecution",
            "securityagent:ListFindings",
            "securityagent:BatchGetFindings"
         ],
         "Resource": "*"
      }
   ]
}

例: 指定された AWS アカウントからのすべてのアクセスを拒否する VPC エンドポイントポリシー

次の VPC エンドポイントポリシーは、エンドポイントを使用したリソースへの123456789012すべてのアクセスを AWS アカウントで拒否します。このポリシーは、他のアカウントからのすべてのアクションを許可します。

{
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": "*",
         "Action": "securityagent:*",
         "Resource": "*"
      },
      {
         "Effect": "Deny",
         "Principal": {
            "AWS": "123456789012"
         },
         "Action": "securityagent:*",
         "Resource": "*"
      }
   ]
}

トラブルシューティング

Security Agent API を呼び出すと接続がタイムアウトする

の DNS 解決が失敗する securityagent.<region>.api.aws

Access denied Security Agent APIsエラー