Amazon Inspector를 Microsoft Azure와 통합하기 위한 사전 조건

AWS 계정에 아웃바운드 자격 증명 연동을 위해 구성된 IAM 토큰 발급자 URL이 있어야 합니다. 이를 통해 Amazon Inspector는 수명이 짧은 토큰을 사용하여 Azure 환경에 안전하게 인증할 수 있습니다.

VM 스캔의 경우 발급자 URL 로 구성된 IAM OIDC 자격 증명 공급자도 있어야 합니다sts.windows.net/tenant-id/. 이 공급자를 사용하면 Azure VM의 Amazon Inspector VMs 스캐너 에이전트가를 AWS 사용하여에 다시 인증할 수 있습니다sts:AssumeRoleWithWebIdentity. 이 공급자가 없으면 VM 스캐너가 Amazon Inspector로 원격 측정을 전송할 수 없습니다.

다른 AWS 보안 서비스(예: AWS Security Hub CSPM 또는 AWS Security Hub CSPM CSPM)에 대해 아웃바운드 자격 증명 연동을 이미 구성한 경우 다시 구성할 필요가 없습니다. 자세한 내용은 IAM 사용 설명서의 ID 공급자 및 페더레이션 섹션을 참조하세요.

Azure 측에서 설정 스크립트는 AWS STS OIDC 발급자를 신뢰하는 페더레이션 자격 증명 자격 증명을 생성합니다. 수동으로 구성할 필요가 없습니다.

API는 커넥터 생성 중에 고객을 대신하여 Amazon Inspector 서비스 연결 역할을 생성합니다. 수동 SLR 프로비저닝은 필요하지 않습니다.

API를 통해 커넥터를 생성할 때는 커넥터 ARN이 필요합니다. Config 커넥터는 Azure 리소스 구성 변경 사항을 캡처합니다. 콘솔에서 기존 커넥터를 선택하거나 커넥터 생성 중에 새 커넥터를 생성할 수 있습니다.

커넥터를 생성하는 IAM 보안 주체(사용자 또는 역할)에는 다음 권한이 필요합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "config:GetConnector",
        "config:ListConnectors",
        "config:PutConnector",
        "inspector2:CreateConnector",
        "inspector2:DeleteConnector",
        "inspector2:ListConnectors",
        "inspector2:ListTagsForResource",
        "inspector2:TagResource",
        "inspector2:UntagResource",
        "inspector2:UpdateConnector"
      ],
      "Resource": "*"
    }
  ]
}

Microsoft Azure 상용 테넌트. Azure Government 및 Azure China는 지원되지 않습니다.

리소스 기록에는 Microsoft Entra ID 테넌트의 Microsoft Graph 감사 로그와 로그인 로그가 필요합니다. 일부 Microsoft Entra ID 로그에는 Microsoft Entra ID P1 또는 P2 라이선스가 필요합니다.

테넌트에 필요한 로그가 없는 경우 리소스 기록에서 부분적인 실패가 보고될 수 있습니다. 앱 등록 및 Azure 역할 할당은 누락된 로그 데이터를 제공하지 않습니다.

Azure를 구성하는 사람은 Azure 테넌트에 글로벌 관리자 역할이 있어야 합니다.

Azure CLI가 설치 및 인증되었습니다(az login).