この記事では、Amazon Macie の機能を検証するための AWS CLI コマンドを解説します。Amazon Macie は、AWS 上のデータを自動的に検出、分類、保護するサービスであり、機密情報を特定し、データ漏洩リスクを軽減するのに役立ちます。

前提条件

AWS CLI がインストールされていること。
AWS アカウントが作成済みで、適切な権限が付与されていること。
Macie を使用するためのリージョンが有効化されていること。

Macie の有効化

まずはじめに、以下のコマンドで Macie を有効化します。

aws macie2 enable-macie --region <your-region>

このコマンドは、指定したリージョンで Amazon Macie を有効化します。

S3 バケットの作成と Macie が検出するデータを含むオブジェクトのアップロード

このセクションでは、S3 バケットを作成し、Macie が検出するデータを含むオブジェクトをアップロードする手順と AWS CLI コマンドを説明します。

1. S3 バケットの作成

以下のコマンドで S3 バケットを作成します。

aws s3api create-bucket \
 --bucket <your-bucket-name> \
 --region <your-region> \
 --create-bucket-configuration LocationConstraint=<your-region>

このコマンドは、指定したリージョンに S3 バケットを作成します。

2. Macie が検出するデータを含むオブジェクトを作成

機密データを含むテキストファイル（例：sample-data.txt）を作成します。この例では、クレジットカード番号を含むデータを使用します。

John Doe, 4111 1111 1111 1111, 08/23, 123
Jane Smith, 5500 0000 0000 0004, 10/24, 456

このファイルには、架空の人物の名前、クレジットカード番号、有効期限、およびセキュリティコードが含まれています。Macie は、これらの情報を検出することができます。

3. オブジェクトを S3 バケットにアップロード

以下のコマンドで作成したテキストファイルを S3 バケットにアップロードします。

aws s3 cp sample-data.txt s3://<your-bucket-name>/path/to/sample-data.txt --region <your-region>

このコマンドは、sample-data.txt ファイルを指定した S3 バケットの path/to ディレクトリにアップロードします。

これで、S3 バケットが作成され、Macie が検出するデータを含むオブジェクトがアップロードされました。

分類ジョブの作成

次に、以下のコマンドで分類ジョブを作成します。

aws macie2 create-classification-job \
 --region <your-region> \
 --job-type ONE_TIME \
 --s3-job-definition '{ "bucketDefinitions": [ { "accountId": "<your-aws-account-id>", "buckets": ["<your-bucket-name>"] } ] }' \
 --name <job-name>

このコマンドは、指定した S3 バケットに対して一度だけ実行される分類ジョブを作成します。

分類ジョブの一覧表示

以下のコマンドで分類ジョブの一覧を表示します。

aws macie2 list-classification-jobs --region <your-region>

このコマンドは、現在のリージョンで作成された分類ジョブの一覧を表示します。

分類ジョブの詳細情報の取得

以下のコマンドで特定の分類ジョブの詳細情報を取得します。

aws macie2 describe-classification-job --region <your-region> --job-id <job-id>

このコマンドは、指定したジョブ ID の分類ジョブの詳細情報を表示します。

調査結果一覧を表示する

以下のコマンドで、Amazon Macie の調査結果一覧を表示できます。

aws macie2 list-findings --region <your-region>

このコマンドは、指定したリージョンで生成された調査結果の一覧を表示します。各調査結果の詳細情報にアクセスするには、この一覧から取得した調査結果 ID を使って、get-findings コマンドを実行してください。

Macie の調査結果を分析する

このセクションでは、Amazon Macie の調査結果を分析するための AWS CLI コマンドを説明します。

調査結果を取得する

以下のコマンドで、特定の分類ジョブの調査結果を取得します。

aws macie2 get-findings --region <your-region> --finding-ids <finding-id>

カスタムデータ識別子を使用する方法とコマンド

このセクションでは、カスタムデータ識別子を使用する方法と AWS CLI コマンドを説明します。

1. カスタムデータ識別子の作成

以下のコマンドでカスタムデータ識別子を作成します。

aws macie2 create-custom-data-identifier \
 --name <custom-data-identifier-name> \
 --regex <regular-expression> \
 --region <your-region>

このコマンドは、指定した正規表現を使用してカスタムデータ識別子を作成します。これにより、Macie が特定のパターンに基づいて機密データを検出できるようになります。

2. 分類ジョブにカスタムデータ識別子を適用する

以下のコマンドで、カスタムデータ識別子を適用した分類ジョブを作成します。

aws macie2 create-classification-job \
 --region <your-region> \
 --job-type ONE_TIME \
 --s3-job-definition '{ "bucketDefinitions": [ { "accountId": "<your-aws-account-id>", "buckets": ["<your-bucket-name>"] } ] }' \
 --name <job-name> \
 --custom-data-identifier-ids <custom-data-identifier-id>

このコマンドは、指定した S3 バケットに対して一度だけ実行される分類ジョブを作成し、カスタムデータ識別子を適用します。これにより、Macie がカスタムデータ識別子に基づいて機密データを検出できるようになります。

これで、カスタムデータ識別子を使用して、Amazon Macie の機能をさらに活用することができます。適切な正規表現を設定し、カスタムデータ識別子を分類ジョブに適用することで、独自の機密データの検出ルールを実現できます。

カスタムデータ識別子の一覧表示

以下のコマンドでカスタムデータ識別子の一覧を表示します。

aws macie2 list-custom-data-identifiers --region <your-region>

このコマンドは、現在のリージョンで作成されたカスタムデータ識別子の一覧を表示します。

カスタムデータ識別子の詳細情報の取得

aws macie2 get-custom-data-identifier --id <custom-data-identifier-id> --region <your-region>

このコマンドは、指定したカスタムデータ識別子 ID の詳細情報を表示します。

Amazon Macie の無効化

最後に、以下のコマンドで Macie を無効化します。

aws macie2 disable-macie --region <your-region>

このコマンドは、指定したリージョンで Amazon Macie を無効化します。

まとめ

この記事では、Amazon Macieの機能を検証するためのAWS CLIコマンドについて説明しました。Macieを有効化し、分類ジョブを実行し、調査結果を分析し、カスタムデータ識別子を使用する方法について説明しました。

これらの手順とコマンドを適切に使用することで、Amazon Macieを効果的に活用して、組織内のデータセキュリティを向上させ、AWS環境内の機密情報の検出に役立てることが出来ます。この記事が、Amazon Macieの活用に役立つ情報を提供し、データ保護の強化に貢献できることを願っています。