AWS Shield ネットワークセキュリティディレクターのアイデンティティベースのポリシー例 - AWS WAF、AWS Firewall Manager、AWS Shield Advanced、および AWS Shield ネットワークセキュリティディレクター
ポリシーに関するベストプラクティスアイデンティティベースのポリシーの更新管理アクセスアイデンティティベースのポリシー読み取り専用アクセスアイデンティティベースのポリシー

AWS WAF の新しいコンソールエクスペリエンスのご紹介

更新されたエクスペリエンスを使用して、コンソールの任意の場所で AWS WAF 機能にアクセスできるようになりました。詳細については、「更新されたコンソールエクスペリエンスを使用する」を参照してください。

AWS Shield ネットワークセキュリティディレクターのアイデンティティベースのポリシー例

注記

AWS Shield ネットワークセキュリティディレクターの使用を開始すると、すべての最小アクセス許可要件を満たすサービスにリンクされたロールが自動的に作成されます。独自のアイデンティティベースのポリシーの作成と管理はオプションです。

ネットワークセキュリティディレクターに適切なアクセスを提供するために、管理アクセスと読み取り専用アクセスに必要なアクセス許可を付与するアイデンティティベースのポリシーを作成できます。

IAM ポリシーの作成と管理の詳細については、「IAM ユーザーガイド」の「マネージドポリシーとインラインポリシー」を参照してください。

これらのアクセス許可により、AWS Shield ネットワークセキュリティディレクターは包括的なセキュリティ分析を実行し、正確なネットワークセキュリティの推奨事項を提供できます。このガイドで提供されるポリシーの例は、一般的なユースケース向けに設計されています。これらのポリシーを出発点として使用し、特定の要件を満たすように必要に応じて変更することができます。

このガイドのポリシーの例

ポリシーに関するベストプラクティス

ID ベースのポリシーは、あるユーザーがアカウント内でネットワークセキュリティディレクターリソースを作成、アクセス、または削除できるどうかを決定します。これらのアクションでは、AWS アカウントに費用が発生する場合があります。アイデンティティベースポリシーを作成したり編集したりする際には、以下のガイドラインと推奨事項に従ってください:

  • AWS マネージドポリシーを使用して開始し、最小特権の許可に移行する – ユーザーとワークロードへの許可の付与を開始するには、多くの一般的なユースケースのために許可を付与する AWS マネージドポリシーを使用します。これらは AWS アカウントで使用できます。ユースケースに固有の AWS カスタマー管理ポリシーを定義して、アクセス許可を絞り込むことをお勧めします。詳細については、「IAM ユーザーガイド」の「AWS マネージドポリシー」または「ジョブ機能の AWS マネージドポリシー」を参照してください。

  • 最小特権を適用する – IAM ポリシーで許可を設定する場合は、タスクの実行に必要な許可のみを付与します。これを行うには、特定の条件下で特定のリソースに対して実行できるアクションを定義します。これは、最小特権アクセス許可とも呼ばれています。IAM を使用して許可を適用する方法の詳細については、「IAM ユーザーガイド」の「IAM でのポリシーとアクセス許可」を参照してください。

  • IAM ポリシーで条件を使用してアクセスをさらに制限する - ポリシーに条件を追加して、アクションやリソースへのアクセスを制限できます。例えば、ポリシー条件を記述して、すべてのリクエストを SSL を使用して送信するように指定できます。また、CloudFormation などの特定の AWS のサービス を介して使用する場合、条件を使用してサービスアクションへのアクセスを許可することもできます。詳細については、「IAM ユーザーガイド」の「IAM JSON ポリシー要素:条件」を参照してください。

  • IAM Access Analyzer を使用して IAM ポリシーを検証し、安全で機能的な権限を確保する - IAM Access Analyzer は、新規および既存のポリシーを検証して、ポリシーが IAM ポリシー言語 (JSON) および IAM のベストプラクティスに準拠するようにします。IAM アクセスアナライザーは 100 を超えるポリシーチェックと実用的な推奨事項を提供し、安全で機能的なポリシーの作成をサポートします。詳細については、「IAM ユーザーガイド」の「IAM Access Analyzer でポリシーを検証する」を参照してください。

  • 多要素認証 (MFA) を要求する – AWS アカウントで IAM ユーザーまたはルートユーザーを要求するシナリオがある場合は、セキュリティを強化するために MFA をオンにします。API オペレーションが呼び出されるときに MFA を必須にするには、ポリシーに MFA 条件を追加します。詳細については、「IAM ユーザーガイド」の「MFA を使用した安全な API アクセス」を参照してください。

IAM でのベストプラクティスの詳細については、「IAM ユーザーガイド」の「IAM でのセキュリティのベストプラクティス」を参照してください。

アイデンティティベースのポリシーの更新

ネットワークセキュリティディレクターに更新と機能が追加されると、追加のアクセス許可を含めるようにアイデンティティベースのポリシーを更新する必要がある場合があります。このガイドでは、必要となる可能性がある新しいアクセス許可について説明します。

AWS 管理ポリシーとは異なり、カスタマー管理ポリシーは自動的に更新されません。必要に応じて、お客様はこれらのポリシーを維持および更新する責任があります。

詳細については、「IAM ユーザーガイド」の「ユーザーへのアクセス許可の追加」を参照してください。

管理アクセスアイデンティティベースのポリシー

次の例を使用してアイデンティティベースのポリシーを作成し、ネットワークセキュリティディレクターオペレーションへのフル管理アクセスと、必要なサービスにリンクされたロールを作成する機能を提供します。

ポリシー名: NetworkSecurityDirectorAdminPolicy

ポリシーの説明: AWS Shield ネットワークセキュリティディレクターオペレーションへのフル管理アクセスを許可し、ネットワークセキュリティディレクターのサービスにリンクされたロールを作成または削除するためのアクセスも提供します。

JSON

 {
   "Version":"2012-10-17",		 	 	 
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "network-security-director:*"
       ],
       "Resource": "*"
     },
     {
       "Effect": "Allow",
       "Action": [
         "iam:CreateServiceLinkedRole"
       ],
       "Resource": "arn:aws:iam::*:role/aws-service-role/network-security-director.amazonaws.com/AWSServiceRoleForNetworkSecurityDirector"
     }
   ]
 }

読み取り専用アクセスアイデンティティベースのポリシー

次のポリシー例を使用してアイデンティティベースのポリシーを作成して、ネットワークセキュリティディレクターオペレーションへの読み取り専用アクセスを提供します。

ポリシー名: NetworkSecurityDirectorReadOnlyPolicy

ポリシーの説明: AWS Shield ネットワークセキュリティディレクターへの読み取り専用アクセスを許可します。

JSON

 {
   "Version":"2012-10-17",		 	 	 
   "Statement": [
     {
       "Effect": "Allow",
       "Action": [
         "network-security-director:Get*",
         "network-security-director:List*"
       ],
       "Resource": "*"
     }
   ]
 }