Amazon Simple Storage Service (S3)

Amazon Simple Storage Service (S3) について

Amazon S3 コネクタは、オブジェクトのペイロードを読み取ることなく、バケットの設定（ポリシー、暗号化、バージョニング、ログ記録、通知、パブリックアクセスブロック、および関連する設定）のインベントリを作成します。Iru は、お客様がご自身のアカウントで作成した IAM ロールを引き受けます（外部 ID を使用した sts:AssumeRole）。これにより、エビデンスは保存されたファイルの内容ではなく、バケットがどのように設定されているかに焦点を当てたものになります。

仕組み

Iru は独自の AWS アカウントで稼働しています。S3 バケットの設定（デフォルトではオブジェクトのペイロードは対象外）のインベントリを作成するには、IAM ロールを作成します。このロールの信頼ポリシーでは Iru の AWS プリンシパルを参照し、ウィザードに表示される External ID を必須とし、権限ポリシーではチームが承認したメタデータの読み取りのみを許可します。AmazonS3ReadOnlyAccess 単体ではなく、以下のインラインポリシーの使用を推奨します。マネージドポリシーには s3:GetObject が含まれており、多くのチームはメタデータのみの連携でこれを許可していません。そのロールの ARN を Iru に貼り付けます。

項目	値
カテゴリ	ストレージ
認証	クロスアカウント IAM ロール

参考資料: S3 ユーザーガイド、アクセス管理。

前提条件

ロールの作成とインラインポリシーのアタッチができる IAM 権限。
ご自身のコネクタに表示される最新のプリンシパルと外部 ID の組み合わせ（古いスクリーンショットに記載されたサンプル ID とは異なる場合があります）。

Amazon S3 を Iru に接続する

Iru Compliance
AWS

まずここから始めます。ソースウィザードを開き、信頼ポリシーをコピーします（外部 ID も控えておきます）。AWS でロールを作成する準備ができたら、AWS タブに切り替えて AWS で IAM ロールを作成するの手順に従います。Role ARN を取得したら、Iru Compliance タブに戻り、以下の Iru でロール ARN を送信するを完了します。

Iru から信頼ポリシーを取得する

ソースを開く

Iru Compliance の左側のナビゲーションバーで コンプライアンス を展開し、ソース を選択します。

左側のナビゲーション: Compliance を展開し、Sources を選択した状態

AWS S3 をオンにする

AWS S3 を探します（カテゴリ または 名前または説明で検索 を使用します）。そのカードのトグルをオンにします。Iru が外部サービスへのアクセスをリクエストしています ウィザードのタブは開いたままにしておきます。

信頼ポリシーの JSON をコピーする

ウィザードには、IAM ロールで使用する必要がある信頼ポリシーの JSON（Principal と sts:ExternalId）が表示されます。以下は構造の例です。アカウント、プリンシパル ARN、外部 ID が正確に一致するように、ウィザードに表示される最新の JSON をコピーしてください。

copy=false

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::753695775620:role/IruConnect"
      },
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "YOUR_EXTERNAL_ID"
        }
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

AWS に切り替えてロールを作成する

参照用に Iru ウィザードのタブを開いたまま、AWS タブに切り替えて AWS で IAM ロールを作成するの手順に従います。

Iru でロール ARN を送信する

新しいロールの Role ARN を取得するため、先に AWS タブ（AWS で IAM ロールを作成するまで）を完了してください。

IAM Role ARN を貼り付ける

Iru ウィザードのタブに戻ります。コネクタで求められる場所に Role ARN を貼り付けます。

接続を完了する

Submit Role を選択します。接続に成功すると、ウィザードに 接続が構成されました と表示されます。

ソースが有効であることを確認する

Iru が外部サービスへのアクセスをリクエストしています のブラウザタブを閉じてから コンプライアンス → ソース に戻り、AWS S3 カードが有効になっていることを確認します。

このロールを作成する前に、Iru Compliance タブの Iru から信頼ポリシーを取得するを完了してください。Trusted entity を設定する際は、最新のウィザードに表示される外部 ID と信頼ポリシーを使用します。

AWS で IAM ロールを作成する

ロール作成ワークフローを開始する

IAM → Roles → Create role を開きます。

信頼されたエンティティを設定する

AWS account → Another AWS account を選択します。753695775620（または Iru に表示される ID）を入力します。Require external ID を有効にし、Iru からコピーした値を貼り付けます。

範囲の広いマネージドポリシーをスキップする（任意）

次の手順でメタデータのみのインラインポリシーを使用する場合は、AmazonS3ReadOnlyAccess をアタッチせずにマネージドポリシーの選択画面を先に進みます。

メタデータのみのインラインポリシーを作成する

必要に応じて仮の名前でロールを作成し、ロール → アクセス許可 → Create inline policy → JSON エディタを開きます。次の内容を貼り付けます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets",
        "s3:GetBucketLocation",
        "s3:GetBucketPolicy",
        "s3:GetBucketPolicyStatus",
        "s3:GetBucketAcl",
        "s3:GetBucketVersioning",
        "s3:GetBucketTagging",
        "s3:GetBucketLogging",
        "s3:GetBucketNotification",
        "s3:GetBucketPublicAccessBlock",
        "s3:GetEncryptionConfiguration",
        "s3:GetLifecycleConfiguration",
        "s3:GetReplicationConfiguration",
        "s3:GetBucketCORS",
        "s3:GetBucketWebsite",
        "s3:GetBucketObjectLockConfiguration"
      ],
      "Resource": "*"
    }
  ]
}

インラインポリシーを保存します。

このポリシーは、Iru がオブジェクト本体を取得できないように、s3:GetObject および関連するオブジェクト読み取り API を意図的に除外しています。取得できるのはバケットレベルのメタデータのみです。

ロール ARN をコピーする

ロールの概要ページからロールの ARN をコピーします。Iru Compliance タブに戻り、Iru でロール ARN を送信するを完了します。

信頼関係を確認する

Trust relationships を開き、JSON がウィザードと一致していることを確認します。AssumeRole が失敗する原因は、通常、外部 ID の入力ミスです。

Iru Compliance タブに進み、Role ARN を貼り付けてウィザードを完了します（Iru でロール ARN を送信する）。

トラブルシューティング

ソースをオンにしても何も開かない

Iru サイトのポップアップブロッカーの設定を確認してから、もう一度お試しください。

AssumeRole が拒否される

外部 ID が一致していません。余分なスペースが入らないように、Iru からもう一度コピーしてください。

バケットポリシーの行が表示されない

IAM で許可されていても、バケットのリソースポリシーによってクロスアカウントの読み取りが拒否される場合があります。

暗号化設定が表示されない

s3:GetEncryptionConfiguration がインラインポリシーに残っていることを確認してください。

考慮事項

バケットはリージョン単位ですが、ListAllMyBuckets は…

バケットはリージョン単位ですが、ListAllMyBuckets はグローバルです。インベントリ作成時には、複数のリージョンへの追加の呼び出しが発生することを想定してください。

バケットポリシー内の明示的な Deny ステートメントは…

バケットポリシー内の明示的な拒否ステートメントは、IAM での許可に関係なく読み取りをブロックします。想定される動作を監査人向けに文書化しておいてください。

Sources の管理

すべての Compliance ソースを参照・管理します。

Compliance の利用を開始する

フレームワーク、アクション、アーティファクト。

Iru の概要

Endpoint、Compliance、Identity がどのように連携するか。

Artifacts の管理

ソースやアクションから得たエビデンスをアップロード、確認、整理します。

はじめに

アクション

フレームワーク

アーティファクト

ソース

ポリシー

トラストセンター

ワークフロー

Amazon Simple Storage Service (S3)