AWS Key Management Service (KMS)

AWS Key Management Service (KMS) について

AWS Key Management Service コネクタは、キーのメタデータ、エイリアス、ポリシー、グラント、タグ、ローテーションのステータスを収集し、キーがどのように管理されているかをコントロールで証明できるようにします。Iru は外部 ID を使用した sts:AssumeRole を使用します。以下の推奨インラインポリシーは、kms:Decrypt やその他の暗号データ操作を含みません（メタデータのみ）。

仕組み

Iru は独自の AWS アカウントで稼働しています。お客様のアカウントの KMS キーのメタデータを読み取るには、sts:AssumeRole の信頼関係（ウィザードの External ID）と、インベントリに適した読み取り専用の kms: 権限を持つ IAM ロールを作成します（書き込み系の機能を含むポリシーは避けてください）。そのロールの ARN を Iru に貼り付けます。このユースケースでは AWSKeyManagementServicePowerUser を使用しないでください。書き込み系の機能が含まれています。ウィザードの手順にある明示的なインライン JSON または以下のテンプレートを使用してください。

項目	値
カテゴリ	セキュリティ
認証	クロスアカウント IAM ロール

参考資料: KMS デベロッパーガイド、KMS の IAM ポリシー。

前提条件

ロールを公開するための IAM 管理者権限。
コネクタに表示される最新の文字列（プリンシパル、外部 ID）。

AWS KMS を Iru に接続する

Iru Compliance
AWS

まずここから始めます。ソースウィザードを開き、信頼ポリシーをコピーします（外部 ID も控えておきます）。AWS でロールを作成する準備ができたら、AWS タブに切り替えて AWS で IAM ロールを作成するの手順に従います。Role ARN を取得したら、Iru Compliance タブに戻り、以下の Iru でロール ARN を送信するを完了します。

Iru から信頼ポリシーを取得する

ソースを開く

Iru Compliance の左側のナビゲーションバーで コンプライアンス を展開し、ソース を選択します。

左側のナビゲーション: Compliance を展開し、Sources を選択した状態

AWS KMS をオンにする

AWS KMS を探します（カテゴリ または 名前または説明で検索 を使用します）。そのカードのトグルをオンにします。Iru が外部サービスへのアクセスをリクエストしています ウィザードのタブは開いたままにしておきます。

信頼ポリシーの JSON をコピーする

ウィザードには、IAM ロールで使用する必要がある信頼ポリシーの JSON（Principal と sts:ExternalId）が表示されます。以下は構造の例です。アカウント、プリンシパル ARN、外部 ID が正確に一致するように、ウィザードに表示される最新の JSON をコピーしてください。

copy=false

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::753695775620:role/IruConnect"
      },
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "YOUR_EXTERNAL_ID"
        }
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

AWS に切り替えてロールを作成する

参照用に Iru ウィザードのタブを開いたまま、AWS タブに切り替えて AWS で IAM ロールを作成するの手順に従います。

Iru でロール ARN を送信する

新しいロールの Role ARN を取得するため、先に AWS タブ（AWS で IAM ロールを作成するまで）を完了してください。

IAM Role ARN を貼り付ける

Iru ウィザードのタブに戻ります。コネクタで求められる場所に Role ARN を貼り付けます。

接続を完了する

Submit Role を選択します。接続に成功すると、ウィザードに 接続が構成されました と表示されます。

ソースが有効であることを確認する

Iru が外部サービスへのアクセスをリクエストしています のブラウザタブを閉じてから コンプライアンス → ソース に戻り、AWS KMS カードが有効になっていることを確認します。

このロールを作成する前に、Iru Compliance タブの Iru から信頼ポリシーを取得するを完了してください。Trusted entity を設定する際は、最新のウィザードに表示される外部 ID と信頼ポリシーを使用します。

AWS で IAM ロールを作成する

ロール作成ワークフローを開始する

IAM → Roles → Create role を開きます。

信頼されたエンティティを設定する

AWS account → Another AWS account を選択します。753695775620 を入力します（ウィザードに別の ID が表示されている場合はその ID を入力します）。Require external ID を有効にし、Iru からコピーした外部 ID を貼り付けます。

範囲の広いマネージドポリシーをスキップする

AWSKeyManagementServicePowerUser やその他の範囲の広い KMS の書き込み可能なポリシーをアタッチせずに先に進みます。

メタデータのみのインラインポリシーをアタッチする

次のインラインポリシーを追加します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:ListKeys",
        "kms:ListAliases",
        "kms:DescribeKey",
        "kms:GetKeyPolicy",
        "kms:GetKeyRotationStatus",
        "kms:ListGrants",
        "kms:ListKeyPolicies",
        "kms:ListResourceTags"
      ],
      "Resource": "*"
    }
  ]
}

kms:Decrypt、kms:Encrypt、GenerateDataKey は含まれていません。Iru がお客様のキーを使用して暗号文を処理することはできません。

ロールに名前を付けて ARN をコピーする

ロールに名前を付けて作成し、Role ARN をコピーします。Iru Compliance タブに戻り、Iru でロール ARN を送信するを完了します。

Iru Compliance タブに進み、Role ARN を貼り付けてウィザードを完了します（Iru でロール ARN を送信する）。

トラブルシューティング

ソースをオンにしても何も開かない

Iru サイトのポップアップブロッカーの設定を確認してから、もう一度お試しください。

AssumeRole が拒否される

外部 ID の不一致を修正してください。

CMK の詳細が不十分

個々のキーのリソースポリシーによって DescribeKey が拒否されている可能性があります。監査人が完全な可視性を求める場合は、キーポリシーを調整してください。

AWS マネージドキー

常に一覧に表示されますが、カスタマー管理のキーに比べて詳細を確認できない場合があります。これは AWS の仕様による想定どおりの動作です。

考慮事項

キーはリージョン単位で、インベントリは有効なリージョン全体を対象とします。

キーはリージョン単位です。インベントリは有効なリージョン全体を対象とします。

API メタデータのみで動作し、キーマテリアルは…

API メタデータのみで動作します。このコネクタからの復号呼び出しによってキーマテリアルが KMS の外部に出ることはありません。

Sources の管理

すべての Compliance ソースを参照・管理します。

Compliance の利用を開始する

フレームワーク、アクション、アーティファクト。

Iru の概要

Endpoint、Compliance、Identity がどのように連携するか。

Artifacts の管理

ソースやアクションから得たエビデンスをアップロード、確認、整理します。

はじめに

アクション

フレームワーク

アーティファクト

ソース

ポリシー

トラストセンター

ワークフロー

AWS Key Management Service (KMS)