> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.
# AWS Key Management Service (KMS)
> クロスアカウント IAM ロールを使用して AWS KMS を Iru Compliance に接続し、復号権限なしでキーのインベントリ、ローテーションのステータス、グラントのメタデータを収集します。
### AWS Key Management Service (KMS) について
**AWS Key Management Service** コネクタは、**キーのメタデータ**、**エイリアス**、**ポリシー**、**グラント**、**タグ**、**ローテーションのステータス**を収集し、キーがどのように管理されているかをコントロールで証明できるようにします。Iru は**外部 ID** を使用した **`sts:AssumeRole`** を使用します。以下の推奨インラインポリシーは、**`kms:Decrypt`** やその他の暗号データ操作を含みません（メタデータのみ）。
### 仕組み
Iru は独自の AWS アカウントで稼働しています。お客様のアカウントの **KMS** キーのメタデータを読み取るには、**`sts:AssumeRole`** の信頼関係（ウィザードの **External ID**）と、インベントリに適した読み取り専用の **`kms:`** 権限を持つ **IAM ロール**を作成します（書き込み系の機能を含むポリシーは避けてください）。そのロールの **ARN** を Iru に貼り付けます。
このユースケースでは **`AWSKeyManagementServicePowerUser`** を使用しないでください。書き込み系の機能が含まれています。ウィザードの手順にある明示的なインライン JSON または以下のテンプレートを使用してください。
| 項目 | 値 |
| - | - |
| **カテゴリ** | セキュリティ |
| **認証** | クロスアカウント IAM ロール |
参考資料: [KMS デベロッパーガイド](https://docs.aws.amazon.com/kms/latest/developerguide/)、[KMS の IAM ポリシー](https://docs.aws.amazon.com/kms/latest/developerguide/iam-policies.html)。
### 前提条件
* ロールを公開するための IAM 管理者権限。
* コネクタに表示される最新の文字列（**プリンシパル**、**外部 ID**）。
### AWS KMS を Iru に接続する
まずここから始めます。ソースウィザードを開き、**信頼ポリシー**をコピーします（**外部 ID** も控えておきます）。AWS でロールを作成する準備ができたら、[**AWS**](#aws) タブに切り替えて [**AWS で IAM ロールを作成する**](#create-the-iam-role-in-aws)の手順に従います。**Role ARN** を取得したら、[**Iru Compliance**](#iru-compliance) タブに戻り、以下の [**Iru でロール ARN を送信する**](#submit-the-role-arn-in-iru)を完了します。
#### Iru から信頼ポリシーを取得する
Iru Compliance の左側のナビゲーションバーで **コンプライアンス** を展開し、**ソース** を選択します。
**AWS KMS** を探します（**カテゴリ** または **名前または説明で検索** を使用します）。そのカードの**トグル**をオンにします。**Iru が外部サービスへのアクセスをリクエストしています** ウィザードのタブは開いたままにしておきます。
ウィザードには、IAM ロールで使用する必要がある**信頼ポリシー**の JSON（**Principal** と **sts:ExternalId**）が表示されます。以下は構造の**例**です。アカウント、プリンシパル ARN、外部 ID が正確に一致するように、**ウィザードに表示される最新の JSON をコピーしてください**。
```json copy=false lines theme={null}
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::753695775620:role/IruConnect"
},
"Condition": {
"StringEquals": {
"sts:ExternalId": "YOUR_EXTERNAL_ID"
}
},
"Action": "sts:AssumeRole"
}
]
}
```
参照用に Iru ウィザードのタブを開いたまま、[**AWS**](#aws) タブに切り替えて [**AWS で IAM ロールを作成する**](#create-the-iam-role-in-aws)の手順に従います。
#### Iru でロール ARN を送信する
新しいロールの **Role ARN** を取得するため、先に [**AWS**](#aws) タブ（[**AWS で IAM ロールを作成する**](#create-the-iam-role-in-aws)まで）を完了してください。
Iru ウィザードのタブに戻ります。コネクタで求められる場所に **Role ARN** を貼り付けます。
**Submit Role** を選択します。接続に成功すると、ウィザードに **接続が構成されました** と表示されます。
**Iru が外部サービスへのアクセスをリクエストしています** のブラウザタブを閉じてから **コンプライアンス** → **ソース** に戻り、**AWS KMS** カードが **有効** になっていることを確認します。
このロールを作成する前に、[**Iru Compliance**](#iru-compliance) タブの [**Iru から信頼ポリシーを取得する**](#get-the-trust-policy-from-iru)を完了してください。**Trusted entity** を設定する際は、最新のウィザードに表示される**外部 ID** と信頼ポリシーを使用します。
#### AWS で IAM ロールを作成する
**IAM** → **Roles** → **Create role** を開きます。
**AWS account** → **Another AWS account** を選択します。**`753695775620`** を入力します（ウィザードに別の ID が表示されている場合はその ID を入力します）。**Require external ID** を有効にし、Iru からコピーした外部 ID を貼り付けます。
**`AWSKeyManagementServicePowerUser`** やその他の範囲の広い KMS の書き込み可能なポリシーをアタッチせずに先に進みます。
次の**インラインポリシー**を追加します。
```json lines theme={null}
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"kms:ListKeys",
"kms:ListAliases",
"kms:DescribeKey",
"kms:GetKeyPolicy",
"kms:GetKeyRotationStatus",
"kms:ListGrants",
"kms:ListKeyPolicies",
"kms:ListResourceTags"
],
"Resource": "*"
}
]
}
```
**`kms:Decrypt`**、**`kms:Encrypt`**、**`GenerateDataKey`** は含まれていません。Iru がお客様のキーを使用して暗号文を処理することはできません。
ロールに名前を付けて作成し、**Role ARN** をコピーします。[**Iru Compliance**](#iru-compliance) タブに戻り、[**Iru でロール ARN を送信する**](#submit-the-role-arn-in-iru)を完了します。
[**Iru Compliance**](#iru-compliance) タブに進み、**Role ARN** を貼り付けてウィザードを完了します（[**Iru でロール ARN を送信する**](#submit-the-role-arn-in-iru)）。
### トラブルシューティング
Iru サイトの**ポップアップブロッカー**の設定を確認してから、もう一度お試しください。
外部 ID の不一致を修正してください。
個々のキーのリソースポリシーによって **`DescribeKey`** が拒否されている可能性があります。監査人が完全な可視性を求める場合は、キーポリシーを調整してください。
常に一覧に表示されますが、カスタマー管理のキーに比べて詳細を確認できない場合があります。これは AWS の仕様による想定どおりの動作です。
### 考慮事項
キーは**リージョン単位**です。インベントリは有効なリージョン全体を対象とします。
**API メタデータ**のみで動作します。このコネクタからの復号呼び出しによってキーマテリアルが KMS の外部に出ることはありません。
### 関連記事
すべての Compliance ソースを参照・管理します。
フレームワーク、アクション、**アーティファクト**。
Endpoint、Compliance、Identity がどのように連携するか。
ソースやアクションから得たエビデンスをアップロード、確認、整理します。