大規模な企業が AWS Organizations で複数の AWS アカウントを運用しています。セキュリティチームは、S3 バケット・IAM ロール・KMS キー・Lambda 関数などのリソースポリシーに、組織外のプ

Question

大規模な企業が AWS Organizations で複数の AWS アカウントを運用しています。セキュリティチームは、S3 バケット・IAM ロール・KMS キー・Lambda 関数などのリソースポリシーに、組織外のプリンシパルへの意図しないアクセス許可が含まれていないか継続的に検出する仕組みを求めています。新たなリソースが作成・変更されるたびに自動検出し、最小の運用負荷で実現する方法はどれですか。

Accepted Answer

正解: IAM Access Analyzer でオーガニゼーション全体をゾーンオブトラストとする分析器を作成し、外部エンティティからアクセス可能なリソースの所見を EventBridge 経由で通知する。IAM Access Analyzer はリソースポリシーを継続的に分析し、AWS Organizations または AWS アカウントをゾーンオブトラストとして設定することで、信頼ゾーン外のプリンシパル（外部アカウント・インターネット・フェデレーションユーザー等）からアクセス可能なリソースを自動的に所見として報告します。対象は S3・IAM ロール・KMS・Lambda・SQS・SNS など複数のリソースタイプを横断してカバーし、リソース作成・変更時にリアルタイムで分析されます。所見は EventBridge ルールを通じて SNS や Lambda 等に通知可能なため、最小の運用負荷で継続監視を実現できます。

選択肢Aの Amazon Macie は S3 バケット内の機密データ分類を主目的とするサービスで、IAM ロール・KMS キー・Lambda 関数のポリシー分析は対象外。
選択肢Bの AWS Config のマネージドルールは個別リソースの特定属性チェックに留まり、組織外プリンシパルへの意図しないアクセスを網羅的にポリシー解析する機能はない。
選択肢Dの CloudTrail データイベントはアクセスが発生した後にのみ検出できる事後対応の手法であり、設定ミスをプロアクティブに発見するには不向きで、クエリ作成・維持の運用負荷も高い。

Answer

Amazon Macie を全アカウントで有効化し、S3 バケットのアクセス許可ポリシーを定期スキャンして Security Hub に所見を集約する — Amazon Macie は S3 バケット内の機密データを検出・分類するサービスであり、IAM ロール・KMS キー・Lambda 関数などのリソースポリシーを解析して外部アクセスを特定する機能はない。組織横断の外部アクセス許可の継続検出には対応していない。

Answer

AWS Config のマネージドルール s3-bucket-public-access-prohibited と iam-no-inline-policy-check を Organizations 全体に展開し、非準拠リソースを検出する — AWS Config のマネージドルールは個別リソースの設定属性をチェックするが、リソースポリシー全体を解析して外部プリンシパルへの許可を特定する機能はなく、IAM ロールや Lambda を含む複数リソースタイプへの包括的なアクセス分析には不十分。

Answer

CloudTrail データイベントを全アカウントで有効化し、CloudWatch Logs Insights で組織外のプリンシパルによるアクセスをクエリで検出する — CloudTrail データイベントは実際にアクセスが発生した後にのみ検出できる事後対応手法。設定ミスをプロアクティブに検知するには不向きで、Logs Insights クエリの作成・維持に継続的な運用負荷がかかる。

解説

解説