Security Hub を Microsoft Azure と統合するための前提条件

Security Hub は、コネクタを作成する AWS アカウント と AWS リージョン で有効にする必要があります。Azure コネクタを作成する前に、Security Hub を有効にする必要があります。

Security Hub CSPM は、同じ AWS アカウント と で有効にする必要があります AWS リージョン。Azure 統合は、リソース設定の評価に Security Hub CSPM に依存しています。

コネクタを作成する IAM プリンシパルには、次のアクセス許可が必要です。

で IAM アウトバウンド ID フェデレーションを有効にする必要があります AWS アカウント。この機能を使用すると、 AWS サービスは存続期間の長いシークレットではなく、フェデレーティッド認証情報を使用して外部 ID プロバイダー (Microsoft Entra ID など) を認証できます。

アウトバウンド ID フェデレーションを有効にしたら、トークン発行者 URL を書き留めます。この URL は次の形式に従います。

https://uuid.tokens.sts.global.api.aws

Azure でフェデレーティッド ID 認証情報を設定するときに、この URL が必要になります。

Azure 商用クラウドには Azure テナントが必要です。Azure Government と Azure China はサポートされていません。

リソースの記録には、Microsoft Entra ID テナントからの Microsoft Graph 監査ログとサインインログが必要です。一部の Microsoft Entra ID ログでは、Microsoft Entra ID P1 または P2 のライセンスが必要です。

テナントに必要なログがない場合、リソース記録で部分的な障害が報告される可能性があります。アプリ登録と Azure ロールの割り当てでは、欠落しているログデータは提供されません。

Azure 環境を設定するには、Microsoft Entra ID のグローバル管理者ロールが必要です。このロールは、アプリケーションの登録、Microsoft Graph API アクセス許可に対する管理者の同意の付与、テナントルート管理グループスコープでの RBAC ロールの割り当て、および Entra ID 監査ログの診断設定の構成に必要です。

グローバル管理者に加えて、統合に必要なリソースを作成するには、次の Azure RBAC ロールが必要です。