AWS Lambda について
AWS Lambda コネクタは、関数の呼び出しやデプロイパッケージのダウンロードを行わずに、リージョン全体の関数の設定、レイヤー、イベントソースマッピング、同時実行の設定、および関連するメタデータを収集します。Iru は、ウィザードの外部 ID で保護された状態で、お客様が作成したロールにsts:AssumeRole を使用して切り替えます。
仕組み
Iru は独自の AWS アカウントで稼働しています。お客様のアカウントの Lambda の設定を読み取るには、Iru のプリンシパルを信頼し（sts:AssumeRole + ウィザードの External ID）、読み取り専用の lambda: 権限を持つ IAM ロールを作成します。そのロールの ARN を Iru に貼り付けます。
Iru のプリンシパルを信頼する IAM ロールを作成して AWSLambda_ReadOnlyAccess をアタッチするか、セキュリティチームが最小権限を求める場合は、以下の範囲を限定したインラインポリシーを使用します。
参考資料: AWSLambda_ReadOnlyAccess、Lambda のセキュリティ。
前提条件
- ロールの作成とポリシーのアタッチができる IAM 権限。
- ご自身の最新のコネクタからコピーしたプリンシパルと外部 ID の値（アカウント
753695775620などのサンプルはテナントごとに異なる場合があります）。
AWS Lambda を Iru に接続する
- Iru Compliance
- AWS
まずここから始めます。ソースウィザードを開き、信頼ポリシーをコピーします（外部 ID も控えておきます）。AWS でロールを作成する準備ができたら、AWS タブに切り替えて AWS で IAM ロールを作成するの手順に従います。Role ARN を取得したら、Iru Compliance タブに戻り、以下の Iru でロール ARN を送信するを完了します。
Iru から信頼ポリシーを取得する
1
ソースを開く
Iru Compliance の左側のナビゲーションバーで コンプライアンス を展開し、ソース を選択します。
2
AWS Lambda をオンにする
AWS Lambda を探します（カテゴリ または 名前または説明で検索 を使用します）。そのカードのトグルをオンにします。ウィザードのタブは開いたままにしておきます。
3
信頼ポリシーの JSON をコピーする
ウィザードには、IAM ロールで使用する必要がある信頼ポリシーの JSON（Principal と sts:ExternalId）が表示されます。以下は構造の例です。アカウント、プリンシパル ARN、外部 ID が正確に一致するように、ウィザードに表示される最新の JSON をコピーしてください。
copy=false
4
AWS に切り替えてロールを作成する
参照用に Iru ウィザードのタブを開いたまま、AWS タブに切り替えて AWS で IAM ロールを作成するの手順に従います。
Iru でロール ARN を送信する
新しいロールの Role ARN を取得するため、先に AWS タブ（AWS で IAM ロールを作成するまで）を完了してください。
1
IAM Role ARN を貼り付ける
Iru ウィザードのタブに戻ります。コネクタで求められる場所に Role ARN を貼り付けます。
2
接続を完了する
Submit Role を選択します。接続に成功すると、ウィザードに 接続が構成されました と表示されます。
3
ソースが有効であることを確認する
Iru が外部サービスへのアクセスをリクエストしています のブラウザタブを閉じてから コンプライアンス → ソース に戻り、AWS Lambda カードが 有効 になっていることを確認します。
トラブルシューティング
ソースをオンにしても何も開かない
ソースをオンにしても何も開かない
Iru サイトのポップアップブロッカーの設定を確認してから、もう一度お試しください。
AssumeRole が拒否される
AssumeRole が拒否される
外部 ID またはプリンシパルが一致していません。Iru からもう一度コピーしてください。
リージョンの一覧が空になる
リージョンの一覧が空になる
有効なリージョンに関数が存在すること、およびロールが正しいアカウントを対象としていることを確認してください。
暗号化された環境変数の内容が見えない
暗号化された環境変数の内容が見えない
読み取り専用 API では暗号文の詳細が公開されない場合がありますが、メタデータによって設定の存在は引き続き証明できます。
考慮事項
Lambda はリージョン単位のため、初回のスキャンではすべての有効な…
Lambda はリージョン単位です。初回のスキャンでは、すべての有効なリージョンを順に確認します。
Iru は関数を呼び出したり ZIP を展開したり…
Iru は関数を呼び出したり、ZIP アーティファクトを展開したりすることはありません。設定のエビデンスのみを収集します。
関連記事
Sources の管理
すべての Compliance ソースを参照・管理します。
Compliance の利用を開始する
フレームワーク、アクション、アーティファクト。
Iru の概要
Endpoint、Compliance、Identity がどのように連携するか。
Artifacts の管理
ソースやアクションから得たエビデンスをアップロード、確認、整理します。