Konfiguration Ihres Standard-Ziels für Bewertungsberichte

Um die erfolgreiche Generierung Ihres Bewertungsberichts sicherzustellen, empfehlen wir Ihnen, die folgenden Konfigurationen für das Ziel Ihres Bewertungsberichts zu verwenden.

Same-Region Eimer

Wir empfehlen, einen S3-Bucket zu verwenden, der sich im selben AWS-Region wie Ihre Bewertung befindet. Wenn Sie einen Bucket und eine Bewertung in derselben Region verwenden, kann Ihr Bewertungsbericht bis zu 22.000 Nachweiselemente enthalten. Umgekehrt können bei Verwendung eines regionsübergreifenden Buckets und einer regionsübergreifenden Bewertung nur 3.500 Nachweiselemente berücksichtigt werden.

AWS-Region

Der Schlüssel AWS-Region Ihres vom Kunden verwalteten Schlüssels (falls Sie einen angegeben haben) muss mit der Region Ihres Assessments und dem Ziel-S3-Bucket Ihres Bewertungsberichts übereinstimmen. Anweisungen zum Ändern des KMS-Schlüssels finden Sie unterKonfiguration Ihrer Datenverschlüsselungseinstellungen. Eine Liste der unterstützen Regionen für Audit Manager finden Sie unter AWS Audit Manager Endpunkte und Kontingente in Allgemeine Amazon Web Services-Referenz.

S3-Bucket-Verschlüsselung

Wenn das Ziel Ihres Bewertungsberichts über eine Bucket-Richtlinie verfügt, die die Verwendung von serverseitiger Verschlüsselung (SSE) erfordert SSE-KMS, muss der in dieser Bucket-Richtlinie verwendete KMS-Schlüssel mit dem KMS-Schlüssel übereinstimmen, den Sie in Ihren Audit Manager-Datenverschlüsselungseinstellungen konfiguriert haben. Wenn Sie in Ihren Audit Manager-Einstellungen keinen KMS-Schlüssel konfiguriert haben und Ihre Ziel-Bucket-Richtlinie für den Bewertungsbericht SSE erfordert, stellen Sie sicher, dass die Bucket-Richtlinie dies zulässt SSE-S3. Anweisungen zur Konfiguration des KMS-Schlüssels, der für die Datenverschlüsselung verwendet wird, finden Sie unterKonfiguration Ihrer Datenverschlüsselungseinstellungen.

Cross-account S3-Buckets

Die Verwendung eines kontoübergreifenden S3-Buckets als Ziel für Ihren Bewertungsbericht wird in der Audit Manager-Konsole nicht unterstützt. Es ist möglich, einen kontoübergreifenden Bucket als Ziel für Ihren Bewertungsbericht anzugeben, indem Sie das AWS CLI oder eines der AWS SDKs verwenden. Der Einfachheit halber empfehlen wir jedoch, dies nicht zu tun.

Tipp

Für optimale Sicherheit und Leistung empfehlen wir, einen S3-Bucket in demselben AWS Konto und derselben Region wie Ihre Bewertung zu verwenden.

Wenn Sie sich dafür entscheiden, einen kontoübergreifenden S3-Bucket als Ziel für Ihren Bewertungsbericht zu verwenden, sollten Sie die folgenden Punkte berücksichtigen.

• Standardmäßig gehören S3-Objekte — wie Bewertungsberichte — demjenigen, der das Objekt hochlädt. AWS-Konto Sie können die Einstellung S3 Object Ownership verwenden, um dieses Standardverhalten so zu ändern, dass alle neuen Objekte, die von Konten mit der bucket-owner-full-control vordefinierten Zugriffssteuerungsliste (Access Control List, ACL) geschrieben werden, automatisch in den Besitz des Bucket-Eigentümers übergehen.

  Obwohl dies keine Voraussetzung ist, empfehlen wir Ihnen, die folgenden Änderungen an Ihren kontoübergreifenden Bucket-Einstellungen vorzunehmen. Durch diese Änderungen wird sichergestellt, dass der Bucket-Besitzer die volle Kontrolle über die Bewertungsberichte hat, die Sie in seinem Bucket veröffentlichen.

  • Setzen Sie den Objekteigentum des S3-Buckets auf Bucket Owner Preferred und nicht auf den standardmäßigen Objektschreiber

  • Fügen Sie eine Bucket-Richtlinie hinzu, um sicherzustellen, dass Objekte, die in diesen Bucket hochgeladen werden, den bucket-owner-full-control ACL haben

• Damit Audit Manager Berichte in einem kontoübergreifenden S3-Bucket veröffentlichen kann, müssen Sie Ihrem Bewertungsberichtziel die folgende S3-Bucket-Richtlinie hinzufügen. Ersetzen Sie placeholder text durch Ihre Informationen. Das Principal Element in dieser Richtlinie ist der Benutzer oder die Rolle, die für die Bewertung verantwortlich ist und die den Bewertungsbericht erstellt. Der Resource gibt den kontoübergreifenden S3-Bucket an, in dem der Bericht veröffentlicht wird.

  JSON

  {
      "Version":"2012-10-17",
      "Statement": [
          {
              "Sid": "Allow cross account assessment report publishing",
              "Effect": "Allow",
              "Principal": {
                  "AWS": "arn:aws:iam::111122223333:user/AssessmentOwnerUserName"
              },
              "Action": [
                  "s3:ListBucket",
                  "s3:PutObject",
                  "s3:GetObject",
                  "s3:GetBucketLocation",
                  "s3:PutObjectAcl",
                  "s3:DeleteObject"
              ],
              "Resource": [
                  "arn:aws:s3:::CROSS-ACCOUNT-BUCKET",
                  "arn:aws:s3:::CROSS-ACCOUNT-BUCKET/*"
              ]
          }
      ]
  }
  

Beschränken Sie S3-Aktionen auf vertrauenswürdige Konten, indem Sie den s3:ResourceAccount Bedingungsschlüssel verwenden

Fügen Sie der IAM-Richtlinie eine s3:ResourceAccount Bedingung hinzu, die der Identität zugeordnet ist, die Audit Manager zur Veröffentlichung von Bewertungsberichten verwendet. Diese Bedingung verhindert, dass die Identität in Buckets schreibt, die anderen als den von Ihnen angegebenen Konten gehören. Die Bedingung gilt unabhängig von der eigenen Zugriffsrichtlinie des Buckets.

Weitere Informationen finden Sie unter Beschränken Sie den Zugriff auf Amazon S3-Buckets, die bestimmten AWS-Konten gehören.

Beschränken Sie S3-Aktionen mithilfe von SCPs auf Ihre Organisation

Wenn Sie verwenden, erstellen Sie eine Service Control Policy (SCP), die S3-Aktionen für Ressourcen außerhalb Ihrer Organisation verweigert. Die folgende Beispielrichtlinie verweigert alle S3-Aktionen für Ressourcen außerhalb Ihrer Organisation. Die Bedingung überprüft, ob die aws:ResourceOrgID mit Ihrer Organisations-ID übereinstimmt.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyS3ActionsOutsideOrganization",
      "Effect": "Deny",
      "Action": "s3:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceOrgID": "o-xxxxxxxxxx"
        }
      }
    }
  ]
}

o-xxxxxxxxxxErsetzen Sie es durch Ihre Organisations-ID. Weitere Informationen finden Sie unter aws: ResourceOrg ID im IAM-Benutzerhandbuch.

Verwenden Sie einen vom Kunden verwalteten KMS-Schlüssel für die Datenverschlüsselung

Wenn Sie Audit Manager so konfigurieren, dass ein vom Kunden verwalteter Schlüssel für die Datenverschlüsselung verwendet wird, verschlüsselt Audit Manager Bewertungsberichte, bevor sie in Amazon S3 geschrieben werden. Wenn ein Bericht in einem Bucket veröffentlicht wird, der einer nicht autorisierten Partei gehört, bleibt der Berichtsinhalt verschlüsselt. Der Inhalt ist ohne Zugriff auf Ihren KMS-Schlüssel nicht lesbar. Detaillierte Anweisungen finden Sie unter Konfiguration Ihrer Datenverschlüsselungseinstellungen.

Verwenden Sie S3-Buckets im regionalen Namespace Ihres Kontos

S3-Buckets, die im regionalen Namespace Ihres Kontos erstellt wurden, enthalten Ihre AWS-Konto ID und AWS-Region den Bucket-Namen. Kein anderes Konto kann diese Buckets erstellen oder den Bucket-Namen für sich beanspruchen. Weitere Informationen finden Sie unter Account-level Bucket-Namespaces im Amazon Simple Storage Service-Benutzerhandbuch.