Amazon Inspector와 통합하도록 Microsoft Azure 구성

Azure 설정 프로세스는 Amazon Inspector가 리소스 변경 알림을 인증하고 수신할 수 있도록 Azure 환경을 구성합니다. Amazon Inspector는 커넥터 생성 중에 사용자 지정 설정 스크립트를 생성합니다. 스크립트는 다음 단계를 수행합니다.

설정 스크립트가 수행하는 작업

설정 스크립트는 일련의 작업을 수행합니다. 다음 섹션에서는 스크립트가 수행하는 각 작업에 대해 설명합니다. 조직에서 스크립트 실행을 제한하는 경우이 주제를 지침으로 사용하여 이러한 작업을 수동으로 수행할 수 있습니다.

1단계: Azure 애플리케이션 등록

에 새 애플리케이션을 등록합니다Microsoft Entra ID. 이 애플리케이션은가 연합 자격 증명을 사용하여 Azure 환경에 인증하는 데 AWS 사용하는 자격 증명 역할을 합니다. 클라이언트 보안 암호는 필요하지 않습니다.

$ az ad app create --display-name "AWSSecurityHubIntegration"

출력의 애플리케이션(클라이언트) ID(appId속성)를 기록해 둡니다. Amazon Inspector 콘솔에서 커넥터를 생성할 때이 값을 제공합니다.

2단계: 서비스 보안 주체 생성

등록된 애플리케이션에 대한 서비스 보안 주체를 생성합니다. Azure 역할 할당을 사용하여 서비스 보안 주체에 권한을 부여합니다. 서비스 보안 주체는 Azure 환경에서 작업을 수행합니다.

$ az ad sp create --id application-client-id

여기서 application-client-id는 이전 단계의 애플리케이션(클라이언트) ID입니다.

3단계: 페더레이션 자격 증명 구성

가 클라이언트 보안 암호 없이 인증할 AWS 수 있도록 애플리케이션에서 페더레이션 자격 증명을 구성합니다. 이렇게 하면와 Azure 간에 AWS OIDC 신뢰가 설정됩니다. 수명이 긴 보안 암호 또는 자격 증명은 저장되지 않습니다.

$ az ad app federated-credential create \
  --id application-client-id \
  --parameters '{
    "name": "AWSConfigFederation",
    "issuer": "token-issuer-url",
    "subject": "arn:aws:iam::account-id:role/aws-service-role/thirdparty.config.amazonaws.com/AWSServiceRoleForConfigThirdParty",
    "audiences": ["api://AzureADTokenExchange"],
    "description": "Federation for AWS Config third-party cloud resource discovery"
  }'

키 값:

4단계: 리더 역할 할당

테넌트 루트 관리 그룹 범위에서 서비스 보안 주체에 리더 역할을 할당합니다. 이렇게 하면 테넌트의 모든 구독에서 모든 Azure 리소스에 대한 읽기 전용 액세스 권한이 부여됩니다.

$ az role assignment create \
  --assignee application-client-id \
  --role "Reader" \
  --scope "/providers/Microsoft.Management/managementGroups/tenant-id"

5단계: Microsoft Graph API 권한 구성

Directory.Read.All, AuditLog.Read.All및 애플리케이션에 필요한 Microsoft Graph API 권한(애플리케이션 유형)을 부여합니다Policy.Read.All. 그런 다음 관리자 동의를 부여합니다.

6단계: Azure Event Hub 설정

AWS Config 는 Azure Event Hub를 사용하여 Azure 환경의 리소스 구성 변경 사항에 대한 알림을 거의 실시간으로 수신합니다. 설정 스크립트는 Event Hub 인프라를 생성하고 검색을 위해 태그를 지정합니다.

$ az group create \
  --name "aws-securityhub-integration" \
  --location event-hub-region

$ az eventhubs namespace create \
  --resource-group "aws-securityhub-integration" \
  --name "aws-securityhub-account-id" \
  --location event-hub-region \
  --sku Standard

$ az eventhubs eventhub create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --name "activitylog" \
  --message-retention 1 \
  --partition-count 4

$ az eventhubs eventhub consumer-group create \
  --resource-group "aws-securityhub-integration" \
  --namespace-name "aws-securityhub-account-id" \
  --eventhub-name "activitylog" \
  --name "AWSConfig"

Event Hub를 생성한 후 검색할 네임스페이스에 태그를 지정하고 데이터 수신자 역할을 할당합니다.

$ az tag create \
  --resource-id namespace-resource-id \
  --tags "AWSConfig-account-id-region=activitylog"

$ az role assignment create \
  --assignee application-client-id \
  --role "Azure Event Hubs Data Receiver" \
  --scope namespace-resource-id

주요 구성:

7단계: 활동 로그 및 Entra ID 감사 로그 내보내기 구성

활동 로그 및 Entra ID 감사 로그를 Event Hub로 내보내도록 Azure를 구성합니다.

활동 로그 내보내기:

각 구독에 대한 진단 설정을 구성하여 활동 로그를 Event Hub로 내보냅니다. 설정 스크립트는 모니터링되는 모든 구독에 대해 이를 자동으로 구성합니다. 활동 로그는 역할 할당 및 리소스 변경을 포함한 구독 수준 활동을 캡처합니다.

Entra ID 감사 로그 내보내기:

감사 로그를 동일한 Event Hub로 내보내Microsoft Entra ID도록에서 진단 설정을 구성합니다. Microsoft Entra ID > 모니터링 > 진단 설정 > 진단 설정 추가로 이동합니다. AuditLogs를 활성화하고 Event Hub로 라우팅합니다.

설정 스크립트 실행

Azure 설정 스크립트를 실행하려면: