翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。 # のセキュリティ AWS Security Hub CSPM でのクラウドセキュリティが最優先事項 AWS です。お客様は AWS 、セキュリティを最も重視する組織の要件を満たすように構築されたデータセンターとネットワークアーキテクチャからメリットを得られます。 セキュリティは、 AWS お客様とお客様の間の責任共有です。[責任共有モデル](https://aws.amazon.com/compliance/shared-responsibility-model/)では、これをクラウドのセキュリティおよびクラウド内のセキュリティとして説明しています。 + **クラウドのセキュリティ** – クラウドで AWS AWS サービスを実行するインフラストラクチャを保護する AWS 責任があります。 AWS また、 では、安全に使用できるサービスも提供しています。[「AWS 」 コンプライアンスプログラム](https://aws.amazon.com/compliance/programs/)の一環として、サードパーティーの監査が定期的にセキュリティの有効性をテストおよび検証しています。「 AWS Security Hub CSPM」 に適用されるコンプライアンスプログラムの詳細については、「[コンプライアンスプログラムによる対象範囲内の 「AWS 」 のサービス](https://aws.amazon.com/compliance/services-in-scope/)」を参照してください。 + **クラウドのセキュリティ** – お客様の責任は、使用する AWS サービスによって決まります。また、ユーザーは、データの機密性、会社の要件、適用される法律や規制など、その他の要因についても責任を負います。 このドキュメントは、Security Hub CSPM を使用する際に責任共有モデルを適用する方法を理解するのに役立ちます。以下のトピックでは、セキュリティおよびコンプライアンスの目的を達成するように Security Hub CSPM を設定する方法について説明します。また、Security Hub CSPM リソースのモニタリングと保護に役立つ他の AWS サービスの使用方法についても説明します。 **Topics** + [でのデータ保護 AWS Security Hub CSPM](data-protection.md) + [AWS Security Hub CSPM の Identity and Access Management](security-iam.md) + [のコンプライアンス検証 AWS Security Hub CSPM](securityhub-compliance.md) + [AWS Security Hub の耐障害性](disaster-recovery-resiliency.md) + [のインフラストラクチャセキュリティ AWS Security Hub CSPM](infrastructure-security.md) + [AWS Security Hub CSPM およびインターフェイス VPC エンドポイント (AWS PrivateLink)](security-vpc-endpoints.md) # でのデータ保護 AWS Security Hub CSPM 責任 AWS [共有モデル](https://aws.amazon.com/compliance/shared-responsibility-model/)、 でのデータ保護に適用されます AWS Security Hub CSPM。このモデルで説明されているように、 AWS はすべての を実行するグローバルインフラストラクチャを保護する責任があります AWS クラウド。ユーザーは、このインフラストラクチャでホストされるコンテンツに対する管理を維持する責任があります。また、使用する「 AWS のサービス 」のセキュリティ設定と管理タスクもユーザーの責任となります。データプライバシーの詳細については、[データプライバシーに関するよくある質問](https://aws.amazon.com/compliance/data-privacy-faq/)を参照してください。欧州でのデータ保護の詳細については、*AWS セキュリティブログ*に投稿された「[AWS 責任共有モデルおよび GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/)」のブログ記事を参照してください。 データ保護の目的で、認証情報を保護し AWS アカウント 、 AWS IAM アイデンティティセンター または AWS Identity and Access Management (IAM) を使用して個々のユーザーを設定することをお勧めします。この方法により、それぞれのジョブを遂行するために必要な権限のみが各ユーザーに付与されます。また、次の方法でデータを保護することもお勧めします: + 各アカウントで多要素認証 (MFA) を使用します。 + SSL/TLS を使用して AWS リソースと通信します。TLS 1.2 は必須ですが、TLS 1.3 を推奨します。 + で API とユーザーアクティビティのログ記録を設定します AWS CloudTrail。CloudTrail 証跡を使用して AWS アクティビティをキャプチャする方法については、「 *AWS CloudTrail ユーザーガイド*」の[CloudTrail 証跡の使用](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)」を参照してください。 + AWS 暗号化ソリューションと、その中のすべてのデフォルトのセキュリティコントロールを使用します AWS のサービス。 + Amazon Macie などの高度な管理されたセキュリティサービスを使用します。これらは、Amazon S3 に保存されている機密データの検出と保護を支援します。 + コマンドラインインターフェイスまたは API AWS を介して にアクセスするときに FIPS 140-3 検証済み暗号化モジュールが必要な場合は、FIPS エンドポイントを使用します。利用可能な FIPS エンドポイントの詳細については、「[連邦情報処理規格 (FIPS) 140-3](https://aws.amazon.com/compliance/fips/)」を参照してください。 お客様の E メールアドレスなどの極秘または機密情報を、タグ、または **[名前]** フィールドなどの自由形式のテキストフィールドに含めないことを強くお勧めします。これは、コンソール、API、または SDK を使用して Security Hub CSPM AWS CLIまたは他の AWS のサービス を使用する場合も同様です。 AWS SDKs タグ、または名前に使用される自由記述のテキストフィールドに入力したデータは、請求または診断ログに使用される場合があります。外部サーバーに URL を提供する場合、そのサーバーへのリクエストを検証できるように、認証情報を URL に含めないことを強くお勧めします。 Security Hub CSPM はマルチテナントサービスです。データ保護を確保するために、Security Hub CSPM は保管中のデータとコンポーネントサービス間の転送中のデータを暗号化します。 # AWS Security Hub CSPM の Identity and Access Management AWS Identity and Access Management (IAM) は、管理者が AWS リソースへのアクセスを安全に制御 AWS のサービス するのに役立つ です。IAM 管理者は、誰を認証 (サインイン) し、誰を認可する (Security Hub リソースの使用を許可する) かを制御します。IAM は、追加料金なしで使用できる AWS のサービス です。 **Topics** + [オーディエンス](#security_iam_audience) + [アイデンティティを使用した認証](#security_iam_authentication) + [ポリシーを使用したアクセスの管理](#security_iam_access-manage) + [Security Hub と IAM の連携方法](security_iam_service-with-iam.md) + [のアイデンティティベースのポリシーの例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md) + [のサービスにリンクされたロール AWS Security Hub CSPM](using-service-linked-roles.md) + [AWS Security Hub の マネージドポリシー](security-iam-awsmanpol.md) + [AWS Security Hub CSPM ID とアクセスのトラブルシューティング](security_iam_troubleshoot.md) ## オーディエンス AWS Identity and Access Management (IAM) の使用方法は、ロールによって異なります。 + **サービスユーザー** - 機能にアクセスできない場合は、管理者にアクセス許可をリクエストします (「[AWS Security Hub CSPM ID とアクセスのトラブルシューティング](security_iam_troubleshoot.md)」を参照)。 + **サービス管理者** - ユーザーアクセスを決定し、アクセス許可リクエストを送信します (「[Security Hub と IAM の連携方法](security_iam_service-with-iam.md)」を参照) + **IAM 管理者** - アクセスを管理するためのポリシーを作成します (「[のアイデンティティベースのポリシーの例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md)」を参照) ## アイデンティティを使用した認証 認証とは、ID 認証情報 AWS を使用して にサインインする方法です。、IAM ユーザー AWS アカウントのルートユーザー、または IAM ロールを引き受けることで認証される必要があります。 AWS IAM アイデンティティセンター (IAM Identity Center)、シングルサインオン認証、Google/Facebook 認証情報などの ID ソースからの認証情報を使用して、フェデレーティッド ID としてサインインできます。サインインの詳細については、「*AWS サインイン ユーザーガイド*」の「[AWS アカウントにサインインする方法](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)」を参照してください。 プログラムによるアクセスの場合、 は SDK と CLI AWS を提供してリクエストを暗号化して署名します。詳細については、「*IAM ユーザーガイド*」の「[API リクエストに対するAWS 署名バージョン 4](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)」を参照してください。 ### AWS アカウント ルートユーザー を作成するときは AWS アカウント、すべての AWS のサービス および リソースへの完全なアクセス権を持つ AWS アカウント *ルートユーザー*と呼ばれる 1 つのサインインアイデンティティから始めます。日常的なタスクには、ルートユーザーを使用しないことを強くお勧めします。ルートユーザー認証情報を必要とするタスクについては、「*IAM ユーザーガイド*」の「[ルートユーザー認証情報が必要なタスク](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)」を参照してください。 ### フェデレーテッドアイデンティティ ベストプラクティスとして、人間のユーザーが一時的な認証情報 AWS のサービス を使用して にアクセスするには、ID プロバイダーとのフェデレーションを使用する必要があります。 *フェデレーティッド ID* は、エンタープライズディレクトリ、ウェブ ID プロバイダー、または ID Directory Service ソースの認証情報 AWS のサービス を使用して にアクセスするユーザーです。フェデレーテッドアイデンティティは、一時的な認証情報を提供するロールを引き受けます。 アクセスを一元管理する場合は、 AWS IAM アイデンティティセンターをお勧めします。詳細については、「*AWS IAM アイデンティティセンター ユーザーガイド*」の「[IAM アイデンティティセンターとは](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html)」を参照してください。 ### IAM ユーザーとグループ *[IAM ユーザー](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)*は、特定の個人やアプリケーションに対する特定のアクセス許可を持つアイデンティティです。長期認証情報を持つ IAM ユーザーの代わりに一時的な認証情報を使用することをお勧めします。詳細については、*IAM ユーザーガイド*の[「ID プロバイダーとのフェデレーションを使用して にアクセスする必要がある AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp)」を参照してください。 [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)は、IAM ユーザーの集合を指定し、大量のユーザーに対するアクセス許可の管理を容易にします。詳細については、「*IAM ユーザーガイド*」の「[IAM ユーザーに関するユースケース](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)」を参照してください。 ### IAM ロール *[IAM ロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)*は、特定のアクセス許可を持つアイデンティであり、一時的な認証情報を提供します。ユーザー[から IAM ロール (コンソール) に切り替えるか、 または API オペレーションを呼び出すことで、ロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)を引き受けることができます。 AWS CLI AWS 詳細については、「*IAM ユーザーガイド*」の「[ロールを引き受けるための各種方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)」を参照してください。 IAM ロールは、フェデレーションユーザーアクセス、一時的な IAM ユーザーのアクセス許可、クロスアカウントアクセス、クロスサービスアクセス、および Amazon EC2 で実行するアプリケーションに役立ちます。詳細については、*IAM ユーザーガイド* の [IAM でのクロスアカウントリソースアクセス](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) を参照してください。 ## ポリシーを使用したアクセスの管理 でアクセスを制御する AWS には、ポリシーを作成し、ID AWS またはリソースにアタッチします。ポリシーは、アイデンティティまたはリソースに関連付けられたときにアクセス許可を定義します。 は、プリンシパルがリクエストを行うときにこれらのポリシー AWS を評価します。ほとんどのポリシーは JSON ドキュメント AWS として に保存されます。JSON ポリシードキュメントの詳細については、「*IAM ユーザーガイド*」の「[JSON ポリシー概要](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)」を参照してください。 管理者は、ポリシーを使用して、どの**プリンシパル**がどの**リソース**に対して、どのような**条件**で**アクション**を実行できるかを定義することで、誰が何にアクセスできるかを指定します。 デフォルトでは、ユーザーやロールにアクセス許可はありません。IAM 管理者は IAM ポリシーを作成してロールに追加し、このロールをユーザーが引き受けられるようにします。IAM ポリシーは、オペレーションの実行方法を問わず、アクセス許可を定義します。 ### アイデンティティベースのポリシー アイデンティティベースのポリシーは、アイデンティティ (ユーザー、グループ、またはロール) にアタッチできる JSON アクセス許可ポリシードキュメントです。これらのポリシーは、アイデンティティがどのリソースに対してどのような条件下でどのようなアクションを実行できるかを制御します。アイデンティティベースポリシーの作成方法については、*IAM ユーザーガイド* の [カスタマー管理ポリシーでカスタム IAM アクセス許可を定義する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) を参照してください。 アイデンティティベースのポリシーは、*インラインポリシー* (単一の ID に直接埋め込む) または*管理ポリシー* (複数の ID にアタッチされたスタンドアロンポリシー) にすることができます。管理ポリシーとインラインポリシーのいずれかを選択する方法については、「*IAM ユーザーガイド*」の「[管理ポリシーとインラインポリシーのいずれかを選択する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)」を参照してください。 ### リソースベースのポリシー リソースベースのポリシーは、リソースに添付する JSON ポリシードキュメントです。例としては、IAM *ロール信頼ポリシー*や Amazon S3 *バケットポリシー*などがあります。リソースベースのポリシーをサポートするサービスでは、サービス管理者はポリシーを使用して特定のリソースへのアクセスを制御できます。リソースベースのポリシーでは、[プリンシパルを指定する](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)必要があります。 リソースベースのポリシーは、そのサービス内にあるインラインポリシーです。リソースベースのポリシーでは、IAM の AWS マネージドポリシーを使用できません。 ### その他のポリシータイプ AWS は、より一般的なポリシータイプによって付与されるアクセス許可の上限を設定できる追加のポリシータイプをサポートしています。 + **アクセス許可の境界** – アイデンティティベースのポリシーで IAM エンティティに付与することのできるアクセス許可の数の上限を設定します。詳細については、「*IAM ユーザーガイド*」の「[IAM エンティティのアクセス許可境界](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)」を参照してください。 + **サービスコントロールポリシー (SCP)** - AWS Organizations内の組織または組織単位の最大のアクセス許可を指定します。詳細については、「*AWS Organizations ユーザーガイド*」の「[サービスコントロールポリシー](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)」を参照してください。 + **リソースコントロールポリシー (RCP)** – は、アカウント内のリソースで利用できる最大数のアクセス許可を定義します。詳細については、「*AWS Organizations ユーザーガイド*」の「[リソースコントロールポリシー (RCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)」を参照してください。 + **セッションポリシー** – ロールまたはフェデレーションユーザーの一時セッションを作成する際にパラメータとして渡される高度なポリシーです。詳細については、「*IAM ユーザーガイド*」の「[セッションポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)」を参照してください。 ### 複数のポリシータイプ 1 つのリクエストに複数のタイプのポリシーが適用されると、結果として作成されるアクセス許可を理解するのがさらに難しくなります。が複数のポリシータイプが関与する場合にリクエストを許可するかどうか AWS を決定する方法については、*「IAM ユーザーガイド*」の[「ポリシー評価ロジック](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)」を参照してください。 # Security Hub と IAM の連携方法 AWS Identity and Access Management (IAM) を使用して へのアクセスを管理する前に AWS Security Hub CSPM、Security Hub CSPM で使用できる IAM 機能を確認してください。 **で使用できる IAM 機能 AWS Security Hub CSPM** | IAM 機能 | Security Hub CSPM のサポート | | --- | --- | | [アイデンティティベースのポリシー](#security_iam_service-with-iam-id-based-policies) | あり | | [リソースベースのポリシー](#security_iam_service-with-iam-resource-based-policies) | なし | | [ポリシーアクション](#security_iam_service-with-iam-id-based-policies-actions) | あり | | [ポリシーリソース](#security_iam_service-with-iam-id-based-policies-resources) | いいえ | | [ポリシー条件キー](#security_iam_service-with-iam-id-based-policies-conditionkeys) | はい | | [アクセスコントロールリスト (ACL) ](#security_iam_service-with-iam-acls) | いいえ | | [属性ベースのアクセス制御 (ABAC) – ポリシー内のタグ](#security_iam_service-with-iam-tags) | はい | | [一時的な認証情報](#security_iam_service-with-iam-roles-tempcreds) | あり | | [転送アクセスセッション (FAS)](#security_iam_service-with-iam-principal-permissions) | あり | | [サービスロール](#security_iam_service-with-iam-roles-service) | いいえ | | [サービスリンクロール](#security_iam_service-with-iam-roles-service-linked) | はい | Security Hub CSPM およびその他の がほとんどの IAM 機能と AWS のサービス 連携する方法の概要については、[AWS のサービス 「IAM ユーザーガイド」の「IAM と連携する ](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)」を参照してください。 ** ## Security Hub CSPM のアイデンティティベースのポリシー **ID ベースのポリシーのサポート:** あり アイデンティティベースポリシーは、IAM ユーザー、ユーザーグループ、ロールなど、アイデンティティにアタッチできる JSON 許可ポリシードキュメントです。これらのポリシーは、ユーザーとロールが実行できるアクション、リソース、および条件をコントロールします。アイデンティティベースポリシーの作成方法については、「*IAM ユーザーガイド*」の「[カスタマー管理ポリシーでカスタム IAM アクセス許可を定義する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)」を参照してください。 IAM アイデンティティベースのポリシーでは、許可または拒否するアクションとリソース、およびアクションを許可または拒否する条件を指定できます。JSON ポリシーで使用できるすべての要素について学ぶには、「*IAM ユーザーガイド*」の「[IAM JSON ポリシーの要素のリファレンス](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)」を参照してください。 Security Hub CSPM は、アイデンティティベースのポリシーをサポートしています。詳細については、「[のアイデンティティベースのポリシーの例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md)」を参照してください。 ## Security Hub CSPM のリソースベースのポリシー **リソースベースのポリシーのサポート:** なし リソースベースのポリシーは、リソースに添付する JSON ポリシードキュメントです。リソースベースのポリシーには例として、IAM *ロールの信頼ポリシー*や Amazon S3 *バケットポリシー*があげられます。リソースベースのポリシーをサポートするサービスでは、サービス管理者はポリシーを使用して特定のリソースへのアクセスをコントロールできます。ポリシーがアタッチされているリソースの場合、指定されたプリンシパルがそのリソースに対して実行できるアクションと条件は、ポリシーによって定義されます。リソースベースのポリシーで、[プリンシパルを指定する](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)必要があります。プリンシパルには、アカウント、ユーザー、ロール、フェデレーティッドユーザー、または を含めることができます AWS のサービス。 クロスアカウントアクセスを有効にするには、全体のアカウント、または別のアカウントの IAM エンティティを、リソースベースのポリシーのプリンシパルとして指定します。詳細については、IAM ユーザーガイド**の[IAM でのクロスアカウントリソースアクセス](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)を参照してください。 Security Hub CSPM はリソースベースのポリシーをサポートしていません。IAM ポリシーを Security Hub CSPM リソースに直接アタッチすることはできません。 ## Security Hub CSPM のポリシーアクション **ポリシーアクションのサポート:** あり 管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件下で****アクション**を実行できるかということです。 JSON ポリシーの `Action` 要素にはポリシー内のアクセスを許可または拒否するために使用できるアクションが記述されます。このアクションは関連付けられたオペレーションを実行するためのアクセス許可を付与するポリシーで使用されます。 Security Hub CSPM のポリシーアクションは、アクションの前に次のプレフィックスを使用します。 ``` securityhub: ``` 例えば、Security Hub CSPM API の `EnableSecurityHub`オペレーションに対応するアクションである Security Hub CSPM を有効にするアクセス許可をユーザーに付与するには、ポリシーに `securityhub:EnableSecurityHub`アクションを含めます。ポリシーステートメントには`Action` または `NotAction` 要素を含める必要があります。Security Hub CSPM は、このサービスで実行できるタスクを記述する独自のアクションのセットを定義します。 ``` "Action": "securityhub:EnableSecurityHub" ``` 単一のステートメントで複数のアクションを指定するには、アクションをカンマで区切ります。例えば、次のようになります。 ``` "Action": [ "securityhub:EnableSecurityHub", "securityhub:BatchEnableStandards" ``` ワイルドカード (\$1) を使用して複数のアクションを指定することもできます。例えば、`Get` という単語で始まるすべてのアクションを指定するには次のアクションを含めます。 ``` "Action": "securityhub:Get*" ``` ただしベストプラクティスとして、最小特権 の原則に準拠したポリシーを作成してください。別の言い方をすると、特定タスクの実行にのみ必要とされる権限のみが含まれたポリシーを作成してください。 `BatchGetSecurityControls`、`BatchGetStandardsControlAssociations`、および `ListStandardsControlAssociations` にアクセスするには、ユーザーが `DescribeStandardsControl` オペレーションにアクセスできる必要があります。 `BatchUpdateStandardsControlAssociations` および `UpdateSecurityControl` にアクセスするには、ユーザーが `UpdateStandardsControls` オペレーションにアクセスできる必要があります。 Security Hub CSPM アクションのリストについては、*「サービス認可リファレンス*」の[「 で定義されるアクション AWS Security Hub CSPM](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssecurityhub.html#awssecurityhub-actions-as-permissions)」を参照してください。Security Hub CSPM アクションを指定するポリシーの例については、「」を参照してください[のアイデンティティベースのポリシーの例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md)。 ## Security Hub CSPM のポリシーリソース **ポリシーリソースのサポート:** なし 管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件**下で**アクション**を実行できるかということです。 `Resource` JSON ポリシー要素はアクションが適用されるオブジェクトを指定します。ベストプラクティスとして、[Amazon リソースネーム (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) を使用してリソースを指定します。リソースレベルのアクセス許可をサポートしないアクションの場合は、ステートメントがすべてのリソースに適用されることを示すために、ワイルドカード (\$1) を使用します。 ``` "Resource": "*" ``` Security Hub CSPM では、次のリソースタイプを定義します。 + [Hub] (ハブ) + 製品 + *クロスリージョンアグリゲーター*とも呼ばれるアグリゲーターの検出 + 自動化ルール + 設定ポリシー ARN を使用して、ポリシーでこれらのタイプのリソースを指定できます。 Security Hub CSPM リソースタイプとそれぞれの ARN 構文のリストについては、*「サービス認可リファレンス*」の「 [で定義されるリソースタイプ AWS Security Hub CSPM](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssecurityhub.html#awssecurityhub-resources-for-iam-policies)」を参照してください。リソースタイプごとに指定できるアクションについては、「*サービス認可リファレンス*」の「[AWS Security Hub CSPMで定義されるアクション](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssecurityhub.html#awssecurityhub-actions-as-permissions)」を参照してください。リソースを指定するポリシーの例については、[のアイデンティティベースのポリシーの例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md)を参照してください。 ## Security Hub CSPM のポリシー条件キー **サービス固有のポリシー条件キーのサポート:** あり 管理者は JSON AWS ポリシーを使用して、誰が何にアクセスできるかを指定できます。つまり、どの**プリンシパル**がどの**リソース**に対してどのような**条件下で****アクション**を実行できるかということです。 `Condition` 要素は、定義された基準に基づいてステートメントが実行される時期を指定します。イコールや未満などの[条件演算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)を使用して条件式を作成して、ポリシーの条件とリクエスト内の値を一致させることができます。すべての AWS グローバル条件キーを確認するには、*「IAM ユーザーガイド*」の[AWS 「グローバル条件コンテキストキー](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)」を参照してください。 Security Hub CSPM 条件キーのリストについては、*「サービス認可リファレンス*[」の「 の条件キー AWS Security Hub CSPM](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssecurityhub.html#awssecurityhub-policy-keys)」を参照してください。どのアクションおよびリソースで条件キーを使用できるかについては、「[AWS Security Hub CSPMで定義されるアクション](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awssecurityhub.html#awssecurityhub-actions-as-permissions)」を参照してください。条件キーを使用するポリシーの例については、「[のアイデンティティベースのポリシーの例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md)」を参照してください。 ## Security Hub CSPM のアクセスコントロールリスト (ACLs) **ACL のサポート:** なし アクセスコントロールリスト (ACL) は、どのプリンシパル (アカウントメンバー、ユーザー、またはロール) がリソースにアクセスするためのアクセス許可を持つかを制御します。ACL はリソースベースのポリシーに似ていますが、JSON ポリシードキュメント形式は使用しません。 Security Hub CSPM は ACLs をサポートしていません。つまり、ACL を Security Hub CSPM リソースにアタッチすることはできません。 ## Security Hub CSPM を使用した属性ベースのアクセスコントロール (ABAC) **ABAC (ポリシー内のタグ) のサポート:** あり 属性ベースのアクセス制御 (ABAC) は、タグと呼ばれる属性に基づいてアクセス許可を定義する認可戦略です。IAM エンティティと AWS リソースにタグをアタッチし、プリンシパルのタグがリソースのタグと一致するときにオペレーションを許可するように ABAC ポリシーを設計できます。 タグに基づいてアクセスを管理するには、`aws:ResourceTag/key-name`、`aws:RequestTag/key-name`、または `aws:TagKeys` の条件キーを使用して、ポリシーの[条件要素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)でタグ情報を提供します。 サービスがすべてのリソースタイプに対して 3 つの条件キーすべてをサポートする場合、そのサービスの値は**あり**です。サービスが一部のリソースタイプに対してのみ 3 つの条件キーのすべてをサポートする場合、値は「**部分的**」になります。 ABAC の詳細については、「*IAM ユーザーガイド*」の「[ABAC 認可でアクセス許可を定義する](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html)」を参照してください。ABAC をセットアップする手順を説明するチュートリアルについては、「*IAM ユーザーガイド*」の「[属性ベースのアクセスコントロール (ABAC) を使用する](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html)」を参照してください。 Security Hub CSPM リソースにタグをアタッチできます。ポリシーの `Condition` 要素にタグ情報を指定することで、リソースへのアクセスを制御することもできます。 Security Hub CSPM リソースのタグ付けについては、「」を参照してください[Security Hub リソースのタグ付け](tagging-resources.md)。タグに基づいてリソースへのアクセスを制御するアイデンティティベースのポリシーの例については、[のアイデンティティベースのポリシーの例 AWS Security Hub CSPM](security_iam_id-based-policy-examples.md)をご参照ください。 ## Security Hub CSPM での一時的な認証情報の使用 **一時的な認証情報のサポート:** あり 一時的な認証情報は、 AWS リソースへの短期的なアクセスを提供し、フェデレーションまたは切り替えロールを使用する場合に自動的に作成されます。 AWS では、長期的なアクセスキーを使用する代わりに、一時的な認証情報を動的に生成することをお勧めします。詳細については、「*IAM ユーザーガイド*」の「[IAM の一時的な認証情報](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)」および「[AWS のサービス と IAM との連携](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)」を参照してください。 一時的な認証情報を使用して、フェデレーションでサインインする、IAM 役割を引き受ける、またはクロスアカウント役割を引き受けることができます。一時的なセキュリティ認証情報を取得するには、[AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html) や [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html) などの AWS STS API オペレーションを呼び出します。 Security Hub CSPM は、一時的な認証情報の使用をサポートしています。 ## Security Hub CSPM の転送アクセスセッション **転送アクセスセッション (FAS) のサポート:** あり 転送アクセスセッション (FAS) は、 を呼び出すプリンシパルのアクセス許可と AWS のサービス、ダウンストリームサービス AWS のサービス へのリクエストをリクエストする を使用します。FAS リクエストを行う際のポリシーの詳細については、「[転送アクセスセッション](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html)」を参照してください。 例えば、Security Hub CSPM を と統合 AWS のサービス するとき、 AWS Organizations および Organizations 内の組織の委任 Security Hub CSPM 管理者アカウントを指定するときに、Security Hub CSPM はダウンストリームに FAS リクエストを実行します。 その他のタスクでは、Security Hub CSPM はサービスにリンクされたロールを使用してユーザーに代わってアクションを実行します。このロールの詳細については、[のサービスにリンクされたロール AWS Security Hub CSPM](using-service-linked-roles.md)を参照してください。 ## Security Hub CSPM のサービスロール Security Hub CSPM はサービスロールを引き受けたり使用したりしません。ユーザーに代わってアクションを実行するために、Security Hub CSPM はサービスにリンクされたロールを使用します。このロールの詳細については、[のサービスにリンクされたロール AWS Security Hub CSPM](using-service-linked-roles.md)を参照してください。 **警告** サービスロールのアクセス許可を変更すると、Security Hub CSPM の使用に伴う運用上の問題が発生する可能性があります。Security Hub CSPM が指示する場合にのみ、サービスロールを編集します。 ## Security Hub CSPM のサービスにリンクされたロール **サービスリンクロールのサポート:** あり サービスにリンクされたロールは、 にリンクされたサービスロールの一種です AWS のサービス。サービスは、ユーザーに代わってアクションを実行するロールを引き受けることができます。サービスにリンクされたロールは に表示され AWS アカウント 、サービスによって所有されます。IAM 管理者は、サービスリンクロールのアクセス許可を表示できますが、編集することはできません。 Security Hub CSPM は、サービスにリンクされたロールを使用してユーザーに代わってアクションを実行します。このロールの詳細については、[のサービスにリンクされたロール AWS Security Hub CSPM](using-service-linked-roles.md)を参照してください。 # のアイデンティティベースのポリシーの例 AWS Security Hub CSPM デフォルトでは、ユーザーとロールには Security Hub CSPM リソースを作成または変更するアクセス許可はありません。また、 AWS マネジメントコンソール、 AWS CLI、または AWS API を使用してタスクを実行することはできません。IAM 管理者は、指定されたリソースで特定の API 操作を実行するための許可をユーザーとロールに付与する IAM ポリシーを作成する必要があります。続いて、管理者はそれらのアクセス許可が必要なユーザーまたはグループにそのポリシーをアタッチします。 JSON ポリシードキュメントのこれらの例を使用して、IAM アイデンティティベースのポリシーを作成する方法については、「**IAM ユーザーガイド」の「[JSON タブでのポリシーの作成](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)」を参照してください。 **Topics** + [ポリシーに関するベストプラクティス](#security_iam_service-with-iam-policy-best-practices) + [Security Hub CSPM コンソールの使用](#security_iam_id-based-policy-examples-console) + [例: ユーザーにそれぞれのアクセス権限の表示を許可する](#security_iam_id-based-policy-examples-view-own-permissions) + [例: ユーザーに設定ポリシーの作成と管理を許可する](#security_iam_id-based-policy-examples-create-configuration-policy) + [例: ユーザーに検出結果の表示を許可する](#security_iam_id-based-policy-examples-view-findings) + [例: ユーザーに自動化ルールの作成と管理を許可する](#security_iam_id-based-policy-examples-create-automation-rule) ## ポリシーに関するベストプラクティス ID ベースのポリシーは、あるユーザーがアカウント内で Security Hub リソースを作成、アクセス、または削除できるどうかを決定します。これらのアクションでは、 AWS アカウントに費用が発生する場合があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください: + ** AWS 管理ポリシーを開始し、最小特権のアクセス許可に移行する** – ユーザーとワークロードにアクセス許可の付与を開始するには、多くの一般的なユースケースにアクセス許可を付与する*AWS 管理ポリシー*を使用します。これらは で使用できます AWS アカウント。ユースケースに固有の AWS カスタマー管理ポリシーを定義することで、アクセス許可をさらに減らすことをお勧めします。詳細については、*IAM ユーザーガイド* の [AWS マネージドポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) または [ジョブ機能のAWS マネージドポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) を参照してください。 + **最小特権を適用する** – IAM ポリシーでアクセス許可を設定する場合は、タスクの実行に必要な許可のみを付与します。これを行うには、特定の条件下で特定のリソースに対して実行できるアクションを定義します。これは、最小特権アクセス許可とも呼ばれています。IAM を使用して許可を適用する方法の詳細については、*IAM ユーザーガイド* の [IAM でのポリシーとアクセス許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) を参照してください。 + **IAM ポリシーで条件を使用してアクセスをさらに制限する** - ポリシーに条件を追加して、アクションやリソースへのアクセスを制限できます。たとえば、ポリシー条件を記述して、すべてのリクエストを SSL を使用して送信するように指定できます。条件を使用して、サービスアクションが などの特定の を通じて使用されている場合に AWS のサービス、サービスアクションへのアクセスを許可することもできます CloudFormation。詳細については、*IAM ユーザーガイド* の [IAM JSON ポリシー要素:条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) を参照してください。 + **IAM アクセスアナライザー を使用して IAM ポリシーを検証し、安全で機能的な権限を確保する** - IAM アクセスアナライザー は、新規および既存のポリシーを検証して、ポリシーが IAM ポリシー言語 (JSON) および IAM のベストプラクティスに準拠するようにします。IAM アクセスアナライザーは 100 を超えるポリシーチェックと実用的な推奨事項を提供し、安全で機能的なポリシーの作成をサポートします。詳細については、*IAM ユーザーガイド* の [IAM Access Analyzer でポリシーを検証する](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) を参照してください。 + **多要素認証 (MFA) を要求する** – で IAM ユーザーまたはルートユーザーを必要とするシナリオがある場合は AWS アカウント、MFA をオンにしてセキュリティを強化します。API オペレーションが呼び出されるときに MFA を必須にするには、ポリシーに MFA 条件を追加します。詳細については、*IAM ユーザーガイド* の [MFA を使用した安全な API アクセス](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) を参照してください。 IAM でのベストプラクティスの詳細については、*IAM ユーザーガイド* の [IAM でのセキュリティのベストプラクティス](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) を参照してください。 ## Security Hub CSPM コンソールの使用 AWS Security Hub CSPM コンソールにアクセスするには、最小限のアクセス許可のセットが必要です。これらのアクセス許可により、 の Security Hub CSPM リソースの詳細を一覧表示および表示できます AWS アカウント。最小限必要な許可よりも制限が厳しいアイデンティティベースのポリシーを作成すると、そのポリシーを持つエンティティ (ユーザーまたはロール) に対してコンソールが意図したとおりに機能しません。 AWS CLI または AWS API のみを呼び出すユーザーには、最小限のコンソールアクセス許可を付与する必要はありません。代わりに、実行しようとしている API オペレーションに一致するアクションのみへのアクセスが許可されます。 これらのユーザーとロールが Security Hub CSPM コンソールを使用できるようにするには、次の AWS 管理ポリシーもエンティティにアタッチします。詳細については、*IAM ユーザーガイド*」の「[ユーザーへの許可の追加](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)」を参照してください。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "securityhub:*", "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringLike": { "iam:AWSServiceName": "securityhub.amazonaws.com" } } } ] } ``` ------ ## 例: ユーザーにそれぞれのアクセス権限の表示を許可する この例では、ユーザーアイデンティティにアタッチされたインラインおよびマネージドポリシーの表示を IAM ユーザーに許可するポリシーの作成方法を示します。このポリシーには、コンソールで、または AWS CLI または AWS API を使用してプログラムでこのアクションを実行するアクセス許可が含まれています。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## 例: ユーザーに設定ポリシーの作成と管理を許可する この例では、ユーザーが設定ポリシーを作成、表示、更新、削除できるようにする IAM ポリシーを作成する方法を示します。このポリシー例では、ポリシーの関連付けを開始、停止、表示することもできます。この IAM ポリシーを機能させるには、ユーザーは組織の委任 Security Hub CSPM 管理者である必要があります。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "CreateAndUpdateConfigurationPolicy", "Effect": "Allow", "Action": [ "securityhub:CreateConfigurationPolicy", "securityhub:UpdateConfigurationPolicy" ], "Resource": "*" }, { "Sid": "ViewConfigurationPolicy", "Effect": "Allow", "Action": [ "securityhub:GetConfigurationPolicy", "securityhub:ListConfigurationPolicies" ], "Resource": "*" }, { "Sid": "DeleteConfigurationPolicy", "Effect": "Allow", "Action": [ "securityhub:DeleteConfigurationPolicy" ], "Resource": "*" }, { "Sid": "ViewConfigurationPolicyAssociation", "Effect": "Allow", "Action": [ "securityhub:BatchGetConfigurationPolicyAssociations", "securityhub:GetConfigurationPolicyAssociation", "securityhub:ListConfigurationPolicyAssociations" ], "Resource": "*" }, { "Sid": "UpdateConfigurationPolicyAssociation", "Effect": "Allow", "Action": [ "securityhub:StartConfigurationPolicyAssociation", "securityhub:StartConfigurationPolicyDisassociation" ], "Resource": "*" } ] } ``` ------ ## 例: ユーザーに検出結果の表示を許可する この例では、Security Hub CSPM の検出結果の表示をユーザーに許可する IAM ポリシーを作成する方法を示します。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ReviewFindings", "Effect": "Allow", "Action": [ "securityhub:GetFindings" ], "Resource": "*" } ] } ``` ------ ## 例: ユーザーに自動化ルールの作成と管理を許可する この例では、Security Hub CSPM 自動化ルールの作成、表示、更新、削除をユーザーに許可する IAM ポリシーを作成する方法を示します。この IAM ポリシーを使用するには、ユーザーが Security Hub CSPM 管理者である必要があります。アクセス許可を制限するには、例えば、ユーザーに自動化ルールの表示のみを許可するには、作成、更新、削除のアクセス許可を削除できます。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "CreateAndUpdateAutomationRules", "Effect": "Allow", "Action": [ "securityhub:CreateAutomationRule", "securityhub:BatchUpdateAutomationRules" ], "Resource": "*" }, { "Sid": "ViewAutomationRules", "Effect": "Allow", "Action": [ "securityhub:BatchGetAutomationRules", "securityhub:ListAutomationRules" ], "Resource": "*" }, { "Sid": "DeleteAutomationRules", "Effect": "Allow", "Action": [ "securityhub:BatchDeleteAutomationRules" ], "Resource": "*" } ] } ``` ------ # のサービスにリンクされたロール AWS Security Hub CSPM AWS Security Hub CSPM は、 という名前の AWS Identity and Access Management (IAM) [サービスにリンクされたロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)を使用します`AWSServiceRoleForSecurityHub`。このサービスにリンクされたロールは、Security Hub CSPM に直接リンクされた IAM ロールです。これは Security Hub CSPM によって事前定義されており、Security Hub CSPM がユーザーに代わって他の を呼び出し AWS のサービス て AWS リソースをモニタリングするために必要なすべてのアクセス許可が含まれています。Security Hub CSPM は、Security Hub CSPM AWS リージョン が利用可能なすべての で、このサービスにリンクされたロールを使用します。 サービスにリンクされたロールを使用すると、必要なアクセス許可を手動で追加する必要がなくなるため、Security Hub CSPM の設定が簡単になります。Security Hub CSPM は、サービスにリンクされたロールのアクセス許可を定義します。特に定義されている場合を除き、Security Hub CSPM のみがロールを引き受けることができます。定義される許可には、信頼ポリシーや許可ポリシーなどがあり、その許可ポリシーを他の IAM エンティティにアタッチすることはできません。 サービスにリンクされたロールの詳細を確認するには、Security Hub CSPM コンソールを使用できます。ナビゲーションペインの **[設定]** で、**[全般設定]** を選択します。次に、**[サービスアクセス許可]** セクションで、**[サービスアクセス許可の表示]** を選択します。 Security Hub のサービスにリンクされたロールを削除できるのは、Security Hub CSPM が有効になっているすべてのリージョンで Security Hub CSPM を無効にした後のみです。これにより、Security Hub CSPM リソースへのアクセス許可が誤って削除されないため、リソースが保護されます。 サービスにリンクされたロールをサポートするその他のサービスについては、「*IAM ユーザーガイド*」の「[IAM と連携するAWS サービス](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)」を参照のうえで、**[サービスにリンクされたロール]** 列の値が **[はい]** になっているサービスを確認してください。サービスリンクロールに関するドキュメントをサービスで表示するには、**[Yes]** (はい) リンクを選択します。 **Topics** + [Security Hub CSPM のサービスにリンクされたロールのアクセス許可](#slr-permissions) + [Security Hub CSPM のサービスにリンクされたロールの作成](#create-slr) + [Security Hub CSPM のサービスにリンクされたロールの編集](#edit-slr) + [Security Hub CSPM のサービスにリンクされたロールの削除](#delete-slr) + [AWS Security Hub V2 のサービスにリンクされたロール](#slr-permissions-v2) ## Security Hub CSPM のサービスにリンクされたロールのアクセス許可 Security Hub CSPM は、 という名前のサービスにリンクされたロールを使用します`AWSServiceRoleForSecurityHub`。これは、 が リソースにアクセス AWS Security Hub CSPM するために必要なサービスにリンクされたロールです。このサービスにリンクされたロールにより、Security Hub CSPM は他の からの検出結果の受信 AWS のサービス や、コントロールのセキュリティチェックを実行するために必要な AWS Config インフラストラクチャの設定などのタスクを実行できます。`AWSServiceRoleForSecurityHub` サービスにリンクされたロールは、ロールを継承するために `securityhub.amazonaws.com` のサービスを信頼します。 `AWSServiceRoleForSecurityHub` サービスにリンクされたロールは、マネージドポリシーである [`AWSSecurityHubServiceRolePolicy`](security-iam-awsmanpol.md#security-iam-awsmanpol-awssecurityhubservicerolepolicy) を使用します。 IAM アイデンティティ (ロール、グループ、ユーザーなど) に、サービスにリンクされたロールの作成、編集、削除を許可する設定をする必要があります。`AWSServiceRoleForSecurityHub` サービスにリンクされたロールを正常に作成するには、Security Hub CSPM へのアクセスに使用する IAM ID に必要なアクセス許可が必要です。必要な許可を付与するには、次のポリシーを IAM アイデンティティにアタッチします。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "securityhub:*", "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringLike": { "iam:AWSServiceName": "securityhub.amazonaws.com" } } } ] } ``` ------ ## Security Hub CSPM のサービスにリンクされたロールの作成 `AWSServiceRoleForSecurityHub` サービスにリンクされたロールは、Security Hub CSPM を初めて有効にするか、以前に有効にしていなかったリージョンで Security Hub CSPM を有効にすると、自動的に作成されます。あるいは、IAM コンソール、IAM CLI、もしくは IAM API を使って、`AWSServiceRoleForSecurityHub` のサービスリンクロールを手動で作成することもできます。IAM ロールを手動で作成する方法の詳細は、「IAM ユーザーガイド」の「[サービスにリンクされたロールを作成する](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role)」を参照してください。 **重要** Security Hub CSPM 管理者アカウント用に作成されたサービスにリンクされたロールは、関連する Security Hub CSPM メンバーアカウントには適用されません。 ## Security Hub CSPM のサービスにリンクされたロールの編集 Security Hub CSPM では、`AWSServiceRoleForSecurityHub`サービスにリンクされたロールを編集することはできません。サービスリンクロールを作成すると、多くのエンティティによってロールが参照される可能性があるため、ロール名を変更することはできません。ただし、IAM を使用してロールの説明の編集はできます。詳細については、「*IAM ユーザーガイド*」の「[サービスリンクロールの編集](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)」を参照してください。 ## Security Hub CSPM のサービスにリンクされたロールの削除 サービスにリンクされたロールが必要な機能またはサービスが不要になった場合には、そのロールを削除することをお勧めします。これにより、使用していないエンティティがアクティブにモニタリングされたり、メンテナンスされたりすることがなくなります。 Security Hub CSPM を無効にすると、Security Hub CSPM は`AWSServiceRoleForSecurityHub`サービスにリンクされたロールを自動的に削除しません。Security Hub CSPM を再度有効にすると、サービスは既存のサービスにリンクされたロールの使用を再開できます。Security Hub CSPM を使用する必要がなくなった場合は、サービスにリンクされたロールを手動で削除できます。 **重要** `AWSServiceRoleForSecurityHub` サービスにリンクされたロールを削除する前に、そのロールが有効になっているすべてのリージョンで Security Hub CSPM を無効にする必要があります。詳細については、「[Security Hub CSPM の無効化](securityhub-disable.md)」を参照してください。サービスにリンクされたロールを削除しようとしたときに Security Hub CSPM が無効になっていない場合、削除は失敗します。 `AWSServiceRoleForSecurityHub` のサービスリンクロールは、IAM コンソール、IAM CLI、または IAM API を使用して削除することができます。詳細については、「*IAM ユーザーガイド*」の「[サービスにリンクされたロールの削除](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)」を参照してください。 ## AWS Security Hub V2 のサービスにリンクされたロール は、 という名前のサービスにリンクされたロールを使用します`AWSServiceRoleForSecurityHubV2`。このサービスにリンクされたロールにより、 は組織およびユーザーに代わって の AWS Config ルールとリソースを管理できます。`AWSServiceRoleForSecurityHubV2` サービスにリンクされたロールは、ロールを継承するために `securityhub.amazonaws.com` のサービスを信頼します。 `AWSServiceRoleForSecurityHubV2` サービスにリンクされたロールは、マネージドポリシーである [`AWSSecurityHubV2ServiceRolePolicy`](security-iam-awsmanpol.md#security-iam-awsmanpol-awssecurityhubv2servicerolepolicy) を使用します。 **アクセス許可の詳細** このポリシーには、以下のアクセス許可が含まれています。 + `cloudwatch` – ロールがメトリクスデータを取得して、 リソースの計測機能をサポートできるようにします。 + `config` – グローバルレコーダーのサポートなど、 リソースのサービスにリンクされた設定 AWS Config レコーダーを管理できるようにします。 + `ecr` – ロールが Amazon Elastic Container Registry イメージとリポジトリに関する情報を取得して、計測機能をサポートできるようにします。 + `iam` – 計測機能をサポートするために、ロールが のサービスにリンクされたロールを作成し AWS Config 、アカウント情報を取得できるようにします。 + `lambda` – ロールが計測機能をサポートする AWS Lambda 関数情報を取得できるようにします。 + `organizations` – ロールが組織のアカウントおよび組織単位 (OU) 情報を取得できるようにします。 + `securityhub` – ロールが設定を管理できるようにします。 + `tag` – ロールがリソースタグに関する情報を取得できるようにします。 IAM アイデンティティ (ロール、グループ、ユーザーなど) に、サービスにリンクされたロールの作成、編集、削除を許可する設定をする必要があります。`AWSServiceRoleForSecurityHubV2` サービスにリンクされたロールを正常に作成するには、アクセスに使用する IAM ID に必要なアクセス許可が必要です。必要な許可を付与するには、次のポリシーを IAM アイデンティティにアタッチします。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "securityhub:*", "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "*", "Condition": { "StringLike": { "iam:AWSServiceName": "securityhub.amazonaws.com" } } } ] } ``` ------ ### AWS Security Hub V2 のサービスにリンクされたロールの作成 `AWSServiceRoleForSecurityHubV2` サービスにリンクされたロールは、 を初めて有効にするか、以前に有効にしていなかったリージョンで を有効にしたときに自動的に作成されます。あるいは、IAM コンソール、IAM CLI、もしくは IAM API を使って、`AWSServiceRoleForSecurityHubV2` のサービスリンクロールを手動で作成することもできます。IAM ロールを手動で作成する方法の詳細は、「IAM ユーザーガイド」の「[サービスにリンクされたロールを作成する](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role)」を参照してください。 **重要** 管理者アカウント用に作成されたサービスにリンクされたロールは、関連付けられたメンバーアカウントには適用されません。 ### AWS Security Hub V2 のサービスにリンクされたロールの編集 では、`AWSServiceRoleForSecurityHubV2`サービスにリンクされたロールを編集することはできません。サービスリンクロールを作成すると、多くのエンティティによってロールが参照される可能性があるため、ロール名を変更することはできません。ただし、IAM を使用してロールの説明の編集はできます。詳細については、「*IAM ユーザーガイド*」の「[サービスリンクロールの編集](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role)」を参照してください。 ### AWS Security Hub V2 のサービスにリンクされたロールの削除 サービスにリンクされたロールが必要な機能またはサービスが不要になった場合には、そのロールを削除することをお勧めします。これにより、使用していないエンティティがアクティブにモニタリングされたり、メンテナンスされたりすることがなくなります。 を無効にすると、 は`AWSServiceRoleForSecurityHubV2`サービスにリンクされたロールを自動的に削除しません。を再度有効にすると、サービスは既存のサービスにリンクされたロールの使用を再開できます。を使用する必要がなくなった場合は、サービスにリンクされたロールを手動で削除できます。 **重要** `AWSServiceRoleForSecurityHubV2` サービスにリンクされたロールを削除する前に、そのロールが有効になっているすべてのリージョンで を無効にする必要があります。詳細については、「[Security Hub CSPM の無効化](securityhub-disable.md)」を参照してください。サービスにリンクされたロールを削除しようとしたときに、 が無効になっていない場合、削除は失敗します。 `AWSServiceRoleForSecurityHubV2` のサービスリンクロールは、IAM コンソール、IAM CLI、または IAM API を使用して削除することができます。詳細については、「*IAM ユーザーガイド*」の「[サービスにリンクされたロールの削除](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)」を参照してください。 # AWS Security Hub の マネージドポリシー AWS 管理ポリシーは、 によって作成および管理されるスタンドアロンポリシーです AWS。 AWS 管理ポリシーは、多くの一般的なユースケースにアクセス許可を付与するように設計されているため、ユーザー、グループ、ロールにアクセス許可の割り当てを開始できます。 AWS 管理ポリシーは、すべての AWS お客様が使用できるため、特定のユースケースに対して最小特権のアクセス許可を付与しない場合があることに注意してください。ユースケースに固有の[カスタマー管理ポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)を定義して、アクセス許可を絞り込むことをお勧めします。 AWS 管理ポリシーで定義されているアクセス許可は変更できません。が AWS マネージドポリシーで定義されたアクセス許可 AWS を更新すると、ポリシーがアタッチされているすべてのプリンシパル ID (ユーザー、グループ、ロール) に影響します。 AWS は、新しい が起動されるか、新しい API オペレーション AWS のサービス が既存のサービスで使用できるようになったときに、 AWS マネージドポリシーを更新する可能性が高くなります。 詳細については、「**IAM ユーザーガイド」の「[AWS マネージドポリシー](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)」を参照してください。 ## AWS 管理ポリシー: AWSSecurityHubFullAccess `AWSSecurityHubFullAccess` ポリシーを IAM アイデンティティにアタッチできます。 このポリシーは、プリンシパルが Security Hub のすべてのアクションにフルアクセスすることを可能にする管理者許可を付与します。このポリシーは、アカウントの Security Hub CSPM を手動で有効にする前に、プリンシパルに添付しておく必要があります。例えば、これらの許可を持つプリンシパルは、検出結果のステータスを閲覧および更新できます。また、カスタムインサイトの設定、統合の有効化、標準とコントロールの有効化と無効化を行うこともできます。管理者アカウントのプリンシパルは、メンバーアカウントを管理することもできます。 **アクセス許可の詳細** このポリシーには、以下のアクセス許可が含まれています。 + `securityhub` – すべての Security Hub CSPM アクションへのフルアクセスをプリンシパルに許可します。 + `guardduty` – プリンシパルが Amazon GuardDuty でディテクターの完全なライフサイクル管理、組織管理者管理、メンバーアカウント管理、および組織全体の設定を実行できるようにします。これには、GetDetector、ListDetector、CreateDetector、UpdateDetector、DeleteDetector、EnableOrganizationAdminAccount、ListOrganizationAdminAccounts、CreateMembers、UpdateOrganizationConfiguration、DescribeOrganizationConfiguration などの API アクションが含まれます。 + `iam` – プリンシパルが Security Hub CSPM と Security Hub のサービスにリンクされたロールを作成し、ロール、ポリシー、ポリシーバージョンを取得できるようにします。 + `inspector` – プリンシパルが Amazon Inspector でアカウントステータスに関する情報の取得、有効化または無効化、管理者管理の委任、組織設定管理の実行を行うことができます。これには、API アクション BatchGetAccountStatus、Enable、Disable、EnableDelegatedAdminAccount、DisableDelegatedAdminAccount、ListDelegatedAdminAccounts、UpdateOrganizationConfiguration、DescribeOrganizationConfiguration が含まれます。 + `pricing` – プリンシパルが AWS のサービス および 製品の料金表を取得できるようにします。 + `account` – Security Hub のリージョン管理をサポートするアカウントリージョンに関する情報の取得をプリンシパルに許可します。 このポリシーのアクセス許可を確認するには、「*AWS マネージドポリシーリファレンスガイド*」の「[https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubFullAccess.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubFullAccess.html)」を参照してください。 ## AWS 管理ポリシー: AWSSecurityHubReadOnlyAccess `AWSSecurityHubReadOnlyAccess` ポリシーを IAM IDにアタッチできます。 このポリシーは、ユーザーが Security Hub CSPM 内の情報を確認できるようにするための読み取り専用の許可を付与します。このポリシーが添付されているプリンシパルは、Security Hub で更新を実行できません。例えば、これらの許可を持つプリンシパルは、アカウントに関連付けられた結果のリストを表示できますが、結果のステータスを変更することはできません。インサイトの結果を表示することはできますが、カスタムインサイトを作成したり設定したりすることはできません。コントロールや製品統合を設定することはできません。 **アクセス許可の詳細** このポリシーには、以下のアクセス許可が含まれています。 + `securityhub` – ユーザーは、アイテムのリストまたはアイテムに関する詳細を返すアクションを実行することができます。これには、`Get`、`List`、または `Describe` で始まる API オペレーションが含まれます。 このポリシーのアクセス許可を確認するには、「*AWS マネージドポリシーリファレンスガイド*」の「[https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubReadOnlyAccess.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubReadOnlyAccess.html)」を参照してください。 ## AWS 管理ポリシー: AWSSecurityHubOrganizationsAccess `AWSSecurityHubOrganizationsAccess` ポリシーを IAM アイデンティティにアタッチできます。 このポリシーは、 の組織の Security Hub、Security Hub CSPM、Amazon GuardDuty、Amazon Inspector を有効化および管理するための管理アクセス許可を付与します AWS Organizations。このポリシーのアクセス許可により、組織管理アカウントは Security Hub、Security Hub CSPM、Amazon GuardDuty、Amazon Inspector の委任管理者アカウントを指定できます。また、Security Hub 委任管理者アカウントで、組織アカウントをメンバーアカウントとして有効化することもできます。 このポリシーは、 のアクセス許可のみを提供します AWS Organizations。組織管理アカウントおよび Security Hub 委任管理者アカウントは、関連する各種アクションに対する許可も必要とします。これらの許可は、`AWSSecurityHubFullAccess` マネージドポリシーを使用して付与することができます。 管理アカウントで委任管理者ポリシーを作成または更新するには、このポリシーで指定されていない追加のアクセス許可が必要です。これらのアクションを実行するには、AWSOrganizationsFullAccess ポリシーのアクセス許可を追加`organizations:PutResourcePolicy`またはアタッチすることをお勧めします。 **アクセス許可の詳細** このポリシーには、以下のアクセス許可が含まれています。 + `organizations:ListAccounts` - 組織に属するアカウントリストの取得をプリンシパルに許可します。 + `organizations:DescribeOrganization` - 組織に関する情報の取得をプリンシパルに許可します。 + `organizations:ListRoots` - 組織ルートの一覧表示をプリンシパルに許可します。 + `organizations:ListDelegatedAdministrators` - 組織の委任管理者の一覧表示をプリンシパルに許可します。 + `organizations:ListAWSServiceAccessForOrganization` – プリンシパル AWS のサービス が、組織が使用する を一覧表示できるようにします。 + `organizations:ListOrganizationalUnitsForParent` - 親 OU の子組織単位 (OU) の一覧表示をプリンシパルに許可します。 + `organizations:ListAccountsForParent` - 親 OU の子アカウントの一覧表示をプリンシパルに許可します。 + `organizations:ListParents` – 指定された子 OU もしくはアカウントの直接の親として機能するルートまたは組織単位 (OU) を一覧表示します。 + `organizations:DescribeAccount` - 組織内のアカウントに関する情報の取得をプリンシパルに許可します。 + `organizations:DescribeOrganizationalUnit` - 組織内の OU に関する情報の取得をプリンシパルに許可します。 + `organizations:ListPolicies` – 指定されたタイプの組織内のすべてのポリシーのリストを取得します。 + `organizations:ListPoliciesForTarget` – 指定されたターゲットルート、組織単位 (OU)、またはアカウントに直接アタッチされているポリシーを一覧表示します。 + `organizations:ListTargetsForPolicy` – 指定されたポリシーがアタッチされているすべてのルート、組織単位 (OU)、およびアカウントを一覧表示します。 + `organizations:EnableAWSServiceAccess` – Organizations との統合の有効化を、プリンシパルに許可します。 + `organizations:RegisterDelegatedAdministrator` – 委任管理者アカウントの指定を、プリンシパルに許可します。 + `organizations:DeregisterDelegatedAdministrator` – 委任管理者アカウントの削除を、プリンシパルに許可します。 + `organizations:DescribePolicy` – ポリシーに関する情報を取得します。 + `organizations:DescribeEffectivePolicy` – 指定されたポリシータイプとアカウントについて有効なポリシーのコンテンツを返します。 + `organizations:CreatePolicy` – ルート、組織単位 (OU)、または個々の AWS アカウントにアタッチできる、指定されたタイプのポリシーを作成します。 + `organizations:UpdatePolicy` – 既存のポリシーを、新しい名前、説明、またはコンテンツで更新します。 + `organizations:DeletePolicy` – 指定されたポリシーを組織から削除します。 + `organizations:AttachPolicy` – ルート、組織単位 (OU)、または個々のアカウントにポリシーをアタッチします。 + `organizations:DetachPolicy` – ターゲットのルート、組織単位 (OU)、またはアカウントからポリシーをデタッチします。 + `organizations:EnablePolicyType` – ルート内の特定のポリシータイプを有効化します。 + `organizations:DisablePolicyType` – ルート内の特定の組織ポリシータイプを無効化します。 + `organizations:TagResource` – 指定されたリソースに 1 つまたは複数のタグを追加します。 + `organizations:UntagResource` – 指定されたリソースから、指定されたキーを持つタグを削除します。 + `organizations:ListTagsForResource` – 指定されたリソースにアタッチされているタグのリストを表示します。 + `organizations:DescribeResourcePolicy` – リソースポリシーに関する情報を取得します。 このポリシーのアクセス許可を確認するには、「*AWS マネージドポリシーリファレンスガイド*」の「[https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubOrganizationsAccess.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubOrganizationsAccess.html)」を参照してください。 ## AWS 管理ポリシー: AWSSecurityHubServiceRolePolicy IAM エンティティに `AWSSecurityHubServiceRolePolicy` をアタッチすることはできません。このポリシーは、ユーザーに代わって Security Hub CSPM がアクションを実行することを許可する、サービスにリンクされたロールに添付されます。詳細については、「[のサービスにリンクされたロール AWS Security Hub CSPM](using-service-linked-roles.md)」を参照してください。 このポリシーは、サービスにリンクされたロールに管理許可を付与し、Security Hub CSPM コントロールのセキュリティチェックなどのタスクの実行を許可します。 **アクセス許可の詳細** このポリシーには、以下のアクセス許可が含まれています。 + `cloudtrail` - CloudTrail 追跡に関する情報を取得します。 + `cloudwatch` – 現在の CloudWatch アラームを取得します。 + `logs` – CloudWatch logs のメトリクスフィルターを取得します。 + `sns` - SNS トピックのサブスクリプションリストを取得します。 + `config` – 設定レコーダー、リソース、および AWS Config ルールに関する情報を取得します。また、サービスにリンクされたロールに AWS Config ルールの作成と削除、およびルールに対する評価の実行も許可します。 + `iam` – アカウントの認証情報レポートの取得と生成を実行します。 + `organizations` — 組織のアカウントおよび組織単位 (OU) 情報を取得します。 + `securityhub` – Security Hub CSPM のサービス、標準およびコントロールの設定方法に関する情報を取得します。 + `tag` – リソースタグに関する情報を取得します。 このポリシーのアクセス許可を確認するには、「*AWS マネージドポリシーリファレンスガイド*」の「[https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubServiceRolePolicy.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubServiceRolePolicy.html)」を参照してください。 ## AWS 管理ポリシー: AWSSecurityHubV2ServiceRolePolicy **注記** Security Hub はプレビューリリース段階で、変更される可能性があります。 このポリシーにより、Security Hub は組織およびユーザーに代わって AWS Config ルールと Security Hub リソースを管理できます。このポリシーは、ユーザーに代わってサービスがアクションを実行することを許可する、サービスリンクロールにアタッチされます。このポリシーは IAM アイデンティティにはアタッチできません。詳細については、「[のサービスにリンクされたロール AWS Security Hub CSPM](using-service-linked-roles.md)」を参照してください。 **アクセス許可の詳細** このポリシーには、以下のアクセス許可が含まれています。 + `cloudwatch` – Security Hub リソースの計測機能をサポートするメトリクスデータを取得します。 + `config` – グローバル Config レコーダーのサポートなど、Security Hub リソースのサービスにリンクされた設定レコーダーを管理します。 + `ecr` – 計測機能をサポートするために、Amazon Elastic Container Registry イメージとリポジトリに関する情報を取得します。 + `iam` – のサービスにリンクされたロール AWS Config を作成し、アカウント情報を取得して計測機能をサポートします。 + `lambda` – 計測機能をサポートする AWS Lambda 関数情報を取得します。 + `organizations` — 組織のアカウントおよび組織単位 (OU) 情報を取得します。 + `securityhub` – Security Hub の設定を管理します。 + `tag` – リソースタグに関する情報を取得します。 このポリシーのアクセス許可を確認するには、「*AWS マネージドポリシーリファレンスガイド*」の「[https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubV2ServiceRolePolicy.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSSecurityHubV2ServiceRolePolicy.html)」を参照してください。 ## AWS マネージドポリシーに対する Security Hub の更新 次の表は、このサービスがこれらの変更の追跡を開始してからの AWS Security Hub および Security Hub CSPM の AWS マネージドポリシーの更新に関する詳細を示しています。このページの変更に関する自動通知を受信するには、「[Security Hub ドキュメントの履歴](doc-history.md)」ページの RSS フィードをサブスクライブしてください。 | 変更 | 説明 | 日付 | | --- | --- | --- | | [AWSSecurityHubOrganizationsAccess](#security-iam-awsmanpol-awssecurityhuborganizationsaccess) – 更新されたポリシー | Security Hub は、Security Hub 機能をサポートするリソースポリシーを記述するアクセス許可を追加するようにポリシーを更新しました。Security Hub はプレビューリリース段階で、変更される可能性があります。 | 2025 年 11 月 12 日 | | [AWSSecurityHubFullAccess](#security-iam-awsmanpol-awssecurityhubfullaccess) – 更新されたポリシー | Security Hub は、ポリシーを更新して、GuardDuty、Amazon Inspector、アカウント管理の管理に関する機能を追加し、Security Hub の機能をサポートしました。Security Hub はプレビューリリース段階で、変更される可能性があります。 | 2025 年 11 月 17 日 | | [AWSSecurityHubV2ServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubv2servicerolepolicy) – 更新されたポリシー | Security Hub は、ポリシーを更新して、Amazon Elastic Container Registry、 AWS Lambda、Amazon CloudWatch、および Security Hub 機能をサポートする計測機能を追加 AWS Identity and Access Management しました。この更新では、グローバル AWS Config レコーダーのサポートも追加されました。Security Hub はプレビューリリース段階で、変更される可能性があります。 | 2025 年 11 月 5 日 | | [AWSSecurityHubOrganizationsAccess](#security-iam-awsmanpol-awssecurityhuborganizationsaccess) – 既存のポリシーの更新 | Security Hub は、いくつかの新しい許可をポリシーに追加しました。アクセス許可により、組織管理者は組織の Security Hub と Security Hub CSPM を有効化および管理できます。 | 2025 年 6 月 17 日 | | [AWSSecurityHubFullAccess](#security-iam-awsmanpol-awssecurityhubfullaccess) – 既存のポリシーの更新 | Security Hub CSPM に、プリンシパルが Security Hub のサービスにリンクされたロールを作成できるようにする新しいアクセス許可が追加されました。 | 2025 年 6 月 17 日 | | [AWSSecurityHubFullAccess](#security-iam-awsmanpol-awssecurityhubfullaccess) — 既存のポリシーの更新 | Security Hub CSPM は、 AWS のサービス および 製品の料金詳細を取得するようにポリシーを更新しました。 | 2024 年 4 月 24 日 | | [AWSSecurityHubReadOnlyAccess](#security-iam-awsmanpol-awssecurityhubreadonlyaccess) – 既存のポリシーの更新 | Security Hub CSPM は、Sid フィールドを追加してこのマネージドポリシーを更新しました。 | 2024 年 2 月 22 日 | | [AWSSecurityHubFullAccess](#security-iam-awsmanpol-awssecurityhubfullaccess) — 既存のポリシーの更新 | Security Hub CSPM のポリシー更新により、アカウントで Amazon GuardDuty と Amazon Inspector が有効になっているかどうかを Security Hub CSPM で判別できるようになりました。これにより、お客様は複数の からセキュリティ関連情報をまとめることができます AWS のサービス。 | 2023 年 11 月 16 日 | | [AWSSecurityHubOrganizationsAccess](#security-iam-awsmanpol-awssecurityhuborganizationsaccess) — 既存のポリシーの更新 | Security Hub CSPM のポリシー更新により、 AWS Organizations 委任管理者機能への読み取り専用アクセスを許可する追加のアクセス許可が付与されました。これには、ルート、組織単位 (OU)、アカウント、組織構造、およびサービスアクセスなどの詳細が含まれます。 | 2023 年 11 月 16 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy) – 既存のポリシーに対する更新 | Security Hub CSPM に BatchGetSecurityControls、DisassociateFromAdministratorAccount、UpdateSecurityControl のアクセス許可が追加され、カスタマイズ可能なセキュリティコントロールプロパティの読み取りおよび更新が可能になりました。 | 2023 年 11 月 26 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy) – 既存のポリシーに対する更新 | Security Hub CSPM に、検出結果に関連するリソースタグを読み取る tag:GetResources アクセス許可が追加されました。 | 2023 年 11 月 7 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy) – 既存のポリシーに対する更新 | Security Hub CSPM の標準に、コントロールの有効化ステータスに関する情報を取得する BatchGetStandardsControlAssociations アクセス許可が追加されました。 | 2023 年 9 月 27 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy) – 既存のポリシーに対する更新 | Security Hub CSPM は、標準やコントロールなど、 AWS Organizations データを取得し、Security Hub CSPM 設定の読み取りと更新を行うための新しいアクセス許可を追加しました。 | 2023 年 9 月 20 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy) – 既存のポリシーに対する更新 | Security Hub CSPM で、既存の config:DescribeConfigRuleEvaluationStatus 許可がポリシー内の別のステートメントに移動されました。これにより、config:DescribeConfigRuleEvaluationStatus 許可がすべてのリソースに適用されます。 | 2023 年 3 月 17 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy) – 既存のポリシーに対する更新 | Security Hub CSPM で、既存の config:PutEvaluations 許可がポリシー内の別のステートメントに移動されました。これにより、config:PutEvaluations 許可がすべてのリソースに適用されます。 | 2021 年 7 月 14 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy) — 既存のポリシーに対する更新 | Security Hub CSPM に、サービスにリンクされたロールが評価結果を AWS Configに送信することを許可する新しい許可が追加されました。 | 2021 年 6 月 29 日 | | [AWSSecurityHubServiceRolePolicy](#security-iam-awsmanpol-awssecurityhubservicerolepolicy) — マネージドポリシーのリストに追加 | マネージドポリシーである AWSSecurityHubServiceRolePolicy に関する情報を追加しました。このポリシーは Security Hub CSPM のサービスにリンクされたロールで使用されます。 | 2021 年 6 月 11 日 | | [AWSSecurityHubOrganizationsAccess](#security-iam-awsmanpol-awssecurityhuborganizationsaccess) — 新しいポリシー | Security Hub CSPM に、Security Hub CSPM と Organizations の統合に必要な許可を付与する新しいポリシーが追加されました。 | 2021 年 3 月 15 日 | | Security Hub CSPM で変更の追跡が開始されました | Security Hub CSPM は、 AWS 管理ポリシーの変更の追跡を開始しました。 | 2021 年 3 月 15 日 | # AWS Security Hub CSPM ID とアクセスのトラブルシューティング 次の情報は、 および IAM の使用時に発生する可能性がある一般的な問題の診断 AWS Security Hub CSPM と修正に役立ちます。 **Topics** + [Security Hub CSPM でアクションを実行する権限がありません](#security_iam_troubleshoot-no-permissions) + [iam:PassRole を実行する権限がない](#security_iam_troubleshoot-passrole) + [Security Hub CSPM へのプログラムによるアクセスが欲しい](#security_iam_troubleshoot-access-keys) + [管理者として Security Hub CSPM へのアクセスを他のユーザーに許可したい](#security_iam_troubleshoot-admin-delegate) + [自分の 以外のユーザーに Security Hub CSPM リソース AWS アカウント へのアクセスを許可したい](#security_iam_troubleshoot-cross-account-access) ## Security Hub CSPM でアクションを実行する権限がありません にアクションを実行する権限がないと AWS マネジメントコンソール 通知された場合は、管理者に連絡してサポートを依頼する必要があります。管理者は、サインイン認証情報を提供した担当者です。 以下の例のエラーは、`mateojackson` ユーザーがコンソールを使用して、*ウィジェット*の詳細を表示しようとしているが、 `securityhub:GetWidget` アクセス許可がない場合に発生します。 ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: securityhub:GetWidget on resource: my-example-widget ``` この場合、Mateo は、`securityhub:GetWidget` アクションを使用して `my-example-widget` リソースにアクセスできるように、管理者にポリシーの更新を依頼します。 ## iam:PassRole を実行する権限がない `iam:PassRole` アクションを実行する権限がないというエラーが表示された場合は、ポリシーを更新して Security Hub にロールを渡すことができるようにする必要があります。 一部の AWS のサービス では、新しいサービスロールまたはサービスにリンクされたロールを作成する代わりに、そのサービスに既存のロールを渡すことができます。そのためには、サービスにロールを渡すアクセス許可が必要です。 以下の例のエラーは、`marymajor` という IAM ユーザーがコンソールを使用して Security Hub でアクションを実行しようする場合に発生します。ただし、このアクションをサービスが実行するには、サービスロールから付与されたアクセス許可が必要です。Mary には、ロールをサービスに渡すアクセス許可がありません。 ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` この場合、Mary のポリシーを更新してメアリーに `iam:PassRole` アクションの実行を許可する必要があります。 サポートが必要な場合は、 AWS 管理者にお問い合わせください。サインイン資格情報を提供した担当者が管理者です。 ## Security Hub CSPM へのプログラムによるアクセスが欲しい ユーザーが の AWS 外部で を操作する場合は、プログラムによるアクセスが必要です AWS マネジメントコンソール。プログラムによるアクセスを許可する方法は、 がアクセスするユーザーのタイプによって異なります AWS。 ユーザーにプログラムによるアクセス権を付与するには、以下のいずれかのオプションを選択します。 **** | プログラムによるアクセス権を必要とするユーザー | 目的 | 方法 | | --- | --- | --- | | IAM | (推奨) コンソール認証情報を一時的な認証情報として使用して AWS CLI、、 AWS SDKs、または AWS APIs。 | 使用するインターフェイスの指示に従ってください。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ja_jp/securityhub/latest/userguide/security_iam_troubleshoot.html) | | ワークフォースアイデンティティ (IAM アイデンティティセンターで管理されているユーザー) | 一時的な認証情報を使用して AWS CLI、、 AWS SDKs、または AWS APIs。 | 使用するインターフェイスの指示に従ってください。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ja_jp/securityhub/latest/userguide/security_iam_troubleshoot.html) | | IAM | 一時的な認証情報を使用して AWS CLI、、 AWS SDKs、または AWS APIs。 | 「IAM [ユーザーガイド」の「 AWS リソースでの一時的な認証情報](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp_use-resources.html)の使用」の手順に従います。 | | IAM | (非推奨)長期認証情報を使用して、 AWS CLI、 AWS SDKs、または AWS APIs。 | 使用するインターフェイスの指示に従ってください。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ja_jp/securityhub/latest/userguide/security_iam_troubleshoot.html) | ## 管理者として Security Hub CSPM へのアクセスを他のユーザーに許可したい アクセスを提供するには、ユーザー、グループ、またはロールにアクセス許可を追加します。 + 以下のユーザーとグループ AWS IAM アイデンティティセンター: アクセス許可セットを作成します。「*AWS IAM アイデンティティセンター ユーザーガイド*」の「[アクセス許可セットを作成する](https://docs.aws.amazon.com//singlesignon/latest/userguide/howtocreatepermissionset.html)」の手順に従ってください。 + IAM 内で、ID プロバイダーによって管理されているユーザー: ID フェデレーションのロールを作成します。詳細については *IAM ユーザーガイド* の [サードパーティー ID プロバイダー (フェデレーション) 用のロールを作成する](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_roles_create_for-idp.html) を参照してください。 + IAM ユーザー: + ユーザーが担当できるロールを作成します。手順については *IAM ユーザーガイド* の [IAM ユーザーのロールの作成](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_roles_create_for-user.html) を参照してください。 + (お奨めできない方法) ポリシーをユーザーに直接アタッチするか、ユーザーをユーザーグループに追加します。*IAM ユーザーガイド* の [ユーザー (コンソール) へのアクセス許可の追加](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) の指示に従います。 ## 自分の 以外のユーザーに Security Hub CSPM リソース AWS アカウント へのアクセスを許可したい 他のアカウントのユーザーや組織外の人が、リソースにアクセスするために使用できるロールを作成できます。ロールの引き受けを委託するユーザーを指定できます。リソースベースのポリシーまたはアクセスコントロールリスト (ACL) をサポートするサービスの場合、それらのポリシーを使用して、リソースへのアクセスを付与できます。 詳細については、以下を参照してください。 + Security Hub でこれらの機能がサポートされるかどうかを確認するには、「[Security Hub と IAM の連携方法](security_iam_service-with-iam.md)」を参照してください。 + 所有 AWS アカウント している のリソースへのアクセスを提供する方法については、[「IAM ユーザーガイド」の「所有 AWS アカウント している別の の IAM ユーザーへのアクセスを提供する](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)」を参照してください。 ** + リソースへのアクセスをサードパーティーに提供する方法については AWS アカウント、*IAM ユーザーガイド*の[「サードパーティーが所有する へのアクセスを提供する AWS アカウント](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)」を参照してください。 + ID フェデレーションを介してアクセスを提供する方法については、*IAM ユーザーガイド* の [外部で認証されたユーザー (ID フェデレーション) へのアクセスの許可](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) を参照してください。 + クロスアカウントアクセスにおけるロールとリソースベースのポリシーの使用方法の違いについては、*IAM ユーザーガイド* の [IAM でのクロスアカウントのリソースへのアクセス](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) を参照してください。 # のコンプライアンス検証 AWS Security Hub CSPM AWS のサービス が特定のコンプライアンスプログラムの範囲内にあるかどうかを確認するには、「コンプライアンス[AWS のサービス プログラムによる対象範囲内](https://aws.amazon.com/compliance/services-in-scope/)」の「コンプライアンス」を参照して、関心のあるコンプライアンスプログラムを選択します。一般的な情報については、[AWS 「コンプライアンスプログラム](https://aws.amazon.com/compliance/programs/)」を参照してください。 を使用して、サードパーティーの監査レポートをダウンロードできます AWS Artifact。詳細については、[「Downloading Reports in AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html)」を参照してください。 を使用する際のお客様のコンプライアンス責任 AWS のサービス は、お客様のデータの機密性、貴社のコンプライアンス目的、適用される法律および規制によって決まります。を使用する際のコンプライアンス責任の詳細については AWS のサービス、[AWS 「 セキュリティドキュメント](https://docs.aws.amazon.com/security/)」を参照してください。 # AWS Security Hub の耐障害性 AWS グローバルインフラストラクチャは、 AWS リージョン およびアベイラビリティーゾーンを中心に構築されています。リージョンには、低レイテンシー、高いスループット、そして高度の冗長ネットワークで接続されている複数の物理的に独立および隔離されたアベイラビリティーゾーンがあります。アベイラビリティーゾーンでは、ゾーン間で中断することなく自動的にフェイルオーバーするアプリケーションとデータベースを設計および運用することができます。アベイラビリティーゾーンは、従来の単一または複数のデータセンターインフラストラクチャよりも可用性、フォールトトレランス、および拡張性が優れています。 AWS リージョン およびアベイラビリティーゾーンの詳細については、[AWS 「 グローバルインフラストラクチャ](https://aws.amazon.com/about-aws/global-infrastructure/)」を参照してください。 # のインフラストラクチャセキュリティ AWS Security Hub CSPM マネージドサービスである AWS Security Hub CSPM は、 AWS グローバルネットワークセキュリティで保護されています。 AWS セキュリティサービスと がインフラストラクチャ AWS を保護する方法については、[AWS 「 クラウドセキュリティ](https://aws.amazon.com/security/)」を参照してください。インフラストラクチャセキュリティのベストプラクティスを使用して環境を AWS 設計するには、*「Security Pillar AWS Well‐Architected Framework*」の[「Infrastructure Protection](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html)」を参照してください。 AWS 公開された API コールを使用して、ネットワーク経由で Security Hub CSPM にアクセスします。クライアントは次をサポートする必要があります。 + Transport Layer Security (TLS)。TLS 1.2 が必須で、TLS 1.3 をお勧めします。 + DHE (楕円ディフィー・ヘルマン鍵共有) や ECDHE (楕円曲線ディフィー・ヘルマン鍵共有) などの完全前方秘匿性 (PFS) による暗号スイート。これらのモードは Java 7 以降など、ほとんどの最新システムでサポートされています。 # AWS Security Hub CSPM およびインターフェイス VPC エンドポイント (AWS PrivateLink) VPC と の間にプライベート接続を確立するには、*インターフェイス VPC エンドポイント* AWS Security Hub CSPM を作成します。インターフェイスエンドポイントは、インターネットゲートウェイ[AWS PrivateLink](https://aws.amazon.com/privatelink)、NAT デバイス、VPN 接続、または AWS Direct Connect 接続なしで Security Hub CSPM APIs にプライベートにアクセスできるテクノロジーである を利用しています。VPC 内のインスタンスは、Security Hub CSPM APIs と通信するためにパブリック IP アドレスを必要としません。VPC と Security Hub CSPM 間のトラフィックは Amazon ネットワークを離れません。 各インターフェースエンドポイントは、サブネット内の 1 つ以上の [Elastic Network Interface](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-eni.html) によって表されます。詳細については、*Amazon Virtual Private Cloud ガイド*[」の「インターフェイス VPC エンドポイント AWS のサービス を使用して にアクセスする](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html)」を参照してください。 ## Security Hub CSPM VPC エンドポイントに関する考慮事項 Security Hub CSPM のインターフェイス VPC エンドポイントを設定する前に、[Amazon Virtual Private Cloud Guide](https://docs.aws.amazon.com/vpc/latest/privatelink/what-is-privatelink.html) の前提条件とその他の情報を確認してください。 Security Hub CSPM は、VPC からのすべての API アクションの呼び出しをサポートしています。 ## Security Hub CSPM 用のインターフェイス VPC エンドポイントの作成 Security Hub CSPM サービスの VPC エンドポイントは、Amazon VPC コンソールまたは AWS Command Line Interface () を使用して作成できますAWS CLI。詳細については、「*Amazon Virtual Private Cloud ユーザーガイド*」の「[VPC エンドポイントの作成](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html#create-interface-endpoint)」を参照してください。 次のサービス名を使用して、Security Hub CSPM の VPC エンドポイントを作成します。 `com.amazonaws.region.securityhub` ここで、*リージョン*は該当する AWS リージョンのリージョンコードです。 エンドポイントのプライベート DNS を有効にすると、米国東部 (バージニア北部) リージョンなど、 リージョンのデフォルトの DNS 名を使用して Security Hub CSPM `securityhub.us-east-1.amazonaws.com`に API リクエストを行うことができます。 ## Security Hub CSPM の VPC エンドポイントポリシーの作成 Security Hub CSPM へのアクセスを制御するエンドポイントポリシーを VPC エンドポイントにアタッチできます。このポリシーでは、以下の情報を指定します。 + アクションを実行できるプリンシパル。 + 実行可能なアクション。 + アクションを実行できるリソース。 詳細については、「*Amazon Virtual Private Cloud ユーザーガイド*」の「[Control access to VPC endpoints using endpoint policies](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-access.html)」を参照してください。 **例: Security Hub CSPM アクションの VPC エンドポイントポリシー** 以下は、Security Hub CSPM のエンドポイントポリシーの例です。エンドポイントにアタッチすると、このポリシーは、すべてのリソースのすべてのプリンシパルに対して、リストされている Security Hub CSPM アクションへのアクセスを許可します。 ``` { "Statement":[ { "Principal":"*", "Effect":"Allow", "Action":[ "securityhub:getFindings", "securityhub:getEnabledStandards", "securityhub:getInsights" ], "Resource":"*" } ] } ``` ## 共有サブネット 自分と共有されているサブネットで VPC エンドポイントを作成、説明、変更、または削除することはできません。ただし、VPC エンドポイントを使用することはできます。VPC 共有の詳細については、「*Amazon Virtual Private Cloud ユーザーガイド*」の「[VPC サブネットを他のアカウントと共有する](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-sharing.html)」を参照してください。