CloudWatch 調査のセキュリティ

このセクションでは、CloudWatch 調査を AWS セキュリティおよびアクセス許可機能と統合する方法について説明します。

ユーザーアクセス許可

AWS は、CloudWatch 調査を操作するユーザーに使用できる 3 つのマネージド IAM ポリシーを作成しました。

3 つの IAM プリンシパルを使用し、そのうちの 1 つに AIOpsConsoleAdminPolicy IAM ポリシーを付与し、もう 1 つに AIOpsOperatorAccess ポリシーを付与し、3 つ目に AIOpsReadOnlyAccess ポリシーを付与することをお勧めします。これらのプリンシパルは、IAM ロール (推奨) または IAM ユーザーのいずれかです。CloudWatch 調査を操作するユーザーは、これらのプリンシパルのいずれかでサインオンします。

調査中に CloudWatch 調査がアクセスできるデータを制御する方法

CloudWatch 調査機能を有効にすると、調査中に CloudWatch 調査がリソースにアクセスするために必要な権限を指定できます。これを行うには、アシスタントに IAM ロールを割り当てます。

CloudWatch 調査がリソースにアクセスし、提案したり仮説を立てたりできるようにするための方法として、AIOpsAssistantPolicy をアシスタントのロールにアタッチすることをお勧めします。これにより、調査中に AWS リソースを分析するアクセス許可がアシスタントに付与されます。このロールの内容の詳細については、「CloudWatch 調査の IAM ポリシー (AIOpsAssistantPolicy)」を参照してください。

AIOpsAssistantPolicy をアタッチするだけでなく、一般的な AWS ReadOnlyAccess をアシスタントのロールにアタッチすることもできます。これを行う理由は、AWS がリリースされた新しい AWS のサービスとアクションのアクセス許可を使用して ReadOnlyAccess をより頻繁に更新するためです。AIOpsAssistantPolicy は新しいアクションでも更新されますが、それほど頻繁には更新されません。

CloudWatch 調査に付与されたアクセス許可の範囲を絞り込む場合は、AIOpsAssistantPolicy ポリシーをアタッチする代わりに、アシスタントの IAM ロールにカスタム IAM ポリシーをアタッチします。これを行うには、AIOpsAssistantPolicy の内容でカスタムポリシーを開始し、CloudWatch 調査に付与したくないアクセス許可を削除します。これにより、アシスタントは、アクセスを許可しない AWS のサービスまたはアクションに基づいて提案を行うことができません。

CloudWatch 調査が調査中に暗号化されたデータを復号できるようにする

次のいずれかのサービスでデータを AWS KMS のカスタマーマネージドキーで暗号化し、CloudWatch 調査がこれらのサービスからのデータを復号して調査に含めることができるようにする場合は、アシスタントの IAM ロールに 1 つまたは複数の追加の IAM ポリシーをアタッチする必要があります。

ポリシーステートメントには、アクセス許可の範囲を絞り込むのに役立つ暗号化コンテキストのコンテキストキーを含める必要があります。例えば、次のポリシーにより、CloudWatch 調査が Step Functions ステートマシンのデータを復号できるようになります。

{
  "Version": "2012-10-17",
  "Statement": [
        {
            "Sid": "AIOPSKMSAccessForStepFunctions",
            "Effect": "Allow",
            "Principal": {
                "Service": "aiops.amazonaws.com"
            },
            "Action":
            [
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition":
            {
                "StringEquals":
                {
                     "kms:ViaService": "states.*.amazonaws.com",
                     "kms:EncryptionContext:aws:states:stateMachineArn": "arn:aws:states:region:accountId:stateMachine:*"
                }
            }
        }
    ]
}

これらのタイプのポリシーおよびこれらのコンテキストキーの使用の詳細については、「AWS Key Management Service デベロッパーガイド」の「kms:ViaService」および「kms:EncryptionContext:context-key」、ならびに「IAM ユーザーガイド」の「aws:SourceArn」を参照してください。

調査データの暗号化

調査データの暗号化には、AWS には 2 つのオプションがあります。

AWS KMS の詳細については、「AWS Key Management Service」を参照してください。

調査グループにカスタマーマネージドキーを使用する

調査グループをカスタマーマネージドキーに関連付けると、そのグループで作成されたすべての調査は、カスタマーマネージドキーを使用して保管中の調査データを暗号化します。

CloudWatch 調査のカスタマーマネージドキーの使用には次の条件があります。

AWS KMS カスタマーマネージドキーを使用するための調査の設定

まず、使用する対称キーがまだない場合は、次のコマンドを使用して新しいキーを作成します。

aws kms create-key

コマンドの出力には、キーのキー ID と Amazon リソースネーム (ARN) が含まれます。これらは、このセクションの後のステップで必要になります。出力例を次に示します。

{
"KeyMetadata": {
"Origin": "AWS_KMS",
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "Description": "",
        "KeyManager": "CUSTOMER",
        "Enabled": true,
        "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "KeyState": "Enabled",
        "CreationDate": 1478910250.94,
        "Arn": "arn:aws:kms:us-west-2:111122223333:key/6f815f63-e628-448c-8251-e4EXAMPLE",
        "AWSAccountId": "111122223333",
        "EncryptionAlgorithms": [
            "SYMMETRIC_DEFAULT"
        ]
    }
}

キーへのアクセス許可を設定する

次に、キーへのアクセス許可を設定します。デフォルトでは、すべての AWS KMS キーはプライベートです。リソースの所有者のみがその CMK を使用してデータを暗号化および復号できます。ただし、リソース所有者は、他のユーザーとリソースにキーへのアクセス許可を付与することができます。このステップでは、AI Operations サービスプリンシパルに、キーを使用するアクセス許可を付与します。このサービスプリンシパルは、KMS キーが保存されているのと同じ AWS リージョンにある必要があります。

ベストプラクティスとして、指定した AWS アカウントまたはリソースのみに KMS キーの使用を制限することをお勧めします。

アクセス許可を設定する最初のステップは、キーのデフォルトポリシーを policy.json として保存することです。そのためには、次のコマンドを使用します。key-id は、 キーの ID に置き換えます。

aws kms get-key-policy --key-id key-id --policy-name default --output text > ./policy.json

テキストエディタで policy.json ファイルを開き、そのポリシーに次のポリシーセクションを追加します。既存のステートメントと新しいセクションをカンマで区切ります。これらのセクションは、Condition セクションを使用して AWS KMS キーのセキュリティを強化します。詳細については、「AWS KMS キーと暗号化コンテキスト」を参照してください。

このポリシーは、以下の理由でサービスプリンシパルにアクセス許可を付与します。

{
    "Sid": "Enable AI Operations Admin for the DescribeKey permissions",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::{account-id}:role/{AIOpsConsoleAdmin}"
    },
    "Action": [
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": "aiops.{region}.amazonaws.com"
        }
    }
},
{
   "Sid": "Enable AI Operations Admin and Operator for the Decrypt and GenerateDataKey permissions", 
   "Effect": "Allow",
    "Principal": {
        "AWS": [
            "arn:aws:iam::{account-id}:role/{AIOpsConsoleAdmin}",
            "arn:aws:iam::{account-id}:role/{AIOpsOperator}"
         ]
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "*",
    "Condition": {
       "StringEquals": {
            "kms:ViaService": "aiops.{region}.amazonaws.com"
        },
        "ArnLike": {
            "kms:EncryptionContext:aws:aiops:investigation-group-arn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        }
    }
 },
 {
   "Sid": "Enable AI Operations ReadOnly for the Decrypt permission",
   "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::{account-id}:role/{AIOpsReadOnly}"
    },
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": "*",
    "Condition": {
       "StringEquals": {
            "kms:ViaService": "aiops.{region}.amazonaws.com"
        },
        "ArnLike": {
            "kms:EncryptionContext:aws:aiops:investigation-group-arn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        }
    }
 },
 {
   "Sid": "Enable the AI Operations service to have the DescribeKey permission",
   "Effect": "Allow",
    "Principal": {
        "Service": "aiops.amazonaws.com"
    },
    "Action": [
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
       "StringEquals": {
            "aws:SourceAccount": "{account-id}"
        },
        "StringLike": {
            "aws:SourceArn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        }
    }
 },
 {
   "Sid": "Enable the AI Operations service to have the Decrypt and GenerateDataKey permissions",
   "Effect": "Allow",
    "Principal": {
        "Service": "aiops.amazonaws.com"
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "*",
    "Condition": {
       "StringEquals": {
            "aws:SourceAccount": "{account-id}"
        },
        "StringLike": {
            "aws:SourceArn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        },
        "ArnLike": {
            "kms:EncryptionContext:aws:aiops:investigation-group-arn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        }
    }
 },
 {
    "Sid": "Enable CloudWatch to have the Decrypt and GenerateDataKey permissions",
    "Effect": "Allow",
    "Principal": {
        "Service": "aiops.alarms.cloudwatch.amazonaws.com"
    },
    "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
    ],
    "Resource": "*",
    "Condition": {
        "ArnLike": {
            "kms:EncryptionContext:aws:aiops:investigation-group-arn": "arn:aws:aiops:{region}:{account-id}:investigation-group/*"
        },
        "StringEquals": {
            "aws:SourceAccount": "{account-id}",
            "kms:ViaService": "aiops.{region}.amazonaws.com"
        }, 
        "StringLike": { 
            "aws:SourceArn": "arn:aws:cloudwatch:{region}:{account-id}:alarm:*"
        }
    }
  } 

ポリシーを更新したら、次のコマンドを入力してキーに割り当てます。

aws kms put-key-policy --key-id key-id --policy-name default --policy file://policy.json

キーを調査グループに関連付ける

CloudWatch コンソールを使用して調査グループを作成する場合、AWS KMS キーを調査グループに関連付けることを選択できます。詳細については、「運用調査を設定する」を参照してください。

カスタマーマネージドキーを既存の調査グループに関連付けることもできます。

暗号化設定を変更する

調査グループを更新して、カスタマーマネージドキーとサービス所有キーのどちらを使用するかを切り替えることができます。また、あるカスタマーマネージドキーの使用から別のカスタマーマネージドキーの使用に変更することもできます。このような変更を行うと、その変更は変更後に作成された新しい調査に適用されます。以前の調査は、引き続き古い暗号化設定に関連付けられています。現在の進行中の調査でも、新しいデータには元のキーが引き続き使用されます。

以前に使用したキーがアクティブで、Amazon Q が調査のためにそのキーにアクセスできる限り、その方法で暗号化された古い調査と、以前のキーで暗号化された現在の調査のデータを取得できます。以前に使用したキーを削除するか、そのキーへのアクセスを取り消すと、そのキーで暗号化された調査データを取得できません。

クロスリージョン推論

CloudWatch 調査では、クロスリージョン推論を使用して、異なる AWS リージョンにトラフィックを分散します。データはプライマリリージョンにのみ保存されますが、クロスリージョン推論を使用する場合、調査データがプライマリリージョン外に移動することがあります。すべてのデータは Amazon の安全なネットワーク経由で暗号化されて送信されます。詳細については、「CloudWatch 調査ユーザーガイド」の「クロスリージョン推論」を参照してください。

各リージョンでクロスリージョン推論分散が発生する場所の詳細については、次の表を参照してください。