背景
AWSのマルチアカウント構成はAWS Organizationsの機能を前提としたものが多いですが、ガバメントクラウドの環境では自治体のアカウントはAWS Organizationsのメンバーアカウントとして参加しており、Organizations管理アカウントの権限を持たないため、委任管理者としてのSecurity Hub統合管理などの管理機能が利用できません。しかし、実際はマルチアカウント構成となるため、運用上、一つのアカウントに情報を集約することが効率的な運用に繋がる場合があります。
内容
Security Hub CSPMの招待によるアカウント管理を使用すれば、集約アカウント側でSecurity Hub CSPMの情報を集約することが可能です。
集約アカウント側で招待を送付し、管理対象アカウント側で承認を行います。この構成を取る場合の管理上のメリットは下記の通りです。
1. 集約アカウント側のコンソールで一元管理可能
集約アカウント側のSecurity Hub CSPMのコンソールで、管理対象アカウントのFindingの確認も可能になります。AWS 基礎セキュリティのベストプラクティス v1.0.0などのコントロール基準を有効化していて、ワークフローステータスを変更するような運用を行う場合、各アカウントにログインしての作業が不要となります。
2. 通知の集約
通知に関しては、集約アカウント側のEventBridgeで検知してSNSで通知する構成となります。各アカウントでの通知の仕組みが不要となります。
手順
集約アカウント側
Security Hub CSPMコンソールの左側のナビゲーションメニューから設定をクリックします。管理対象のAWSアカウントIDを入力後、Inviteをクリックします。
管理対象アカウント側
同様にSecurity Hub CSPMコンソールの左側のナビゲーションメニューから設定をクリック後、招待の承認を行います。
補足
- 招待方式では、管理者アカウントあたり最大1,000のメンバーアカウントを管理可能です。
- 招待方式のメンバーアカウントには設定ポリシーが適用されないため、各メンバーアカウント・各リージョンで個別にSecurity Hub CSPMの設定を行う必要があります。