翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Accelerate の設定コンプライアンス

AMS Accelerate は、セキュリティと運用の整合性に関する高い基準にリソースを設定し、次の業界標準に準拠するのに役立ちます。

これを行うには、コンプライアンス AWS Config ルールセット全体をアカウントにデプロイします。「」を参照してくださいAMS Config ルールライブラリ。 AWS Config ルールは、リソースに必要な設定を表し、 AWS リソースの設定の変更に対して評価されます。設定を変更すると、コンプライアンスをテストするための多数のルールがトリガーされます。例えば、Amazon S3 バケットを作成し、NIST 標準に違反してパブリックに読み取れるように設定するとします。ams-nist-cis-s3-bucket-public-read-prohibited ルールは違反を検出し、設定レポートで S3 バケットに非準拠のラベルを付けます。このルールは自動インシデント修復カテゴリに属しているため、すぐにインシデントレポートを作成し、問題を警告します。その他のより重大なルール違反では、AMS によって問題が自動的に修正される可能性があります。「Accelerate での違反への対応」を参照してください。

AMS Config ルールライブラリ

Accelerate は、アカウントを保護するために AMS 設定ルールのライブラリをデプロイします。これらの設定ルールは で始まりますams-。アカウント内のルールとそのコンプライアンス状態は、 AWS Config コンソール、 AWS CLI、または AWS Config API から表示できます。の使用に関する一般的な情報については AWS Config、ViewingConfiguration Compliance」を参照してください。

ルールの表

ams_config_rules.zip としてダウンロードします。

Accelerate での違反への対応

すべての Config ルール違反が設定レポートに表示されます。これはユニバーサルレスポンスです。ルールの修復カテゴリ (重要度) によっては、AMS が追加のアクションを実行する場合があります。詳細については、次の表を参照してください。特定のルールのアクションコードをカスタマイズする方法の詳細については、「」を参照してくださいカスタマイズされた検出結果のレスポンス。

修復アクション

追加のヘルプのリクエスト

AMS Accelerate には、非準拠のリソースの修復に役立つ AWS Systems Manager 自動化ドキュメントとランブックのライブラリがあります。

を Config レポートに追加する

AMS は、アカウント内のすべてのルールとリソースのコンプライアンスステータスを追跡する Config レポートを生成します。CSDM にレポートをリクエストできます。Config コンソール、 AWS CLI、または AWS AWS Config API からコンプライアンスステータスを確認することもできます。Config レポートには以下が含まれます。

リソースが非準拠状態になると、Config レポートでリソースステータス (およびルールステータス) が非準拠になります。ルールが Config レポート専用修復カテゴリに属している場合、デフォルトでは AMS はそれ以上のアクションを実行しません。サービスリクエストをいつでも作成して、AMS に追加のヘルプや修復をリクエストできます。

詳細については、AWS 「Config Reporting」を参照してください。

Accelerate の自動インシデントレポート

やや重大なルール違反の場合、AMS は自動的にインシデントレポートを作成し、リソースが非準拠状態になったことを通知し、実行するアクションを尋ねます。インシデントに対応するときは、次のオプションがあります。

Accelerate の自動修復

最も重要なルールは、自動修復カテゴリに属します。これらのルールに従わないと、アカウントのセキュリティと可用性に大きな影響を与える可能性があります。リソースが次のいずれかのルールに違反した場合：

Accelerate でのルール例外の作成

AWS Config ルール リソース例外機能を使用すると、特定のルールの特定の非準拠リソースのレポートを抑制することができます。

準拠していないことがわかっているリソースがある場合は、Config レポートで特定の設定ルールの特定のリソースを削除できます。これを実行するには:

レポートから除外される設定ルールとリソースのリストとともに、アカウントに対して Accelerate のサービスリクエストを送信します。明示的なビジネス上の根拠を提供する必要があります (たとえば、resource_name_1 と resource_name_2 はバックアップされないため、バックアップされないことを報告する必要はありません）。Accelerate サービスリクエストの送信については、「」を参照してくださいAccelerate でのサービスリクエストの作成。

リクエストに次の入力を貼り付け (図に示すように、すべての必須フィールドを含む個別のブロックをリソースごとに追加）、送信します。

[
    {
        "resource_name": "resource_name_1",
        "config_rule_name": "config_rule_name_1",
        "business_justification": "REASON_TO_EXEMPT_RESOURCE",
        "resource_type": "resource_type"
    },
    {
        "resource_name": "resource_name_2",
        "config_rule_name": "config_rule_name_2",
        "business_justification": "REASON_TO_EXEMPT_RESOURCE",
        "resource_type": "resource_type"
    }
]

Accelerate の AWS Config コストを削減する

オプションを使用してAWS::EC2::Instanceリソースタイプを定期的に記録することで、AWS Config のコストを削減できます。定期的な記録では、リソースの最新の設定変更を 24 時間に 1 回キャプチャし、配信される変更の数を減らします。有効にすると、 は 24 時間の終了時にリソースの最新の設定 AWS Config のみを記録します。これにより、継続的なモニタリングを必要としない特定の運用計画、コンプライアンス、監査のユースケースに合わせて設定データをカスタマイズできます。この変更は、エフェメラルアーキテクチャに依存するアプリケーションがある場合にのみ推奨されます。つまり、インスタンスの数を常にスケールアップまたはスケールダウンします。

AWS::EC2::Instance リソースタイプの定期的な記録をオプトインするには、AMS 配信チームにお問い合わせください。