翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Security Hub チケット統合の KMS キーポリシー

Security Hub チケット統合でカスタマーマネージド KMS キーを使用する場合、Security Hub がキーとやり取りできるようにするには、KMS キーにポリシーを追加する必要があります。さらに、Security Hub コネクタにキーを追加するプリンシパルがキーにアクセスできるようにするポリシーを追加する必要があります。

Security Hub アクセス許可ポリシー

次のポリシーは、Security Hub が Jira および ServiceNow コネクタに関連付けられている KMS キーにアクセスして使用するために必要なアクセス許可の概要を示しています。このポリシーは、Security Hub コネクタに関連付けられている各 KMS キーに追加する必要があります。

ポリシーには、次のアクセス許可が含まれています。

{
    "Sid": "Allow Security Hub access to the customer managed key",
    "Effect": "Allow",
    "Principal": {
        "Service": "connector.securityhub.amazonaws.com"
    },
    "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt",
        "kms:ReEncrypt*"
    ],
    "Resource": "*",
    "Condition": {
        "ArnLike": {
            "aws:SourceArn": "arn:aws:securityhub:Region:AccountId:connectorv2/*"
        },
        "StringLike": {
            "kms:EncryptionContext:aws:securityhub:connectorV2Arn": "arn:aws:securityhub:Region:AccountId:connectorv2/*",
            "kms:EncryptionContext:aws:securityhub:providerName": "CloudProviderName"
        }
    }
},
{
    "Sid": "Allow Security Hub read access to the customer managed key",
    "Effect": "Allow",
    "Principal": {
        "Service": "connector.securityhub.amazonaws.com"
    },
    "Action": [
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "ArnLike": {
            "aws:SourceArn": "arn:aws:securityhub:Region:AccountId:connectorv2/*"
        }
    }
}
        

ポリシーの例で次の値を置き換えて、ポリシーを編集します。

Security Hub オペレーションの IAM プリンシパルアクセス

Security Hub コネクタにカスタマーマネージド KMS キーを割り当てるプリンシパルには、コネクタに追加するキーのキーオペレーション (エイリアスの説明、生成、復号、再暗号化、一覧表示) を実行するアクセス許可が必要です。これは、 CreateConnectorV2および CreateTicketV2 APIsに適用されます。次のポリシーステートメントは、これらの APIs とやり取りするプリンシパルのポリシーの一部として含める必要があります。

{
    "Sid": "Allow permissions to access key through Security Hub",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::AccountId:role/RoleName"
    },
    "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt",
        "kms:ReEncrypt*"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": [
                "securityhub.Region.amazonaws.com"
            ]
        },
        "StringLike": {
            "kms:EncryptionContext:aws:securityhub:providerName": "CloudProviderName"
        }
    }
},
{
    "Sid": "Allow read permissions to access key through Security Hub",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::AccountId:role/RoleName"
    },
    "Action": [
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": [
                "securityhub.Region.amazonaws.com"
            ]
        }
    }
}
        

ポリシーの例で次の値を置き換えて、ポリシーを編集します。