Amazon Elastic Compute Cloud (EC2)

Amazon Elastic Compute Cloud (EC2) について

Amazon EC2 コネクタは、AWS アカウントからインスタンスのインベントリ、セキュリティグループ、VPC のトポロジー、AMI のメタデータ、および関連するコンピューティングの詳細を収集し、Iru Compliance のコントロールに添付できるようにします。Iru は、お客様のアカウントにお客様が作成した IAM ロールに sts:AssumeRole で切り替えて AWS API を呼び出します。このロールは Iru の AWS プリンシパルを信頼し、コネクタのウィザードに表示される外部 ID を必須とします。アクセスは読み取り専用であるため、Iru がこのソースを通じてインスタンスを起動、停止、終了することはありません。

仕組み

Iru は Iru の AWS アカウントで稼働しています。お客様のアカウントに、次の条件を満たすカスタマー管理の IAM ロールを作成します:

sts:ExternalId が Iru に表示される値と一致する場合にのみ、Iru のロール ARN(ウィザードに表示)を信頼する。
読み取り専用の EC2 および関連する呼び出しを許可する。通常は AmazonEC2ReadOnlyAccess を使用しますが、セキュリティチームが最小権限を求める場合は、より厳密なインラインポリシーを使用します。

ロールの ARN をコネクタに貼り付けます。その後、Iru はそのロールを引き受け、リージョンごとの EC2 データを読み取ります(Iru は有効なリージョンを順に確認します)。

項目	値
カテゴリ	開発者ツール
認証	クロスアカウント IAM ロール(`sts:AssumeRole` + 外部 ID)

参考資料: AmazonEC2ReadOnlyAccess、EC2 IAM。

前提条件

ロールを作成し、ポリシーをアタッチできる IAM 権限(例: IAMFullAccess またはより限定的な管理者ロール)。
お客様のテナントのコネクタ画面に表示される Iru のプリンシパル ARN と外部 ID(以下の例のサンプル値は、現在 Iru に表示される値と一致しない限り使用しないでください)。

Amazon EC2 を Iru に接続する

Iru Compliance
AWS

まずここから始めます。ソースのウィザードを開き、信頼ポリシーを確認します(外部 ID も控えておきます)。AWS でロールを作成する準備ができたら、AWS タブに切り替えて IAM ロールを作成するの手順に従います。Role ARN を取得したら、Iru Compliance タブに戻り、以下の Iru でロール ARN を送信するを完了します。

Iru から信頼ポリシーを取得する

ソースを開く

Iru Compliance の左側のナビゲーションバーで コンプライアンス を展開し、ソース を選択します。

左側のナビゲーション: Compliance を展開し、Sources を選択した状態

AWS Elastic Compute Cloud (EC2) をオンにする

AWS Elastic Compute Cloud (EC2) を探します(カテゴリ または 名前または説明で検索 を使用します)。そのカードのトグルをオンにします。Iru が外部サービスへのアクセスをリクエストしています のウィザードのタブは開いたままにしておきます。

信頼ポリシーの JSON を確認する

ウィザードはロール ARN の入力を求め、IAM ロールで使用する必要がある信頼ポリシー(Principal と sts:ExternalId)を表示します。以下は構造の例です。アカウント、プリンシパル ARN、外部 ID が正確に一致するように、ウィザードに表示される最新の JSON をコピーしてください。

copy=false

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::753695775620:role/IruConnect"
      },
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "YOUR_EXTERNAL_ID"
        }
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

AWS に切り替えてロールを作成する

参照用に Iru ウィザードのタブを開いたまま、AWS タブに切り替えて IAM ロールを作成するの手順に従います。

Iru でロール ARN を送信する

新しいロールの Role ARN を取得するため、先に AWS タブ(IAM ロールを作成するまで)を完了してください。

IAM Role ARN を貼り付ける

Iru ウィザードのタブに戻ります。Role ARN フィールドに Role ARN を貼り付けます。

接続を完了する

Submit Role を選択します。接続が成功すると、ウィザードに 接続が構成されました と表示されます。

ソースが有効であることを確認する

Iru が外部サービスへのアクセスをリクエストしています のブラウザタブを閉じてから、コンプライアンス → ソース に戻り、EC2 のカードが有効であることを確認します。

このロールを作成する前に、Iru Compliance タブの Iru から信頼ポリシーを取得するを完了してください。Trusted entity を設定する際は、最新のウィザードに表示される外部 ID と信頼ポリシーを使用します。

IAM ロールを作成する

ロール作成のワークフローを開始する

EC2 ワークロードを所有する AWS アカウントにサインインします。IAM → Roles → Create role を開きます。

信頼されたエンティティを設定する

AWS account → Another AWS account を選択します。Iru の AWS アカウント ID(ウィザードに別の値が表示されない限り 753695775620)を入力します。Require external ID を有効にし、Iru のウィザードからコピーした外部 ID を貼り付けます。

EC2 の読み取り権限をアタッチする

アクセス許可 で AmazonEC2ReadOnlyAccess をアタッチします。セキュリティチームがマネージドポリシーを使用しない場合は、代わりに以下の JSON を使用したインラインポリシーをアタッチします。この JSON は最小権限の代替案の例です。チームのレビュー後に、アクションを絞り込むか拡張してください。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:Describe*",
        "ec2:Get*",
        "elasticloadbalancing:Describe*",
        "cloudwatch:ListMetrics",
        "cloudwatch:GetMetricStatistics",
        "cloudwatch:Describe*",
        "autoscaling:Describe*"
      ],
      "Resource": "*"
    }
  ]
}

ロールに名前を付けて ARN をコピーする

ウィザードを完了し、ロールに名前を付けます(例: IruEC2ReadOnly)。新しいロールを開き、概要ページの上部から Role ARN をコピーします。Iru Compliance タブに戻り、Iru でロール ARN を送信するを完了します。

信頼ポリシーを確認する

ロールの Trust relationships タブを開き、JSON が Iru に表示された内容と一致していることを確認します。外部 ID の入力ミスは、AssumeRole での AccessDenied の最も一般的な原因です。

Iru Compliance タブに進み、Role ARN を貼り付けてウィザードを完了します(Iru でロール ARN を送信する)。

トラブルシューティング

ソースをオンにしても何も開かない

Iru サイトのポップアップブロッカーの設定を確認してから、再試行してください。

AssumeRole で AccessDenied になる

信頼ポリシーの外部 ID とプリンシパルが、Iru のウィザードと 1 文字ずつ完全に一致していることを確認してください。

インベントリが空になる

ロールがインスタンスと同じアカウントにあること、および想定しているリージョンにインスタンスが存在することを確認してください。

セキュリティグループ / VPC のデータがない

ec2:Describe* がカバーされていることを確認してください(マネージドポリシーにはすでに含まれています)。カスタムポリシーには、対応する Describe* アクションが必要です。

考慮事項

EC2 API はリージョン単位のため、初回の同期に時間がかかる場合がある…

EC2 API はリージョン単位であるため、多数のリージョンにまたがる場合は初回の同期に時間がかかることがあります。

AmazonEC2ReadOnlyAccess は関連する ELB と…もカバーする

AmazonEC2ReadOnlyAccess は、より全体的な状況を把握できるよう、関連する ELB と Auto Scaling の読み取りもカバーします。

このインテグレーションはインスタンスを変更しない…

このインテグレーションがインスタンスを変更することはなく、情報の取得(describe)のみを行います。

ソース管理

すべての Compliance ソースを参照して管理します。

コンプライアンスの開始

フレームワーク、アクション、アーティファクト。

Iru の概要

Endpoint、Compliance、Identity がどのように連携するか。

アーティファクト管理

ソースとアクションからの証跡のアップロード、確認、整理。

はじめに

アクション

フレームワーク

アーティファクト

ソース

ポリシー

トラストセンター

ワークフロー

Amazon Elastic Compute Cloud (EC2)