将亚马逊检查器与微软 Azure 集成的先决条件

您的 AWS 账户必须为出站身份联合身份验证配置一个 IAM 代币发行者 URL。这使 Amazon Inspector 能够使用短期令牌安全地向你的 Azure 环境进行身份验证。

要进行虚拟机扫描，您还必须使用发行者 URL 配置一个 IAM OIDC 身份提供商。sts.windows.net/tenant-id/该提供商使您的 Azure 虚拟机上的 Amazon Inspector 虚拟机扫描器代理能够重新进行身份验证，然后 AWS 使用sts:AssumeRoleWithWebIdentity。如果没有这个提供商，虚拟机扫描器就无法向亚马逊检查器发送遥测数据。

如果您已经为其他 AWS 安全服务（例如 AWS Security Hub CSPM 或 AWS Security Hub CSPM CSPM）配置了出站身份联合，则无需再次对其进行配置。有关更多信息，请参阅 IAM 用户指南中的身份提供者和联合身份验证。

在 Azure 端，安装脚本创建信任 AWS STS OIDC 颁发者的联合身份凭证。您无需手动进行配置。

在连接器创建期间，API 代表客户创建与服务相关的亚马逊检查员角色。无需手动配置 SLR。

通过 API 创建连接器时，需要连接器 ARN。配置连接器捕获 Azure 资源配置更改。在控制台中，您可以选择现有连接器，也可以在连接器创建期间创建新连接器。

创建连接器的 IAM 委托人（用户或角色）需要以下权限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "config:GetConnector",
        "config:ListConnectors",
        "config:PutConnector",
        "inspector2:CreateConnector",
        "inspector2:DeleteConnector",
        "inspector2:ListConnectors",
        "inspector2:ListTagsForResource",
        "inspector2:TagResource",
        "inspector2:UntagResource",
        "inspector2:UpdateConnector"
      ],
      "Resource": "*"
    }
  ]
}

微软 Azure 商业租户。不支持 Azure 政府和 Azure 中国。

资源记录需要Microsoft Entra ID租户的Microsoft Graph审核日志和登录日志。有些Microsoft Entra ID日志需要 Microsoft Entra ID P1 或 P2 许可。

如果租户缺少所需的日志，资源记录可能会报告部分故障。应用程序注册和 Azure 角色分配不提供缺失的日志数据。

配置 Azure 的人员必须在 Azure 租户中具有全局管理员角色。

Azure CLI 已安装并通过身份验证 (az login)。