Microsoft Azure와 통합되도록 Amazon Inspector 구성

Azure 환경을 구성한 후 Amazon Inspector에서 커넥터를 생성하여 Azure 리소스의 취약성 스캔을 시작합니다.

Azure 커넥터를 생성하려면

관리형 Amazon Inspector VM 스캐너 배포

VM 스캔을 활성화한 경우 Amazon Inspector는 Amazon EC2 Systems Manager Automation을 사용하여 Azure VM에 Amazon Inspector VM 스캐너 에이전트를 배포하고 관리합니다 VMs. 관리형 배포 사용:

Amazon Inspector는 Amazon EC2 Systems Manager Automation을 사용하여 에이전트를 배포하고 관리합니다.

VM 스캔을 활성화하려면 계정에 다음 IAM 리소스를 생성해야 합니다.

IAM OIDC 자격 증명 공급자

다음 구성으로에 대한 IAM OIDC 자격 증명 공급자Microsoft Entra ID를 생성합니다.

Inspector2VmScannerRole-tenant-id

Azure VM에서 실행되는 Amazon Inspector VMs 스캐너 에이전트가 스캔 원격 측정을 Amazon Inspector로 전송하는 데 사용됩니다. 이 역할은 자격 증명 공급자를 통해 OIDC 웹 Microsoft Entra ID 자격 증명 페더레이션을 사용합니다.

신뢰 정책:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::account-id:oidc-provider/sts.windows.net/tenant-id/"
            },
            "Action": "sts:AssumeRoleWithWebIdentity"
        }
    ]
}

권한 정책(TelemetryPolicy):

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "inspector2-telemetry:*",
            "Resource": "*"
        }
    ]
}

태그:

Inspector2SSMFederationRole-tenant-id

안전한 클라우드 간 인증을 위해 Azure에 대한 OIDC 페더레이션을 활성화합니다. 이 역할은 AssumeRole 및 DispatchRole과 Amazon EC2 Systems Manager가 Azure 작업에 대한 웹 자격 증명 토큰을 얻기 위해 수임합니다.

신뢰 정책:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account-id:root"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalTag/caller": "SSM"
                },
                "ArnLike": {
                    "aws:PrincipalArn": [
                        "arn:aws:iam::account-id:role/Inspector2SSMAssumeRole-tenant-id",
                        "arn:aws:iam::account-id:role/Inspector2SSMDispatchRole-tenant-id"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

권한 정책(FederationPolicy):

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "sts:IdentityTokenAudience": [
                        "api://AzureADTokenExchange"
                    ]
                }
            },
            "Action": [
                "sts:GetWebIdentityToken",
                "sts:TagGetWebIdentityToken"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

태그:

Inspector2SSMAssumeRole-tenant-id

Amazon EC2 Systems Manager Automation을 실행하여 Azure VMs 관리형 인스턴스로 온보딩합니다. 이 역할은 하이브리드 활성화를 생성 및 관리하고, Amazon EC2 Systems Manager에 역할을 전달하고, 자동화 문서를 검색합니다.

신뢰 정책:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                }
            }
        }
    ]
}

권한 정책(AssumeRolePolicy):

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::account-id:role/Inspector2SSMFederationRole-tenant-id"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::account-id:role/AmazonEC2RunCommandRoleForManagedInstances",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:CreateActivation",
                "ssm:DeleteActivation",
                "ssm:DescribeActivations",
                "ssm:DescribeInstanceInformation",
                "ssm:PutConfigurePackageResult",
                "iam:ListRoleTags"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:AddTagsToResource",
            "Resource": [
                "arn:aws:ssm:*:account-id:activation/*",
                "arn:aws:ssm:*:account-id:managed-instance/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "ssm:GetDocument",
            "Resource": [
                "arn:aws:ssm:*:*:document/AWS-InstallDistributorPackageOnAzure",
                "arn:aws:ssm:*:*:document/AWS-InstallSsmAgentOnAzure",
                "arn:aws:ssm:*::document/AmazonInspector2-InspectorVmScanner"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "ssm:GetCloudConnector",
            "Resource": "*"
        }
    ]
}

태그:

Inspector2SSMDispatchRole-tenant-id

Azure VM 대상을 해결하고 Amazon EC2 Systems Manager Automation을 통해 Amazon Inspector VM 스캐너 에이전트 설치를 디스패치합니다. Amazon EC2 Systems Manager 이 역할은 자동화 실행을 시작하고 AssumeRole을 Amazon EC2 Systems Manager에 전달합니다.

신뢰 정책:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ssm.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                }
            }
        }
    ]
}

권한 정책(DispatchPolicy):

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::account-id:role/Inspector2SSMAssumeRole-tenant-id",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ssm.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "ssm:StartAutomationExecution",
            "Resource": [
                "arn:aws:ssm:*:*:document/AWS-InstallDistributorPackageOnAzure",
                "arn:aws:ssm:*:account-id:automation-execution/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::account-id:role/Inspector2SSMFederationRole-tenant-id"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeInstanceInformation",
                "ssm:ListCloudConnectors",
                "ssm:GetCloudConnector",
                "iam:ListRoleTags"
            ],
            "Resource": "*"
        }
    ]
}

태그:

Azure 앱 등록에는 애플리케이션 ID URI가 로 설정되어 있어야 합니다api://app-id.

각 대상 Azure VM에는 시스템에서 할당한 관리형 ID가 활성화되어 있어야 합니다. 새 VMs에 관리형 자격 증명을 자동으로 할당하려면 Azure 환경에서 DeployIfNotExists 정책을 사용합니다.

Amazon Inspector VM 스캐너 에이전트에 대한 자세한 내용은 섹션을 참조하세요Amazon Inspector VM 스캐너.

또는 Amazon Inspector VM 스캐너 에이전트를 수동으로 설치할 수 있습니다. 여러 Azure VMs에서 대규모로 수동 설치하려면 Azure VM 사용자 지정 확장을 사용합니다. 지침은 Amazon Inspector VM 스캐너 섹션을 참조하세요.

특정 Azure VMs 스캔에서 제외하려면 VM에 다음 태그를 적용합니다.

커넥터 범위 조정

커넥터를 생성한 후 모니터링하는 Azure 구독 또는 Azure 리전을 변경하여 범위를 조정할 수 있습니다. 범위를 조정하면 대부분의 변경 사항이 약 15분 이내에 적용됩니다.

범위를 조정하기 전에 다음 사항에 유의하세요.

커넥터 확인

커넥터를 생성한 후 Amazon Inspector는 Azure 리소스를 검색하고 스캔하기 시작합니다. 초기 결과 집합이 나타나는 데 최대 24시간이 걸릴 수 있습니다. 커넥터가 작동하는지 확인하려면:

문제 해결

커넥터 상태에 오류가 표시되거나 24시간 후에도 리소스가 표시되지 않으면 다음을 검토합니다.

Amazon Inspector가 리소스 식별자를 처리하는 방법

Amazon Inspector용 Azure 통합을 활성화하면 다른 클라우드 공급자의 리소스 식별자가 다른 클라우드 공급자로부터 수집된 해당 리소스 구성 데이터의 관리와 관련된 메타데이터로 AWS Config Amazon Inspector 및 기타 AWS 서비스(필요한 경우)에 저장됩니다. 이러한 리소스 식별자는 사용자의 콘텐츠를 구성하지 않으므로 민감한 정보, 기밀 정보 또는 개인 식별 정보를 포함하지 않는 것이 좋습니다.

연결된 클라우드 환경의 다음 식별자는에서 멀티클라우드 보안 기능을 제공하기 AWS 위해 저장 및 사용됩니다.

리소스가 서로 연관되는 방식과 조사 결과가 리소스와 연관되는 방식을 포함하여 이러한 식별자 간의 관계는 서비스 메타데이터로도 저장됩니다.는 조사 결과를 리소스, 서비스 운영 로깅 및 중복 제거에 연결하여 리소스 상관 관계를 위해 이러한 식별자를 AWS 사용합니다.