Amazon Elastic Container Service (ECS)

Amazon Elastic Container Service (ECS) について

Amazon ECS コネクタは、コンプライアンスの証跡として、クラスター、サービス、タスク、タスク定義、コンテナインスタンスのメタデータを収集します。AWS は、このパターン専用の ECS 読み取り専用マネージドポリシーを提供していません。クラウドチームが同等のものを用意していない限り、以下の ecs:Describe* / ecs:List* のインライン JSON を使用してください。

仕組み

Iru は独自の AWS アカウントで稼働しています。お客様のアカウントの Amazon ECS のコントロールプレーンのメタデータを読み取るには、sts:AssumeRole の信頼(ウィザードの External ID)と読み取り専用の ecs: 権限を持つ IAM ロールを作成します。ロールの ARN を Iru に貼り付けます。 Iru に対する標準の sts:AssumeRole の信頼と、ECS のコントロールプレーンの読み取りをカバーするインライン権限を使用します。

項目	値
カテゴリ	開発者ツール
認証	クロスアカウント IAM ロール

前提条件

ロールとインラインポリシーを作成できる IAM 権限。
すぐに結果を得たい場合は、少なくとも 1 つの ECS クラスター。

AWS ECS を Iru に接続する

Iru Compliance
AWS

まずここから始めます。ソースのウィザードを開き、信頼ポリシーをコピーします(外部 ID も控えておきます)。AWS でロールを作成する準備ができたら、AWS タブに切り替えて AWS で IAM ロールを作成するの手順に従います。Role ARN を取得したら、Iru Compliance タブに戻り、以下の Iru でロール ARN を送信するを完了します。

Iru から信頼ポリシーを取得する

ソースを開く

Iru Compliance の左側のナビゲーションバーで コンプライアンス を展開し、ソース を選択します。

左側のナビゲーション: Compliance を展開し、Sources を選択した状態

AWS ECS をオンにする

AWS ECS を探します(カテゴリ または 名前または説明で検索 を使用します)。そのカードのトグルをオンにします。Iru が外部サービスへのアクセスをリクエストしています のウィザードのタブは開いたままにしておきます。

信頼ポリシーの JSON をコピーする

ウィザードには、IAM ロールで使用する必要がある信頼ポリシーの JSON(Principal と sts:ExternalId)が表示されます。以下は構造の例です。アカウント、プリンシパル ARN、外部 ID が正確に一致するように、ウィザードに表示される最新の JSON をコピーしてください。

copy=false

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::753695775620:role/IruConnect"
      },
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "YOUR_EXTERNAL_ID"
        }
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

AWS に切り替えてロールを作成する

参照用に Iru ウィザードのタブを開いたまま、AWS タブに切り替えて AWS で IAM ロールを作成するの手順に従います。

Iru でロール ARN を送信する

新しいロールの Role ARN を取得するため、先に AWS タブ(AWS で IAM ロールを作成するまで)を完了してください。

IAM Role ARN を貼り付ける

Iru ウィザードのタブに戻ります。コネクタで求められる場所に Role ARN を貼り付けます。

接続を完了する

Submit Role を選択します。接続が成功すると、ウィザードに 接続が構成されました と表示されます。

ソースが有効であることを確認する

Iru が外部サービスへのアクセスをリクエストしています のブラウザタブを閉じてから、コンプライアンス → ソース に戻り、AWS ECS のカードが有効であることを確認します。

このロールを作成する前に、Iru Compliance タブの Iru から信頼ポリシーを取得するを完了してください。Trusted entity を設定する際は、最新のウィザードに表示される外部 ID と信頼ポリシーを使用します。

AWS で IAM ロールを作成する

ロール作成のワークフローを開始する

IAM → Roles → Create role を開きます。

信頼されたエンティティを設定する

AWS account → Another AWS account を選択します。753695775620(または Iru に表示される ID)を入力します。Require external ID を有効にし、Iru からコピーした外部 ID を貼り付けます。

ECS の読み取りインラインポリシーをアタッチする

次のインラインポリシーを追加します:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecs:Describe*",
        "ecs:List*"
      ],
      "Resource": "*"
    }
  ]
}

ロールに名前を付けて ARN をコピーする

ロールに名前を付けて作成し、Role ARN をコピーします。Iru Compliance タブに戻り、Iru でロール ARN を送信するを完了します。

Iru Compliance タブに進み、Role ARN を貼り付けてウィザードを完了します(Iru でロール ARN を送信する)。

トラブルシューティング

ソースをオンにしても何も開かない

Iru サイトのポップアップブロッカーの設定を確認してから、再試行してください。

AssumeRole が拒否される

外部 ID が一致していません。

サービスが表示されない

スキャン対象のリージョンにクラスターが存在すること、およびインラインポリシーが実際にアタッチされていることを確認してください。

考慮事項

ECS API が対象で、内部のワークロードのログは対象外…

対象は ECS API であり、タスク内のワークロードのログは含まれません。監査で実行時の証拠が必要な場合は、ログ記録のソースと組み合わせてください。

ソース管理

すべての Compliance ソースを参照して管理します。

コンプライアンスの開始

フレームワーク、アクション、アーティファクト。

Iru の概要

Endpoint、Compliance、Identity がどのように連携するか。

アーティファクト管理

ソースとアクションからの証跡のアップロード、確認、整理。

はじめに

アクション

フレームワーク

アーティファクト

ソース

ポリシー

トラストセンター

ワークフロー

Amazon Elastic Container Service (ECS)