Amazon DynamoDB について
Amazon DynamoDB コネクタは、コンプライアンスのマッピングのために、テーブル、キャパシティの設定、インデックス、および関連リソースのインベントリを作成します。Iru はお客様のアカウント内の IAM ロールを(sts:AssumeRole + 外部 ID)で引き受けます。項目のペイロードを証跡として一括エクスポートすることはありません。対象は設定とインベントリの API に限られます。
仕組み
Iru は独自の AWS アカウントで稼働しています。お客様のアカウントの DynamoDB のテーブルとインデックスのメタデータを読み取るには、sts:AssumeRole の信頼(ウィザードの External ID)と、インベントリに適した読み取り専用の dynamodb: 権限(該当するアクションを追加しない限り、項目の一括エクスポートは含まない)を持つ IAM ロールを作成します。ロールの ARN を Iru に貼り付けます。
AmazonDynamoDBReadOnlyAccess を使用するか、アクションを明示したい場合は以下のインラインポリシーを使用します(マネージドポリシーのセットに含まれる PartiQLSelect / Query / Scan の読み取りパスを含みます。セキュリティレビューに合わせて調整してください)。
参考資料: AmazonDynamoDBReadOnlyAccess、Security and IAM。
前提条件
- ロールとインラインポリシーを作成できる IAM 権限。
- Iru から取得したコネクタのプリンシパルと外部 ID。
AWS DynamoDB を Iru に接続する
- Iru Compliance
- AWS
まずここから始めます。ソースのウィザードを開き、信頼ポリシーをコピーします(外部 ID も控えておきます)。AWS でロールを作成する準備ができたら、AWS タブに切り替えて AWS で IAM ロールを作成するの手順に従います。Role ARN を取得したら、Iru Compliance タブに戻り、以下の Iru でロール ARN を送信するを完了します。
Iru から信頼ポリシーを取得する
1
ソースを開く
Iru Compliance の左側のナビゲーションバーで コンプライアンス を展開し、ソース を選択します。
2
AWS DynamoDB をオンにする
AWS DynamoDB を探します(カテゴリ または 名前または説明で検索 を使用します)。そのカードのトグルをオンにします。Iru が外部サービスへのアクセスをリクエストしています のウィザードのタブは開いたままにしておきます。
3
信頼ポリシーの JSON をコピーする
ウィザードには、IAM ロールで使用する必要がある信頼ポリシーの JSON(Principal と sts:ExternalId)が表示されます。以下は構造の例です。アカウント、プリンシパル ARN、外部 ID が正確に一致するように、ウィザードに表示される最新の JSON をコピーしてください。
copy=false
4
AWS に切り替えてロールを作成する
参照用に Iru ウィザードのタブを開いたまま、AWS タブに切り替えて AWS で IAM ロールを作成するの手順に従います。
Iru でロール ARN を送信する
新しいロールの Role ARN を取得するため、先に AWS タブ(AWS で IAM ロールを作成するまで)を完了してください。
1
IAM Role ARN を貼り付ける
Iru ウィザードのタブに戻ります。コネクタで求められる場所に Role ARN を貼り付けます。
2
接続を完了する
Submit Role を選択します。接続が成功すると、ウィザードに 接続が構成されました と表示されます。
3
ソースが有効であることを確認する
Iru が外部サービスへのアクセスをリクエストしています のブラウザタブを閉じてから、コンプライアンス → ソース に戻り、AWS DynamoDB のカードが 有効 であることを確認します。
トラブルシューティング
ソースをオンにしても何も開かない
ソースをオンにしても何も開かない
Iru サイトのポップアップブロッカーの設定を確認してから、再試行してください。
AssumeRole が拒否される
AssumeRole が拒否される
外部 ID が一致していません。
リージョンの欠落
リージョンの欠落
テーブルは特定のリージョンに存在します。ロールのアカウントがアセットの所有者と一致していることを確認してください。
DAX
DAX
マネージドポリシーには DAX の読み取りが含まれます。カスタムポリシーでは
dax:Describe* / dax:List* が必要になる場合があります。考慮事項
グローバルテーブルと関連リソースはレプリカのリージョンごとに表示される場合がある
グローバルテーブルと関連リソースは、レプリカのリージョンごとに表示される場合があります。
IAM の範囲を監査に本当に必要なものに限定する…
IAM の範囲は監査に本当に必要なものに限定してください。ポリシーを絞り込むことで、データプレーンの意図しない読み取りを減らせます。
関連記事
ソース管理
すべての Compliance ソースを参照して管理します。
コンプライアンスの開始
フレームワーク、アクション、アーティファクト。
Iru の概要
Endpoint、Compliance、Identity がどのように連携するか。
アーティファクト管理
ソースとアクションからの証跡のアップロード、確認、整理。