AWS Security Hub について
AWS Security Hub は、有効なリージョン全体の検出結果とコンプライアンス態勢を集約します。エビデンスを取得するリージョンでは Security Hub を有効にしておく必要があります。Iru はクロスアカウント IAM ロールを引き受け、securityhub: のメタデータ API を読み取ります。
仕組み
Iru は独自の AWS アカウントで稼働しています。お客様のアカウントの Security Hub の検出結果と設定を読み取るには、信頼ポリシー（sts:AssumeRole + ウィザードの External ID）と読み取り専用の securityhub: 権限を持つ IAM ロールを作成します。その後、そのロールの ARN を Iru に貼り付けます。
AWSSecurityHubReadOnlyAccess をアタッチするか、次のポリシーを使用します。
前提条件
- IAM 管理者権限。
- レビュー対象の各リージョンで Security Hub が有効になっていること。
AWS Security Hub を Iru に接続する
- Iru Compliance
- AWS
まずここから始めます。ソースウィザードを開き、信頼ポリシーをコピーします（外部 ID も控えておきます）。AWS でロールを作成する準備ができたら、AWS タブに切り替えて AWS で IAM ロールを作成するの手順に従います。Role ARN を取得したら、Iru Compliance タブに戻り、以下の Iru でロール ARN を送信するを完了します。
Iru から信頼ポリシーを取得する
1
ソースを開く
Iru Compliance の左側のナビゲーションバーで コンプライアンス を展開し、ソース を選択します。
2
AWS Security Hub をオンにする
AWS Security Hub を探します（カテゴリ または 名前または説明で検索 を使用します）。そのカードのトグルをオンにします。Iru が外部サービスへのアクセスをリクエストしています ウィザードのタブは開いたままにしておきます。
3
信頼ポリシーの JSON をコピーする
ウィザードに表示されているとおりに信頼ポリシーをコピーします。以下の JSON は、ロールの Trust policy エディタで IAM が想定する形式（
Version と Statement を含む完全なドキュメント）の例です。プリンシパルと外部 ID が異なる場合は、必ず最新のウィザードに表示される値を使用してください。copy=false
4
AWS に切り替えてロールを作成する
参照用に Iru ウィザードのタブを開いたまま、AWS タブに切り替えて AWS で IAM ロールを作成するの手順に従います。
Iru でロール ARN を送信する
新しいロールの Role ARN を取得するため、先に AWS タブ（AWS で IAM ロールを作成するまで）を完了してください。
1
IAM Role ARN を貼り付ける
Iru に戻ります。ウィザードで求められる場所で、コネクタに Role ARN を貼り付けます。
2
接続を完了する
Submit Role を選択します。接続に成功すると、ウィザードに 接続が構成されました と表示されます。
3
ソースが有効であることを確認する
Iru が外部サービスへのアクセスをリクエストしています のブラウザタブを閉じてから コンプライアンス → ソース に戻り、AWS Security Hub カードが 有効 になっていることを確認します。
トラブルシューティング
ソースをオンにしても何も開かない
ソースをオンにしても何も開かない
Iru サイトのポップアップブロッカーの設定を確認してから、もう一度お試しください。
リージョンが空になる
リージョンが空になる
まず、そのリージョンで Security Hub を有効にしてください。
AssumeRole が拒否される
AssumeRole が拒否される
外部 ID が一致していません。
関連記事
Sources の管理
すべての Compliance ソースを参照・管理します。
Compliance の利用を開始する
フレームワーク、アクション、アーティファクト。
Iru の概要
Endpoint、Compliance、Identity がどのように連携するか。
Artifacts の管理
ソースやアクションから得たエビデンスをアップロード、確認、整理します。