デフォルトの評価レポートの送信先の設定

評価レポートを正常に生成するには、評価レポートの送信先についての次の設定を使用することをお勧めします。

同じリージョンバケット

評価と同じ AWS リージョン にある S3 バケットを使用することをお勧めします。同じリージョンのバケットと評価を使用する場合、評価レポートには最大 22,000 件の証拠項目を含めることができます。逆に、クロスリージョンバケットと評価を使用する場合、含めることができるのは 3,500 の証拠項目のみです。

AWS リージョン

カスタマーマネージドキーAWS リージョンの (指定した場合) は、評価のリージョンと評価レポートの送信先 S3 バケットと一致する必要があります。KMS キーを変更する方法については、「データ暗号化の設定」を参照してください。サポートされている Audit Manager リージョンのリストについては、「Amazon Web Services 全般のリファレンス」の「AWS Audit Managerエンドポイントとクォータ」を参照してください。

S3 バケットの暗号化

評価レポートの送信先に SSE-KMS を使用したサーバー側の暗号化 (SSE) を必要とするバケットポリシーがある場合、そのバケットポリシーで使用される KMS キーは、Audit Manager データ暗号化の設定で構成した KMS キーと一致する必要があります。Audit Manager の設定で KMS キーを設定しておらず、評価レポートの送信先バケットポリシーで SSE が必要な場合は、バケットポリシーで SSE-S3 が許可されているようにしてください。データ暗号化に使用される KMS キーの設定方法については、「データ暗号化の設定」を参照してください。

クロスアカウント S3 バケット

クロスアカウント S3 バケットを評価レポートの送信先として使用することは、Audit Manager コンソールではサポートされていません。AWS CLIまたはいずれかの AWSSDKs を使用して、クロスアカウントバケットを評価レポートの送信先として指定することはできますが、簡単にするために、これを行わないことをお勧めします。

ヒント

セキュリティとパフォーマンスを最適化するには、評価と同じAWSアカウントとリージョンの S3 バケットを使用することをお勧めします。

評価レポートの送信先としてクロスアカウント S3 バケットを使用することを選択する場合は、次の点を考慮してください。

• デフォルトでは、評価レポートなどの S3 オブジェクトは、オブジェクトをアップロードAWS アカウントする によって所有されます。S3 オブジェクト所有権設定を使用して、このデフォルト動作を変更すると、bucket-owner-full-control既定のアクセスコントロールリスト (ACL) があるアカウントによって記述された新しいオブジェクトが自動的にバケット所有者によって所有されるようにできます。

  必須ではありませんが、クロスアカウントバケットの設定に次の変更を加えることをお勧めします。これらの変更を加えることで、バケット所有者は、バケットに発行する評価レポートを完全に制御できるようになります。

  • S3 バケットのオブジェクト所有権を、デフォルトのオブジェクトライターではなく、優先バケット所有者に設定

  • バケットポリシーを追加して、そのバケットにアップロードされたオブジェクトに bucket-owner-full-control ACL が含まれるようにする

• Audit Manager がクロスアカウント S3 バケットでレポートを発行できるようにするには、次の S3 バケットポリシーを評価レポートの送信先に追加する必要があります。placeholder text を独自の情報に置き換えます。このポリシーの Principal 要素は、評価を所有し、評価レポートを作成するユーザーまたはロールです。Resource は、レポートが発行されるクロスアカウント S3 バケットを指定します。

  JSON

  {
      "Version":"2012-10-17",
      "Statement": [
          {
              "Sid": "Allow cross account assessment report publishing",
              "Effect": "Allow",
              "Principal": {
                  "AWS": "arn:aws:iam::111122223333:user/AssessmentOwnerUserName"
              },
              "Action": [
                  "s3:ListBucket",
                  "s3:PutObject",
                  "s3:GetObject",
                  "s3:GetBucketLocation",
                  "s3:PutObjectAcl",
                  "s3:DeleteObject"
              ],
              "Resource": [
                  "arn:aws:s3:::CROSS-ACCOUNT-BUCKET",
                  "arn:aws:s3:::CROSS-ACCOUNT-BUCKET/*"
              ]
          }
      ]
  }
  

s3:ResourceAccount条件キーを使用して S3 アクションを信頼されたアカウントに制限する

Audit Manager が評価レポートの発行に使用する ID にアタッチされた IAM ポリシーにs3:ResourceAccount条件を追加します。この条件は、指定したアカウント以外のアカウントが所有するバケットに ID が書き込むことを防ぎます。条件は、バケット自体のアクセスポリシーに関係なく適用されます。

詳細については、「特定の AWS アカウントが所有する Amazon S3 バケットへのアクセスを制限する」を参照してください。

SCP を使用して S3 アクションを組織に制限する SCPs

を使用する場合は、組織外のリソースに対する S3 アクションを拒否するサービスコントロールポリシー (SCP) を作成します。次のポリシー例では、組織外のリソースに対するすべての S3 アクションを拒否します。条件は、 が組織 ID aws:ResourceOrgIDと一致するかどうかをチェックします。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyS3ActionsOutsideOrganization",
      "Effect": "Deny",
      "Action": "s3:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceOrgID": "o-xxxxxxxxxx"
        }
      }
    }
  ]
}

o-xxxxxxxxxx を組織 ID に置き換えます。詳細については、IAM ユーザーガイドの「aws:ResourceOrgID」を参照してください。

データ暗号化にカスタマーマネージド KMS キーを使用する

データ暗号化にカスタマーマネージドキーを使用するように Audit Manager を設定すると、Audit Manager は評価レポートを Amazon S3 に書き込む前に暗号化します。不正な関係者が所有するバケットにレポートが発行された場合、レポートの内容は暗号化されたままになります。コンテンツは KMS キーにアクセスせずに読み取れません。手順については、「データ暗号化の設定」を参照してください。

アカウントのリージョン別名前空間で S3 バケットを使用する

アカウントのリージョン別名前空間で作成された S3 バケットには、AWS アカウントID と がバケット名AWS リージョンに含まれます。これらのバケットは別のアカウントでは作成できないため、バケットスナイピングのリスクがなくなります。詳細については、「Amazon Simple Storage Service ユーザーガイド」の「アカウントレベルのバケット名前空間」を参照してください。