Microsoft Azure と統合するように Amazon Inspector を設定する

Azure 環境を設定したら、Amazon Inspector でコネクタを作成して、Azure リソースの脆弱性のスキャンを開始します。

Azure コネクタを作成するには

マネージド Amazon Inspector VM Scanner デプロイ

VM スキャンを有効にした場合、Amazon Inspector は Amazon EC2 Systems Manager Automation を使用してAmazon Inspector VM Scanner エージェントを Azure VMsにデプロイおよび管理します。マネージドデプロイの場合:

Amazon Inspector はAmazon EC2 Systems Manager Automation を使用してエージェントをデプロイおよび管理します。

VM スキャンを有効にするには、アカウントに次の IAM リソースを作成する必要があります。

IAM OIDC ID プロバイダー

次の設定Microsoft Entra IDで の IAM OIDC ID プロバイダーを作成します。

Inspector2VmScannerRole-tenant-id

Azure VM で実行されている Amazon Inspector VMs、スキャンテレメトリを Amazon Inspector に送信します。このロールは、ID プロバイダーを介した OIDC ウェブ Microsoft Entra ID ID フェデレーションを使用します。

信頼ポリシー:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::account-id:oidc-provider/sts.windows.net/tenant-id/"
            },
            "Action": "sts:AssumeRoleWithWebIdentity"
        }
    ]
}

アクセス許可ポリシー (TelemetryPolicy):

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "inspector2-telemetry:*",
            "Resource": "*"
        }
    ]
}

タグ:

Inspector2SSMFederationRole-tenant-id

安全なクロスクラウド認証のために Azure への OIDC フェデレーションを有効にします。このロールは、Azure オペレーション用のウェブ ID トークンを取得するために、AssumeRole と DispatchRole、および Amazon EC2 Systems Manager によって引き受けられます。

信頼ポリシー:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account-id:root"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalTag/caller": "SSM"
                },
                "ArnLike": {
                    "aws:PrincipalArn": [
                        "arn:aws:iam::account-id:role/Inspector2SSMAssumeRole-tenant-id",
                        "arn:aws:iam::account-id:role/Inspector2SSMDispatchRole-tenant-id"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

アクセス許可ポリシー (FederationPolicy):

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "sts:IdentityTokenAudience": [
                        "api://AzureADTokenExchange"
                    ]
                }
            },
            "Action": [
                "sts:GetWebIdentityToken",
                "sts:TagGetWebIdentityToken"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

タグ:

Inspector2SSMAssumeRole-tenant-id

Amazon EC2 Systems Manager Automation を実行して、Azure VMsとしてオンボードします。このロールは、ハイブリッドアクティベーションを作成および管理し、ロールを Amazon EC2 Systems Manager に渡して、オートメーションドキュメントを取得します。

信頼ポリシー:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                }
            }
        }
    ]
}

アクセス許可ポリシー (AssumeRolePolicy):

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::account-id:role/Inspector2SSMFederationRole-tenant-id"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::account-id:role/AmazonEC2RunCommandRoleForManagedInstances",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:CreateActivation",
                "ssm:DeleteActivation",
                "ssm:DescribeActivations",
                "ssm:DescribeInstanceInformation",
                "ssm:PutConfigurePackageResult",
                "iam:ListRoleTags"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:AddTagsToResource",
            "Resource": [
                "arn:aws:ssm:*:account-id:activation/*",
                "arn:aws:ssm:*:account-id:managed-instance/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "ssm:GetDocument",
            "Resource": [
                "arn:aws:ssm:*:*:document/AWS-InstallDistributorPackageOnAzure",
                "arn:aws:ssm:*:*:document/AWS-InstallSsmAgentOnAzure",
                "arn:aws:ssm:*::document/AmazonInspector2-InspectorVmScanner"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "ssm:GetCloudConnector",
            "Resource": "*"
        }
    ]
}

タグ:

Inspector2SSMDispatchRole-tenant-id

Azure VM のターゲットを解決し、Amazon EC2 Systems Manager Automation を介して Amazon Inspector VM Scanner エージェントのインストールをディスパッチします。 Amazon EC2 Systems Manager このロールは自動化の実行を開始し、AssumeRole を Amazon EC2 Systems Manager に渡します。

信頼ポリシー:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                }
            }
        }
    ]
}

アクセス許可ポリシー (DispatchPolicy):

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::account-id:role/Inspector2SSMAssumeRole-tenant-id",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ssm:StartAutomationExecution",
            "Resource": [
                "arn:aws:ssm:*:*:document/AWS-InstallDistributorPackageOnAzure",
                "arn:aws:ssm:*:account-id:automation-execution/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::account-id:role/Inspector2SSMFederationRole-tenant-id"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeInstanceInformation",
                "ssm:ListCloudConnectors",
                "ssm:GetCloudConnector",
                "iam:ListRoleTags"
            ],
            "Resource": "*"
        }
    ]
}

タグ:

Azure アプリの登録では、アプリケーション ID URI を に設定する必要がありますapi://app-id。

各ターゲット Azure VM では、システム割り当てのマネージド ID が有効になっている必要があります。新しい VMs にマネージド ID を自動的に割り当てるには、Azure 環境で DeployIfNotExists ポリシーを使用します。

Amazon Inspector VM Scanner エージェントの詳細については、「」を参照してくださいAmazon Inspector VM スキャナー。

または、Amazon Inspector VM Scanner エージェントを手動でインストールすることもできます。多くの Azure VMs にまたがる大規模な手動インストールには、Azure VM のカスタム拡張機能を使用します。手順については、「Amazon Inspector VM スキャナー」を参照してください。

特定の Azure VMsスキャンから除外するには、次のタグを VM に適用します。

コネクタの範囲の調整

コネクタを作成したら、モニタリングする Azure サブスクリプションまたは Azure リージョンを変更することで、その範囲を調整できます。スコープを調整すると、ほとんどの変更は約 15 分以内に有効になります。

スコープを調整する前に、次の点に注意してください。

コネクタの検証

コネクタを作成すると、Amazon Inspector は Azure リソースの検出とスキャンを開始します。検出結果の最初のセットが表示されるまでに最大 24 時間かかる場合があります。コネクタが動作していることを確認するには:

トラブルシューティング

コネクタのステータスにエラーが表示されている場合、または 24 時間後にリソースが表示されない場合は、以下を確認してください。

Amazon Inspector がリソース識別子を処理する方法

Amazon Inspector の Azure 統合を有効にすると、他のクラウドプロバイダーから収集された対応するリソース設定データの管理に関連するメタデータとして、他のクラウドプロバイダーのリソース識別子が AWS Config、Amazon Inspector、およびその他の AWS のサービス (必要に応じて) に保存されます。このようなリソース識別子はお客様のコンテンツを構成するものではなく、機密情報、機密情報、個人を特定できる情報を含めないことをお勧めします。

接続されたクラウド環境の次の識別子は、マルチクラウドセキュリティ機能を提供するために AWS によって保存および使用されます。

これらの識別子間の関係 - リソースの相互関係、および検出結果がリソースにどのように関係するか - もサービスメタデータとして保存されます。 は、リソースの相関、検出結果をリソースに関連付ける、サービスの運用ログ記録、重複排除のためにこれらの識別子 AWS を使用します。