翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Microsoft Azure と統合するように Security Hub を設定する

前提条件タスクを完了し、Microsoft Azure 環境を設定したら、 AWS Security Hub を Azure と統合するように設定できます。Azure と統合するように Security Hub を設定するには、コネクタを作成します。コネクタは、委任管理者アカウントまたは管理アカウントから作成できます。コネクタを作成すると、次のイベントが発生します。

Azure コネクタを作成する

環境用の Microsoft Azure コネクタを作成するには、 AWS Security Hub コンソールまたは API を使用して次の手順を実行します。

Amazon Inspector による Azure VM スキャンの IAM ロール

Amazon Inspector で脆弱性スキャンを有効にするには、 で次の IAM リソースを作成する必要があります AWS アカウント。

IAM OIDC ID プロバイダー

次の設定Microsoft Entra IDで の IAM OIDC ID プロバイダーを作成します。

Inspector2VmScannerRole-tenant-id

Azure VM で実行されている Amazon Inspector VMs、スキャンテレメトリを Amazon Inspector に送信します。このロールは、ID プロバイダーを介した OIDC ウェブ Microsoft Entra ID ID フェデレーションを使用します。

信頼ポリシー:

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::account-id:oidc-provider/sts.windows.net/tenant-id/"
            },
            "Action": "sts:AssumeRoleWithWebIdentity"
        }
    ]
}

タグ:

アクセス許可ポリシー (TelemetryPolicy):

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "inspector2-telemetry:*",
            "Resource": "*"
        }
    ]
}

Inspector2SSMFederationRole-tenant-id

安全なクラウド間認証のために、Azure への OIDC フェデレーションを有効にします。このロールは、Azure オペレーション用のウェブ ID トークンを取得するために、AssumeRole と DispatchRole、および Amazon EC2 Systems Manager によって引き受けられます。

信頼ポリシー:

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account-id:root"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalTag/caller": "SSM"
                },
                "ArnLike": {
                    "aws:PrincipalArn": [
                        "arn:aws:iam::account-id:role/Inspector2SSMAssumeRole-tenant-id",
                        "arn:aws:iam::account-id:role/Inspector2SSMDispatchRole-tenant-id"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

アクセス許可ポリシー (FederationPolicy):

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "sts:IdentityTokenAudience": [
                        "api://AzureADTokenExchange"
                    ]
                }
            },
            "Action": [
                "sts:GetWebIdentityToken",
                "sts:TagGetWebIdentityToken"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

タグ:

Inspector2SSMAssumeRole-tenant-id

Amazon EC2 Systems Manager Automation を実行して、Azure VMsとしてオンボードします。このロールは、ハイブリッドアクティベーションを作成および管理し、ロールを Amazon EC2 Systems Manager に渡して、オートメーションドキュメントを取得します。

信頼ポリシー:

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                }
            }
        }
    ]
}

アクセス許可ポリシー (AssumeRolePolicy):

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::account-id:role/Inspector2SSMFederationRole-tenant-id"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::account-id:role/AmazonEC2RunCommandRoleForManagedInstances",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:CreateActivation",
                "ssm:DeleteActivation",
                "ssm:DescribeActivations",
                "ssm:DescribeInstanceInformation",
                "ssm:PutConfigurePackageResult",
                "iam:ListRoleTags"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:AddTagsToResource",
            "Resource": [
                "arn:aws:ssm:*:account-id:activation/*",
                "arn:aws:ssm:*:account-id:managed-instance/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "ssm:GetDocument",
            "Resource": [
                "arn:aws:ssm:*:*:document/AWS-InstallDistributorPackageOnAzure",
                "arn:aws:ssm:*:*:document/AWS-InstallSsmAgentOnAzure",
                "arn:aws:ssm:*::document/AmazonInspector2-InspectorVmScanner"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "ssm:GetCloudConnector",
            "Resource": "*"
        }
    ]
}

タグ:

Inspector2SSMDispatchRole-tenant-id

Azure VM のターゲットを解決し、Amazon EC2 Systems Manager Automation を介して Amazon Inspector VM Scanner エージェントのインストールをディスパッチします。 Amazon EC2 Systems Manager このロールは自動化の実行を開始し、AssumeRole を Amazon EC2 Systems Manager に渡します。

信頼ポリシー:

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                }
            }
        }
    ]
}

アクセス許可ポリシー (DispatchPolicy):

{
    "Version":"2012-10-17",	
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::account-id:role/Inspector2SSMAssumeRole-tenant-id",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ssm:StartAutomationExecution",
            "Resource": [
                "arn:aws:ssm:*:*:document/AWS-InstallDistributorPackageOnAzure",
                "arn:aws:ssm:*:account-id:automation-execution/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::account-id:role/Inspector2SSMFederationRole-tenant-id"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeInstanceInformation",
                "ssm:ListCloudConnectors",
                "ssm:GetCloudConnector",
                "iam:ListRoleTags"
            ],
            "Resource": "*"
        }
    ]
}

タグ:

VM スキャンの前提条件

Azure アプリの登録では、アプリケーション ID URI を に設定する必要がありますapi://app-id。

スキャンする各 Azure VM では、システム割り当てのマネージド ID が有効になっている必要があります。新しい VMs にマネージド ID を自動的に割り当てるには、Azure 環境で DeployIfNotExists ポリシーを使用します。

コネクタを作成すると、Security Hub は Azure 環境のモニタリングを開始します。コネクタのステータスは、統合ページで確認できます。

Azure コネクタの範囲を調整する

Microsoft Azure コネクタを作成したら、モニタリングする Azure サブスクリプションまたは Azure リージョンを変更することで、コネクタの範囲を調整できます。スコープの変更は、通常、アクティビティログイベントを持つリソースに対して 15～30 分以内に有効になります。新しく追加された Azure サブスクリプションの完全な評価には、最大 24 時間かかる場合があります。

コネクタの範囲を調整する前に、次の点に注意してください。

Azure コネクタの状態を確認する

Microsoft Azure コネクタの状態はいつでも確認でき、Security Hub が Azure 環境からデータを受信していることを確認します。

Azure コネクタのトラブルシューティング

コネクタに問題がある場合は、以下の一般的な問題と解決策を確認してください。

Security Hub がリソース識別子と検出結果識別子を処理する方法

AWS Security Hub の Azure 統合を有効にすると、他のクラウドプロバイダーから収集された対応するリソース設定とセキュリティ検出結果データの管理に関連するメタデータとして、他のクラウドプロバイダーのリソースおよびセキュリティ検出結果識別子が AWS Config、、Security Hub、およびその他の AWS サービス (必要に応じて) に保存されます。このような識別子は、「お客様のコンテンツ」を構成するものではありません。機密情報、機密情報、個人を特定できる情報は含めないでください。

接続されたクラウド環境の次の識別子は、マルチクラウドセキュリティ機能を提供するために AWS によって保存および使用されます。

これらの識別子間の関係 - リソースが互いにどのように関係しているか、検出結果がリソースにどのように関係しているか - は、サービスメタデータとしても保存されます。 は、リソースの相関、検出結果をリソースに関連付ける、サービスの運用ログ記録、重複排除のためにこれらの識別子 AWS を使用します。