バケットの Malware Protection for S3 の有効化

• guardDuty:CreateMalwareProtectionPlan

• iam:PassRole

• デフォルトでは、1 つのオブジェクトに最大 10 個のタグを関連付けることができます。詳細については、「Amazon S3 ユーザーガイド」の「タグを使用してストレージを分類する」を参照してください。

  10 個すべてのタグが既に使用されている場合、GuardDuty はスキャンされたオブジェクトに事前定義されたタグを追加できません。GuardDuty はまた、スキャン結果をデフォルトの EventBridge イベントバスにも発行します。詳細については、「Amazon EventBridge による S3 オブジェクトスキャンのモニタリング」を参照してください。

• 選択した IAM ロールに GuardDuty が S3 オブジェクトにタグ付けするアクセス許可が含まれていない場合は、保護されたバケットに対してタグ付けが有効になっていても、GuardDuty はこのスキャンされた S3 オブジェクトにタグを追加できません。タグ付けに必要な IAM ロールのアクセス許可の詳細については、「IAM ロールポリシーの作成または更新」を参照してください。

  GuardDuty はまた、スキャン結果をデフォルトの EventBridge イベントバスにも発行します。詳細については、「Amazon EventBridge による S3 オブジェクトスキャンのモニタリング」を参照してください。

• GuardDuty でスキャンした S3 オブジェクトにタグを追加する場合は、[オブジェクトをタグ付けする] を選択します。

• GuardDuty でスキャンした S3 オブジェクトにタグを追加しない場合は、[オブジェクトにタグ付けしない] を選択します。

API/CLI を使用してプログラムにより Malware Protection for S3 を有効にするには

• API を使用する

  CreateMalwareProtectionPlan を実行して、自分のアカウントに属するバケットの Malware Protection for S3 を有効にします。

• を使用する場合AWS CLI

  Malware Protection for S3 を有効にする方法に応じて、次のリストに、特定のユースケースの AWS CLI コマンドの例を示します。これらのコマンドを実行するときは、赤で示されているプレースホルダーの例を、アカウントに適した値に置き換えます。

  AWS CLI コマンドの例

  • 次の AWS CLI コマンドを使用して、スキャンした S3 オブジェクトのタグ付けがないバケットの Malware Protection for S3 を有効にします。

    aws guardduty create-malware-protection-plan --role "arn:aws:iam::111122223333:role/role-name" --protected-resource "S3Bucket"={"BucketName"="amzn-s3-demo-bucket1"}

  • 次の AWS CLI コマンドを使用して、特定のオブジェクトプレフィックスがあり、スキャンした S3 オブジェクトのタグ付けがないバケットの Malware Protection for S3 を有効にします。

    aws guardduty create-malware-protection-plan --role "arn:aws:iam::111122223333:role/role-name" --protected-resource '{"S3Bucket":{"BucketName":"amzn-s3-demo-bucket1", "ObjectPrefixes": ["Object1","Object1"]}}'

  • 次の AWS CLI コマンドを使用して、スキャンした S3 オブジェクトのタグ付けが有効になっているバケットの Malware Protection for S3 を有効にします。

    aws guardduty create-malware-protection-plan --role "arn:aws:iam::111122223333:role/role-name" --protected-resource "S3Bucket"={"BucketName"="amzn-s3-demo-bucket1"} --actions "Tagging"={"Status"="ENABLED"}

  これらのコマンドの実行が成功すると、一意の Malware Protection プラン ID が生成されます。バケットの保護プランの更新や無効化などのアクションを実行するには、この Malware Protection プラン ID が必要になります。