AWS Security Hub とインターフェース VPC エンドポイント (AWS PrivateLink) - AWS Security Hub
Security Hub VPC エンドポイントに関する考慮事項Security Hub 用のインターフェイス VPC エンドポイントの作成Security Hub 用の VPC エンドポイントポリシーの作成共有サブネット

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS Security Hub とインターフェース VPC エンドポイント (AWS PrivateLink)

VPC と AWS Security Hub とのプライベート接続を確立するには、インターフェイス VPC エンドポイントを作成します。インターフェイスエンドポイントは AWS PrivateLink テクノロジーを利用しています。このテクノロジーは Security Hub API にプライベートにアクセスでき、インターネットゲートウェイ、NAT デバイス、VPN 接続、AWS Direct Connect 接続のいずれも必要としません。VPC のインスタンスは、パブリック IP アドレスがなくても Security Hub API と通信できます。VPC と Security Hub との間のトラフィックは、Amazon ネットワークを離れません。

各インターフェイスエンドポイントは、サブネット内の 1 つ以上の Elastic Network Interface によって表されます。

詳細については、「AWS PrivateLink ガイド」の「インターフェイス VPC エンドポイント (AWS PrivateLink)」を参照してください。

Security Hub VPC エンドポイントに関する考慮事項

Security Hub 用のインターフェース VPC エンドポイントを設定する前に、「AWS PrivateLink ガイド」の「インターフェイスエンドポイントのプロパティと制限」の内容を確認してください。

Security Hub では、VPC からのすべての API アクションの呼び出しをサポートしています。

注記

Security Hub では、アジアパシフィック (大阪) リージョンで VPC エンドポイントがサポートされていません。

Security Hub 用のインターフェイス VPC エンドポイントの作成

Security Hub サービス用の VPC エンドポイントを作成するには、Amazon VPC コンソールまたは AWS Command Line Interface (AWS CLI) を使用できます。詳細については、「AWS PrivateLink ガイド」の「インターフェイスエンドポイントの作成」を参照してください。

Security Hub 用の VPC エンドポイントを作成するには、次のサービス名を使用します。

  • com.amazonaws.region.securityhub

エンドポイントのプライベート DNS を有効にすると、リージョンのデフォルト DNS 名 (securityhub.us-east-1.amazonaws.com など) を使用して、Security Hub への API リクエストを実行できるようになります。

詳細については、「AWS PrivateLink ガイド」の「インターフェイスエンドポイントを介したサービスへのアクセス」を参照してください。

Security Hub 用の VPC エンドポイントポリシーの作成

VPC エンドポイントに Security Hub へのアクセスをコントロールするエンドポイントポリシーをアタッチできます。このポリシーでは、以下の情報を指定します。

  • アクションを実行できるプリンシパル。

  • 実行可能なアクション。

  • このアクションを実行できるリソース。

詳細については、「AWS PrivateLink ガイド」の「VPC エンドポイントでサービスへのアクセスを制御する」を参照してください。

例: Security Hub アクションの VPC エンドポイントポリシー

以下は、Security Hub のエンドポイントポリシーの例です。このポリシーは、エンドポイントに添付されると、すべてのリソースのすべてのプリンシパルに対して、登録されている Security Hub アクションへのアクセスが許可されます。

{
   "Statement":[
      {
         "Principal":"*",
         "Effect":"Allow",
         "Action":[
            "securityhub:getFindings",
            "securityhub:getEnabledStandards",
            "securityhub:getInsights"
         ],
         "Resource":"*"
      }
   ]
}

共有サブネット

自分と共有されているサブネットで VPC エンドポイントを作成、説明、変更、または削除することはできません。ただし、VPC エンドポイントを使用することはできます。VPC 共有の詳細については、「Amazon VPC ユーザーガイド」の「VPC を他のアカウントと共有する」を参照してください。