翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS セキュリティエージェントのカスタマーマネージドキー

デフォルトでは、 AWS Security Agent はマネージド暗号化キーを使用して保管中のすべてのデータを暗号化 AWSします。オプションで、 AWS Key Management Service (AWS KMS) のカスタマーマネージドキーを使用してデータを暗号化し、リソースを保護する暗号化キーを完全に制御できます。

AWS セキュリティエージェントは、リソースレベルのカスタマーマネージドキーをサポートします。エージェントスペースや統合などの最上位リソースを作成するときは、KMS キーを指定して、そのリソースとそのサブリソースに属するすべてのデータを暗号化できます。例えば、エージェントスペースの作成時にカスタマーマネージドキーを指定すると、エージェントスペース設定、侵入テスト設定、ジョブ、実行の詳細、セキュリティ検出結果、検出されたエンドポイント、スクリーンショットなど、そのエージェントスペースに関連付けられたすべてのデータが暗号化されます。S3 バケット、CloudWatch Logs ロググループ、Secrets Manager シークレットなど、独自のカスタマーマネージドキーで既に暗号化されている AWS リソースを指定することもできます。必要な KMS アクセス許可については、「」を参照してください必要な KMS アクセス許可。

カスタマーマネージドキーの仕組み

AWS セキュリティエージェントは AWS KMS 階層キーリングを使用して、カスタマーマネージドキーでデータを暗号化します。リソースの作成時に KMS キーを指定すると、サービスは KMS キーで保護されたブランチキーを作成し、Amazon DynamoDB ベースのキーストアに保存します。暗号化オペレーションごとに、階層キーリングはアクティブなブランチキーから一意のラッピングキーを取得し、リクエストごとに一意のデータ暗号化キーを暗号化します。

階層キーリングには次の利点があります。

暗号化コンテキスト

AWS セキュリティエージェントは、KMS キーを使用するすべての暗号化オペレーションで暗号化コンテキストを使用します。暗号化コンテキストは、暗号化オペレーションに追加の認証データを提供するシークレット以外のキーと値のペアのセットです。

暗号化コンテキストキーは の形式に従います。ここでaws:securityagent:_<resource-type>_、 <resource-type> は暗号化されるリソースのタイプです (例: agent-spaceまたは integration)。値は、リソースの Amazon リソースネーム (ARN) です。

暗号化コンテキストを使用して、KMS キーポリシーを特定のリソースタイプに絞り込むことができます。詳細については、「必要な KMS アクセス許可」を参照してください。

デフォルト暗号化

カスタマーマネージドキーを指定せずにリソースを作成すると、 AWS Security Agent は基盤となるストレージサービス (Amazon DynamoDB AWSおよび Amazon S3) が提供するマネージド暗号化キーを使用してリソースを暗号化します。デフォルトの暗号化に追加の設定は必要ありません。

アプリケーションのデフォルト KMS キー

デフォルトの KMS キーはアプリケーションレベルで設定できます。デフォルトの KMS キーが設定されている場合、リソースの作成時に KMS キーを明示的に指定しない場合、 AWS Security Agent はそれを新しいエージェントスペースと統合のフォールバックとして使用します。

デフォルトの KMS キーを設定するには、CLI または SDK を使用してアプリケーションを作成または更新するときに AWS defaultKmsKeyIdパラメータを指定します。コンソールでは、アプリケーションのセットアップ中にデフォルトの KMS キーを指定するように求められます。

リソースの作成時に KMS キーを明示的に指定すると、アプリケーションレベルのデフォルトよりも優先されます。

前提条件

カスタマーマネージドキーを設定する前に、次の前提条件を満たしてください。

必要な KMS アクセス許可

AWS セキュリティエージェントには、次の 2 つのシナリオで KMS アクセス許可が必要です。

AWS セキュリティエージェントは、オペレーションに応じて異なる ID を使用して KMS キーにアクセスします。

以下のセクションでは、各 ID に必要なアクセス許可について説明します。

キーポリシー

KMS キーポリシーは、暗号化オペレーションにキーを使用するアクセス許可を AWS セキュリティエージェントに付与する必要があります。必要なキーポリシーステートメントは、暗号化するリソースタイプと、サービスに提供する CMK 暗号化 AWS リソースによって異なります。

エージェントスペースのキーポリシー

次のキーポリシーは、侵入テスト結果やスクリーンショットなど、エージェントスペースデータを暗号化および復号するために必要なアクセス許可を AWS セキュリティエージェントに付与します。

ポリシーで次のプレースホルダー値を置き換えます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowKeyMetadataValidationForApplicationAndAgentSpaces",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyRole"
      },
      "Action": [
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "securityagent.us-east-1.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AllowUseOfHierarchicalKeyringForAgentSpaces",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyRole"
      },
      "Action": [
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:ReEncryptTo",
        "kms:ReEncryptFrom",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:securityagent:agent-space": "arn:aws:securityagent:us-east-1:111122223333:agent-space/*"
        },
        "StringEquals": {
          "kms:ViaService": "securityagent.us-east-1.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AllowSynchronousDataAccessForAgentSpaces",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyApplicationRole"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:securityagent:agent-space": "arn:aws:securityagent:us-east-1:111122223333:agent-space/*"
        },
        "StringEquals": {
          "kms:ViaService": "securityagent.us-east-1.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AllowAsynchronousDataAccessForAgentSpaces",
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": [
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:Decrypt",
        "kms:ReEncryptTo",
        "kms:ReEncryptFrom"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:securityagent:agent-space": "arn:aws:securityagent:us-east-1:111122223333:agent-space/*"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:securityagent:us-east-1:111122223333:agent-space/*"
        }
      }
    },
    {
      "Sid": "AllowAsynchronousDataAccessForCodeRemediation",
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
      ],
      "Resource": "*"
    }
  ]
}

統合のキーポリシー

次のキーポリシーは、コードレビューの結果を含む統合データの暗号化と復号化に必要なアクセス許可を AWS セキュリティエージェントに付与します。

ポリシーで次のプレースホルダー値を置き換えます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowKeyAccessValidationForIntegrations",
      "Effect": "Allow",
      "Principal": {
          "AWS": "arn:aws:iam::111122223333:role/MyRole"
      },
      "Action": [
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:ReEncryptTo",
        "kms:ReEncryptFrom"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws-crypto-ec:aws:securityagent:integration": "arn:aws:securityagent:us-east-1:111122223333:integration/*"
        },
        "StringEquals": {
          "kms:ViaService": "securityagent.us-east-1.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AllowKeyMetadataValidationForIntegrations",
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    },
    {
      "Sid": "AllowAsynchronousDataAccessForIntegrations",
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": [
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:ReEncryptTo",
        "kms:ReEncryptFrom"
      ],
      "Resource": "*",
      "Condition": {
        "ArnLike": {
          "aws:SourceArn": "arn:aws:securityagent:us-east-1:111122223333:integration/*"
        },
        "StringLike": {
          "kms:EncryptionContext:aws-crypto-ec:aws:securityagent:integration": "arn:aws:securityagent:us-east-1:111122223333:integration/*"
        }
      }
    }
  ]
}

セキュリティ要件パックのキーポリシー

次のキーポリシーは、 AWS セキュリティエージェントにセキュリティ要件パックデータの暗号化と復号に必要なアクセス許可を付与します。セキュリティ要件パックはウェブアプリケーションロールを使用しません。ポリシーは 2 つのアクセスパスを使用します。

ポリシーで次の値を置き換えます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowKeyMetadataValidation",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyRole"
      },
      "Action": [
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "securityagent.us-east-1.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AllowUseOfHierarchicalKeyringForSecurityPacks",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyRole"
      },
      "Action": [
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:ReEncryptTo",
        "kms:ReEncryptFrom",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "securityagent.us-east-1.amazonaws.com"
        },
        "StringLike": {
          "kms:EncryptionContext:aws:securityagent:security-requirement-pack": "arn:aws:securityagent:us-east-1:111122223333:security-requirement-pack/*"
        }
      }
    },
    {
      "Sid": "AllowAsynchronousDataAccessForSecurityPacks",
      "Effect": "Allow",
      "Principal": {
        "Service": "securityagent.amazonaws.com"
      },
      "Action": [
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:Decrypt",
        "kms:ReEncryptTo",
        "kms:ReEncryptFrom"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:securityagent:security-requirement-pack": "arn:aws:securityagent:us-east-1:111122223333:security-requirement-pack/*"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:securityagent:us-east-1:111122223333:security-requirement-pack/*"
        }
      }
    }
  ]
}

ポリシーには 3 つのステートメントが含まれています。

エージェントスペースキーポリシーとは異なり、セキュリティ要件パックポリシーにはウェブアプリケーションロールプリンシパルは含まれません。セキュリティ要件パックには、 AWS セキュリティエージェントのウェブアプリケーションではなく、管理者ロールを使用して AWS マネジメントコンソールからアクセスします。すべての同期オペレーションでは、単一の発信者ロールが使用されます ( 経由kms:ViaService)。

CMK で暗号化された AWS リソースのキーポリシー

カスタマーマネージドキーで暗号化された AWS リソースを AWS セキュリティエージェントに提供する場合は、各リソースの KMS キーのキーポリシーを更新して、必要なアクセス許可を付与する必要があります。これは、次のリソースに適用されます。

次のキーポリシーステートメントは、CMK で暗号化されたリソースに必要なアクセス許可を付与します。設定に適用されるステートメントのみを含めます。リソースがエージェントスペースに指定したのと同じ KMS キーを使用している場合は、これらのステートメントをそのキーのポリシーに追加します。リソースが別の KMS キーを使用している場合は、代わりにこれらのステートメントをそのキーのポリシーに追加します。

ポリシーで次のプレースホルダー値を置き換えます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowKmsKeyAccessForCreatingSecrets",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyApplicationRole"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "secretsmanager.*.amazonaws.com",
          "kms:EncryptionContext:SecretARN": "arn:aws:secretsmanager:us-east-1:111122223333:secret:*"
        }
      }
    },
    {
      "Sid": "AllowKmsKeyDecryptionForS3Objects",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyPenTestServiceRole"
      },
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "s3.*.amazonaws.com",
          "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::YOUR-BUCKET-NAME*"
        }
      }
    },
    {
      "Sid": "AllowKmsKeyDecryptionForSecretsManagerSecrets",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyPenTestServiceRole"
      },
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "secretsmanager.*.amazonaws.com",
          "kms:EncryptionContext:SecretARN": "arn:aws:secretsmanager:us-east-1:111122223333:secret:YOUR-SECRET-NAME*"
        }
      }
    },
    {
      "Sid": "AllowKmsKeyValidationForCloudWatchLogsLogGroups",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyPenTestServiceRole"
      },
      "Action": [
        "kms:DescribeKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "logs.*.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AllowKmsKeyAccessForCloudWatchLogsLogGroups",
      "Effect": "Allow",
      "Principal": {
        "Service": "logs.us-east-1.amazonaws.com"
      },
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        },
        "StringLike": {
          "kms:EncryptionContext:aws:logs:arn": "arn:aws:logs:us-east-1:111122223333:log-group:YOUR-LOG-GROUP-NAME*"
        }
      }
    }
  ]
}

管理者ロール

管理者ロール (コンソールで AWS セキュリティエージェントの管理に使用する IAM ロール) に追加の IAM ポリシーは必要ありません。

アプリケーションロール

KMS キーポリシーに加えて、 AWS セキュリティエージェントのセットアップ時に指定されたアプリケーションロールに次の IAM ポリシーをアタッチします。このポリシーは、エージェントスペースデータの暗号化と復号、 AWS Secrets Manager でのシークレットの作成にカスタマーマネージドキーを使用するアクセス許可をロールに付与します。

ポリシーで次のプレースホルダー値を置き換えます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowSynchronousDataAccessForAgentSpaces",
      "Effect": "Allow",
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": [
        "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890cd"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333",
          "kms:ViaService": "securityagent.us-east-1.amazonaws.com"
        },
        "StringLike": {
          "kms:EncryptionContext:aws:securityagent:agent-space": "arn:aws:securityagent:us-east-1:111122223333:agent-space/*"
        }
      }
    },
    {
      "Sid": "AllowKmsKeyAccessForCreatingSecrets",
      "Effect": "Allow",
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": [
        "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890cd"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "secretsmanager.*.amazonaws.com",
          "kms:EncryptionContext:SecretARN": "arn:aws:secretsmanager:us-east-1:111122223333:secret:*"
        }
      }
    }
  ]
}

サービスロール

ペネトレーションテスト中、 AWS Security Agent は、 AWS リソースにアクセスするためのペネトレーションテストサービスロールを引き受けます。これらのリソースのいずれかがカスタマーマネージドキーで暗号化されている場合は、対応する KMS キーを使用するためのアクセス許可をサービスロールに付与する必要があります。これは、次のリソースに適用されます。

次の IAM ポリシーをペネトレーションテストサービスロールにアタッチします。設定に適用されるステートメントのみを含めます。

ポリシーで次のプレースホルダー値を置き換えます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowKmsAccessForEncryptedS3Buckets",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": [
        "arn:aws:kms:us-east-1:111122223333:key/EXAMPLE-S3-KEY-ID"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "s3.*.amazonaws.com",
          "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::YOUR-BUCKET-NAME*"
        }
      }
    },
    {
      "Sid": "AllowKmsAccessForEncryptedSecrets",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": [
        "arn:aws:kms:us-east-1:111122223333:key/EXAMPLE-SECRETS-KEY-ID"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "secretsmanager.*.amazonaws.com",
          "kms:EncryptionContext:SecretARN": "arn:aws:secretsmanager:us-east-1:111122223333:secret:YOUR-SECRET-NAME*"
        }
      }
    },
    {
      "Sid": "AllowKmsKeyValidationForCloudWatchLogsLogGroups",
      "Effect": "Allow",
      "Action": [
        "kms:DescribeKey"
      ],
      "Resource": [
        "arn:aws:kms:us-east-1:111122223333:key/EXAMPLE-CLOUDWATCH-LOGS-KEY-ID"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        },
        "StringLike": {
          "kms:ViaService": "logs.*.amazonaws.com"
        }
      }
    }
  ]
}

カスタマーマネージドキーを使用してリソースを作成する

AWS セキュリティエージェントを設定するとき、または個々のリソースを作成するときに、カスタマーマネージドキーを指定できます。KMS キーは、そのリソースとそのサブリソースに属するすべてのデータを暗号化します。

セットアップ中にデフォルトの KMS キーを設定する (コンソール)

デフォルトの KMS キーは、 AWS セキュリティエージェントの初期設定時に設定できます。このキーは、別のキーを指定しない限り、新しいエージェントスペースと統合のデフォルトとして使用されます。

AWS セキュリティエージェントは KMS キーを検証して、KMS キーが存在し、有効になっており、対称暗号化を使用していることを確認します。検証が失敗した場合、セットアップは続行されず、エラーメッセージが表示されます。

カスタマーマネージドキーを使用してエージェントスペースを作成する (コンソール)

カスタマーマネージドキーとの統合を作成する (コンソール)

カスタマーマネージドキー (AWS CLI または SDK) を使用してリソースを作成する

CLI または SDK AWS を使用してカスタマーマネージドキーを指定するには:

パラメータの詳細については、AWS 「 セキュリティエージェント API リファレンス」を参照してください。

KMS キーを指定しない場合、 AWS Security Agent はアプリケーションレベルのデフォルト KMS キーを設定している場合はそれを使用します。それ以外の場合、リソースは AWSマネージドキーで暗号化されます。

キーローテーション

AWS セキュリティエージェントは、ブランチキーを定期的に自動的にローテーションします。ブランチキーローテーションは、以前のすべてのバージョンを保持しながら、ブランチキーの新しいアクティブバージョンを作成します。ローテーション後:

ブランチキーのローテーションは、KMS キーのローテーションとは別のものです。カスタマーマネージドキーの自動 KMS キーローテーションを個別に有効にできます。詳細については、「 Key Management Service デベロッパーガイド AWS 」の「KMS キーのローテーション」を参照してください。

ブランチキーのローテーション後、以前のブランチキーのキャッシュされたコピーを新しい暗号化オペレーションに引き続き使用できる期間が短くなります。このウィンドウは、内部キャッシュtime-to-liveによって決定され、データのセキュリティには影響しません。

考慮事項

AWS Security Agent でカスタマーマネージドキーを使用する場合は、次の点に注意してください。