カスタマイズされた検出結果のレスポンス - AMS Accelerate ユーザーガイド
デフォルトレスポンスの変更のリクエスト検出結果とアカウントのデフォルトレスポンスの変更リソースによるデフォルトのレスポンスの変更

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

カスタマイズされた検出結果のレスポンス

AMS Accelerate が一部の検出結果にどのように応答するかを選択できます (非準拠の Config ルール）。検出結果に応答するように AMS を設定するには、検出結果を修正するか、修正の承認を求めるか、次回の月次ビジネスレビュー (MBR) で報告します。AMS Accelerate Config ルールのデフォルトのレスポンスを変更できます。ルールを確認するには、「Configuration Compliance > Table of rules」を参照するか、ルールテーブルを ZIP ファイル ams_config_rules.zip としてダウンロードします。

デフォルトのレスポンスを変更すると、より多くの検出結果を修復できるため、アカウントのセキュリティとコンプライアンスの状態を向上させることができます。さらに多くの検出結果を修復すると、手動によるレビューと承認を待つ必要があるケースが少なくなります。AMS 修復ランブックの広範なライブラリは、非準拠のリソースを常に修正し、必要な場合にのみ連絡されます。

カスタマイズされたレスポンスは、新しいリソースまたは新しいイベントを持つ既存のリソースでのみ使用されます。例えば、変更後に非準拠になったリソースなどです。これは、古いリソースは修復前により詳細な検査を必要とする傾向があり、作成または変更時にリソース修復を適用する方が簡単なためです。任意のリソースの結果の修復をいつでもリクエストするには、サービスリクエストを送信します。

デフォルトレスポンスの変更のリクエスト

クラウドアーキテクト (CAs) は、オンボーディング中にユーザーと協力して設定を収集します。その後CAs は内部 AMS システムで初期設定をセットアップします。オンボーディング後、サービスリクエストを作成して、設定の更新をリクエストします。設定の更新は、必要な回数だけリクエストできます。Operations は、サービスリクエストが作成されたアカウントの設定のみを更新することに注意してください。複数のアカウントを同時に更新する必要がある場合は、Cloud Architect にお問い合わせください。CA は、監査目的で、ユーザー設定でサービスリクエストをカットするように要求します。

検出結果とアカウントのデフォルトレスポンスの変更

各アカウントと検出結果には、常にレスポンス設定が必要です。AMS はデフォルトのレスポンスを提供するため (「設定コンプライアンス」を参照）、この設定はオプションです。各検出結果のデフォルトのレスポンスを次のオプションに変更できます。

  • 修復: AMS は検出結果を手動でまたは自動的に修復します。AMS は修復を確認し、失敗したかどうかを知らせます。

  • リクエストの承認: AMS は、結果を通知するアウトバウンドケースを作成します。このオプションは、修復を承認または除外する前に検出結果を確認する場合に使用します。その後、AMS は必要なアクションを実行します。

  • アクションなし (レポートのみ): AMS は検出結果を修復またはエスカレーションするアクションを実行しません。結果は引き続きコンソールに表示され、レポートは MBRs中に表示されます。

注記

AMS で修正する必要があるルールの設定は変更できません。例えば、Amazon GuardDuty と VPC フローログを有効にします。

リソースによるデフォルトのレスポンスの変更

タグを使用して、特定のリソースへのレスポンスをさらに設定できます。Resource Tagger を使用して、既存のタグまたはタグリソースを使用できます。詳細については、「」を参照してくださいリソースタガーの高速化）。タグ付きのリソースの設定は、検出結果のデフォルトアクションよりも優先されます。リソースに関連付けられた設定が異なる複数のタグがある場合、AMS はカスタマイズされた修復を実行できません。代わりに、AMS は状況を通知するアウトバウンドサービスリクエストを送信します。たとえば、s3-bucket-server-side-encryption-enabled の検出結果では、次のことができます。

  • タグキー値ペアが「Regulated: True」の「remediate」の暗号化されていない S3 バケットにレスポンスを変更します。

  • 暗号化されていない S3 バケットに「規制: False」というタグが付いている場合、レスポンスを「アクションなし」に変更します。

  • 暗号化されていない S3 バケットのデフォルトのレスポンスを「承認を求める」に変更します。これは、「Regulated: True」または「Regulated: False」というタグを持たないすべての S3 バケットに適用されます。

カスタム結果レスポンスを実行するために必要な入力を追加することもできます。たとえば、暗号化キーを必要とする修復の場合は、キー IDs を AMS に提供できます。修復ランブックの入力パラメータは変更できますが、AMS はカスタムランブックとの統合をサポートしていません。Config レポートの AMS 修復ランブックの説明については、「」を参照してくださいAWS Config コントロールコンプライアンスレポート。