翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。 # マルチアカウント環境での S3 Protection の有効化 マルチアカウント環境では、委任 GuardDuty 管理者アカウントのみが、 AWS 組織内のメンバーアカウントの S3 Protection を設定 (有効化または無効化) するオプションがあります。GuardDuty メンバーアカウントからは、この設定を変更できません。委任 GuardDuty 管理者アカウントは、 を使用してメンバーアカウントを管理します AWS Organizations。委任 GuardDuty 管理者アカウントは、組織内のすべてのアカウントまたは新しいアカウントのみで S3 Protection を自動的に有効にするか、あるいはどのアカウントでも S3 Protection を自動的に有効にしないかを選択できます。詳細については、「[ AWS Organizationsを使用したアカウントの管理](guardduty_organizations.md)」を参照してください。 ## 委任 GuardDuty 管理者アカウントでの S3 Protection の有効化 任意のアクセス方法を選択して、委任 GuardDuty 管理者アカウントに対して S3 Protection を有効にします。 ------ #### [ Console ] 1. [https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) で GuardDuty コンソールを開きます。 1. ナビゲーションペインで、**[S3 Protection]** を選択します。 1. **[S3 Protection]** ページで、**[編集]** を選択します。 1. 次のいずれかを行います。 ****[すべてのアカウントについて有効にする]** の使用** + **[すべてのアカウントについて有効にする]** を選択します。これにより、 AWS 組織に参加する新しいアカウントを含め、組織内のすべてのアクティブな GuardDuty アカウントの保護プランが有効になります。 + **[保存]** を選択します。 ****[アカウントを手動で設定]** の使用** + 委任 GuardDuty 管理者アカウントでのみ保護プランを有効にするには、**[アカウントを手動で設定]** を選択します。 + **[委任 GuardDuty 管理者 (このアカウント)]** セクションで **[有効にする]** を選択します。 + **[保存]** を選択します。 ------ #### [ API/CLI ] 現在のリージョンの委任 GuardDuty 管理者アカウントのディテクター ID を使用し、`features` オブジェクト `name` を `S3_DATA_EVENTS` として、`status` を `ENABLED` として渡すことで [https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateDetector.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateDetector.html) を実行します。 または、 を使用して S3 Protection を設定することもできます AWS Command Line Interface。次のコマンドを実行し、{{12abc34d567e8fa901bc2d34e56789f0}} を現在のリージョンの委任 GuardDuty 理者アカウントのディテクター ID に置き換えます。 アカウントと現在のリージョンの `detectorId` を検索するには、[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) コンソールの **[設定]** ページを参照するか、[https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html) API を実行します。 ``` aws guardduty update-detector --detector-id {{12abc34d567e8fa901bc2d34e56789f0}} --features '[{"Name": "S3_DATA_EVENTS", "Status": "ENABLED"}]' ``` ------ ## 組織内のすべてのメンバーアカウントのために S3 Protection を自動的に有効にする 任意のアクセス方法を選択して、委任 GuardDuty 管理者アカウントに対して S3 Protection を有効にします。 ------ #### [ Console ] 1. [https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) で GuardDuty コンソールを開きます。 管理者アカウントを使用してサインインします。 1. 次のいずれかを行います。 ****[S3 Protection]** ページの使用** 1. ナビゲーションペインで、**[S3 Protection]** を選択します。 1. **[すべてのアカウントについて有効にする]** を選択します。このアクションにより、組織内の既存のアカウントと新しいアカウントの両方について S3 Protection が自動的に有効になります。 1. **[保存]** を選択します。 **注記** メンバーアカウントの設定を更新するには、最大 24 時間かかる場合があります。 ****[アカウント]** ページの使用** 1. ナビゲーションペインで、**[Accounts]** (アカウント) を選択します。 1. **[アカウント]** ページで、**[招待によるアカウントの追加]** の前に **[自動有効化]** の詳細設定を選択します。 1. **[自動有効化の詳細設定を管理]** ウィンドウで、**[S3 Protection]** の下の **[すべてのアカウントについて有効にする]** を選択します。 1. **[保存]** を選択します。 **[すべてのアカウントについて有効にする]** オプションを使用できない場合は、「[メンバーアカウントで S3 Protection を選択的に有効にする](#s3-enable-members)」を参照してください。 ------ #### [ API/CLI ] + メンバーアカウントの S3 Protection を選択的に有効にするには、ユーザー独自の{{ディテクター ID}} を使用して [https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateMemberDetectors.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateMemberDetectors.html) API オペレーションを呼び出します。 + 次の例では、単一のメンバーアカウントで S3 Protection を有効にする方法を示しています。必ず {{12abc34d567e8fa901bc2d34e56789f0}} を委任 GuardDuty 管理者アカウントの `detector-id`、および {{111122223333}} に置き換えてください。 アカウントと現在のリージョンの `detectorId` を検索するには、[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) コンソールの **[設定]** ページを参照するか、[https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html) API を実行します。 ``` aws guardduty update-member-detectors --detector-id {{12abc34d567e8fa901bc2d34e56789f0}} --account-ids {{111122223333}} --features '[{"name": "S3_DATA_EVENTS", "status": "{{ENABLED}}"}]' ``` **注記** スペースで区切られたアカウント ID のリストを渡すこともできます。 + コードが正常に実行されると、`UnprocessedAccounts` の空のリストが返されます。アカウントのディテクター設定を変更する際に問題が発生した場合は、そのアカウント ID と問題の概要が表示されます。 ------ ## すべての既存のアクティブなメンバーアカウントのために S3 Protection を有効にする 任意のアクセス方法を選択して、組織内のすべての既存のアクティブなメンバーアカウントのために S3 Protection を有効にします。 ------ #### [ Console ] 1. にサインイン AWS マネジメントコンソール し、[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) で GuardDuty コンソールを開きます。 委任 GuardDuty 管理者アカウントの認証情報を使用してサインインします。 1. ナビゲーションペインで、**[S3 Protection]** を選択します。 1. **[S3 Protection]** ページでは、設定の現在のステータスを表示できます。**[アクティブなメンバーアカウント]** セクションで、**[アクション]** を選択します。 1. **[アクション]** ドロップダウンメニューから、**[すべての既存のアクティブなメンバーアカウントについて有効にする]** を選択します。 1. **[確認]** を選択します。 ------ #### [ API/CLI ] + メンバーアカウントの S3 Protection を選択的に有効にするには、ユーザー独自の{{ディテクター ID}} を使用して [https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateMemberDetectors.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateMemberDetectors.html) API オペレーションを呼び出します。 + 次の例では、単一のメンバーアカウントで S3 Protection を有効にする方法を示しています。必ず {{12abc34d567e8fa901bc2d34e56789f0}} を委任 GuardDuty 管理者アカウントの `detector-id`、および {{111122223333}} に置き換えてください。 アカウントと現在のリージョンの `detectorId` を検索するには、[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) コンソールの **[設定]** ページを参照するか、[https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html) API を実行します。 ``` aws guardduty update-member-detectors --detector-id {{12abc34d567e8fa901bc2d34e56789f0}} --account-ids {{111122223333}} --features '[{"name": "S3_DATA_EVENTS", "status": "{{ENABLED}}"}]' ``` **注記** スペースで区切られたアカウント ID のリストを渡すこともできます。 + コードが正常に実行されると、`UnprocessedAccounts` の空のリストが返されます。アカウントのディテクター設定を変更する際に問題が発生した場合は、そのアカウント ID と問題の概要が表示されます。 ------ ## 新しいメンバーアカウントの S3 Protection を自動で有効にする 任意のアクセス方法を選択して、組織に参加する新しいアカウントのために S3 Protection を有効にします。 ------ #### [ Console ] 委任 GuardDuty 管理者アカウントは、**[S3 Protection]** または **[アカウント]** ページのいずれかを使用して、コンソールで組織の新しいメンバーアカウントに対して有効にできます。 **新しいメンバーアカウントの S3 Protection を自動で有効にするには** 1. [https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) で GuardDuty コンソールを開きます。 必ず委任 GuardDuty 管理者アカウントの認証情報を使用してください。 1. 次のいずれかを行います。 + **[S3 Protection]** ページの使用: 1. ナビゲーションペインで、**[S3 Protection]** を選択します。 1. **[S3 Protection]** ページで、**[編集]** を選択します。 1. **[アカウントを手動で設定]** を選択します。 1. **[新しいメンバーアカウントについて自動的に有効にする]** を選択します。このステップにより、新しいアカウントが組織に参加するたびに、そのアカウントのために S3 Protection が自動的に有効になります。この設定を変更できるのは、組織の委任 GuardDuty 管理者アカウントだけです。 1. **[保存]** を選択します。 + **[Accounts]** (アカウント) ページを使用する場合: 1. ナビゲーションペインで、**[Accounts]** (アカウント) を選択します。 1. **[アカウント]** ページで、**[自動有効化]** 設定を選択します。 1. **[自動有効化の詳細設定を管理]** ウィンドウで、**[S3 Protection]** の下の **[新しいアカウントについて有効にする]** を選択します。 1. **[保存]** を選択します。 ------ #### [ API/CLI ] + メンバーアカウントの S3 Protection を選択的に有効にするには、ユーザー独自の{{ディテクター ID}} を使用して [https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateOrganizationConfiguration.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateOrganizationConfiguration.html) API オペレーションを呼び出します。 + 次の例では、単一のメンバーアカウントで S3 Protection を有効にする方法を示しています。組織に参加する新しいアカウント (`NEW`) もしくはすべてのアカウント (`ALL`) のために、そのリージョンで保護プランを自動的に有効または無効にするか、または組織内のどのアカウントのためにも自動的に有効または無効にしない (`NONE`) 詳細設定を行います。詳細については、「[autoEnableOrganizationMembers](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateOrganizationConfiguration.html#guardduty-UpdateOrganizationConfiguration-request-autoEnableOrganizationMembers)」を参照してください。必要に応じて、`NEW` を `ALL` または `NONE` に置き換える必要がある場合があります。 アカウントと現在のリージョンの `detectorId` を検索するには、[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) コンソールの **[設定]** ページを参照するか、[https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html) API を実行します。 ``` aws guardduty update-organization-configuration --detector-id {{12abc34d567e8fa901bc2d34e56789f0}} --auto-enable --features '[{"Name": "S3_DATA_EVENTS", "autoEnable": "{{NEW}}"}]' ``` + コードが正常に実行されると、`UnprocessedAccounts` の空のリストが返されます。アカウントのディテクター設定を変更する際に問題が発生した場合は、そのアカウント ID と問題の概要が表示されます。 ------ ## メンバーアカウントで S3 Protection を選択的に有効にする 任意のアクセス方法を選択して、メンバーアカウントに対して S3 Protection を選択的に有効にします。 ------ #### [ Console ] 1. [https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) で GuardDuty コンソールを開きます。 必ず委任 GuardDuty 管理者アカウントの認証情報を使用してください。 1. ナビゲーションペインで、**[Accounts]** (アカウント) を選択します。 **[アカウント]** ページで、**[S3 Protection]** 列でメンバーアカウントのステータスを確認します。 1. **S3 Protection を選択的に有効にするには** S3 Protection を有効にするアカウントを選択します。一度に複数のアカウントを選択できます。**[保護プランの編集]** ドロップダウンメニューで、**[S3Pro]** を選択し、適切なオプションを選択します。 ------ #### [ API/CLI ] メンバーアカウントの S3 Protection を選択的に有効にするには、自身のディテクター ID を使用し、[https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateMemberDetector.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_UpdateMemberDetector.html) API オペレーションを実行します。次の例では、単一のメンバーアカウントで S3 Protection を有効にする方法を示しています。無効にするには、`true` を `false` に置き換えます。 アカウントと現在のリージョンの `detectorId` を検索するには、[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) コンソールの **[設定]** ページを参照するか、[https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html) API を実行します。 ``` aws guardduty update-member-detectors --detector-id {{12abc34d567e8fa901bc2d34e56789f0}} --account-ids {{123456789012}} --features '[{"Name" : "S3_DATA_EVENTS", "Status" : "ENABLED"}]' ``` **注記** スペースで区切られたアカウント ID のリストを渡すこともできます。 コードが正常に実行されると、`UnprocessedAccounts` の空のリストが返されます。アカウントのディテクター設定を変更する際に問題が発生した場合は、そのアカウント ID と問題の概要が表示されます。 **注記** スクリプトを使用して新しいアカウントをオンボーディングし、新しいアカウントで S3 Protection を無効にする場合は、このトピックで説明されているように、オプションの `dataSources` オブジェクトで [https://docs.aws.amazon.com/guardduty/latest/APIReference/API_CreateDetector.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_CreateDetector.html) API オペレーションを変更できます。 ------