AWS Audit Managerは新規顧客に公開されなくなりました。既存のお客様は、通常どおりサービスを引き続き使用できます。詳細については、「AWS Audit Manager 可用性の変更」を参照してください。
翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
AWSの 管理ポリシーAWS Audit Manager
AWS管理ポリシーは、 によって作成および管理されるスタンドアロンポリシーですAWS。 AWS管理ポリシーは、ユーザー、グループ、ロールにアクセス許可の割り当てを開始できるように、多くの一般的なユースケースにアクセス許可を提供するように設計されています。
AWS管理ポリシーは、すべてのAWSお客様が使用できるため、特定のユースケースに対して最小特権のアクセス許可を付与しない場合があることに注意してください。ユースケースに固有のカスタマー管理ポリシーを定義して、アクセス許可を絞り込むことをお勧めします。
AWS管理ポリシーで定義されているアクセス許可は変更できません。がAWS マネージドポリシーで定義されたアクセス許可AWSを更新すると、ポリシーがアタッチされているすべてのプリンシパル ID (ユーザー、グループ、ロール) に影響します。 AWSは、新しい が起動されるか、新しい API オペレーションAWS のサービスが既存のサービスで使用できるようになったときに、 AWSマネージドポリシーを更新する可能性が高くなります。
詳細については、「IAM ユーザーガイド」の「AWS マネージドポリシー」を参照してください。
トピック
AWSマネージドポリシー: AWSAuditManagerAdministratorAccess
AWSAuditManagerAdministratorAccess ポリシーを IAM アイデンティティにアタッチできます。
このポリシーは、 へのフル管理アクセスを許可する管理アクセス許可を付与しますAWS Audit Manager。このアクセスには、評価AWS Audit Manager、フレームワーク、コントロールAWS Audit Manager、評価レポートなど、すべての Audit Manager リソースの有効化と無効化、 の設定変更、管理の機能が含まれます。
AWS Audit Managerには、複数のAWSサービスにまたがる広範なアクセス許可が必要です。これは、 が複数の AWSサービスとAWS Audit Manager統合され、評価の範囲内の AWS アカウントおよび のサービスから証拠が自動的に収集されるためです。
アクセス許可の詳細
このポリシーには、以下のアクセス許可が含まれています。
-
Audit Manager– プリンシパルに AWS Audit Manager リソースに対する完全な許可を付与します。 -
Organizations– プリンシパルがアカウントと組織単位を一覧表示し、委任された管理者を登録または登録解除ですることを許可します。これは、マルチアカウントサポートを有効にし、 AWS Audit Managerが複数のアカウントで評価を実行し、証拠を委任管理者アカウントに統合できるようにするために必要です。 -
iam– プリンシパルが IAM のユーザーを取得して一覧表示し、サービスにリンクされたロールを作成ですることを許可します。これは、評価の監査所有者と受任者を指定できるようにするために必要です。また、このポリシーは、プリンシパルがサービスにリンクされたロールを削除し、削除ステータスを取得することも許可します。これは、 でサービスを無効にすることを選択した場合にAWS Audit Manager、 がリソースをクリーンアップし、サービスにリンクされたロールを削除できるようにするために必要ですAWS マネジメントコンソール。 -
s3– プリンシパルが利用可能な Amazon Simple Storage Service (Amazon S3) バケットを一覧表示することを許可します。この機能は、証拠レポートを保存する S3 バケットを指定したり、手動証拠をアップロードしたりするために必要です。 -
kms– プリンシパルがキーを一覧表示および説明を記述したり、エイリアスを一覧表示したり、許可を作成したりすることを許可します。これは、データ暗号化用にカスタマーマネージドキーを選択できるようにするために必要です。 -
sns– プリンシパルが Amazon SNS のサブスクリプショントピックを一覧表示することを許可します。これは、AWS Audit Manager による通知の宛先とする SNS トピックを指定できるようにするために必要です。 -
events– プリンシパルがチェックを一覧表示および管理できるようにしますAWS Security Hub CSPM。これは、 がモニタリング対象のAWSサービスAWS Security Hub CSPMの検出結果AWS Audit Managerを自動的に収集できるようにするために必要ですAWS Security Hub CSPM。その後、このデータを証拠に変換して、AWS Audit Manager 評価に含めることができます。 -
tag– プリンシパルがタグ付きリソースを取得することを許可します。これは、AWS Audit Manager でフレームワーク、コントロール、および評価を参照するときにタグを検索フィルターとして使用できるようにするために必要です。 -
controlcatalog– プリンシパルが AWSControl Catalog が提供するドメイン、目的、一般的なコントロールを一覧表示できるようにします。これは、AWS Audit Manager で一般的なコントロール機能を使用できるようにするために必要です。これらのアクセス許可を設定すると、コントロールライブラリの一般的なAWS Audit Managerコントロールのリストを表示し、ドメインと目標でコントロールをフィルタリングできます。カスタムコントロールを作成する際に、一般的なコントロールを証拠ソースとして使用することもできます。
AWSマネージドポリシー: AWSAuditManagerServiceRolePolicy
IAM エンティティに AWSAuditManagerServiceRolePolicy をアタッチすることはできません。このポリシーは、 がユーザーに代わってアクションを実行AWSServiceRoleForAuditManagerできるようにするサービスにリンクされたロール AWS Audit Managerにアタッチされます。詳細については、「のサービスにリンクされたロールの使用AWS Audit Manager」を参照してください。
ロール許可ポリシー AWSAuditManagerServiceRolePolicy は、AWS Audit Manager がユーザーに代わって次のことを行うことによる自動証拠の収集を許可します。
-
以下のデータソースからデータを収集します。
-
からの管理イベントAWS CloudTrail
-
からのコンプライアンスチェックAWS Config ルール
-
からのコンプライアンスチェックAWS Security Hub CSPM
-
-
API コールを使用して、以下のAWS のサービスのリソース構成を記述します。
ヒント
Audit Manager がこれらのサービスから証拠を収集するために使用するAPI コールの詳細については、このガイドのカスタムコントロールデータソースでサポートされる API コールを参照してください。
-
Amazon API Gateway
-
AWS Backup
-
Amazon Bedrock
-
AWS Certificate Manager
-
Amazon CloudFront
-
AWS CloudTrail
-
Amazon CloudWatch
-
Amazon CloudWatch Logs
-
Amazon Cognito ユーザープール
-
AWS Config
-
Amazon Data Firehose
-
AWS Direct Connect
-
Amazon DynamoDB
-
Amazon EC2
-
Amazon EC2 Auto Scaling
-
Amazon Elastic Container Service
-
Amazon Elastic File System
-
アマゾン エラスティックKubernetesサービス
-
Amazon ElastiCache
-
Elastic Load Balancing
-
Amazon EMR
-
Amazon EventBridge
-
Amazon FSx
-
Amazon GuardDuty
-
AWS Identity and Access Management(IAM)
-
Amazon Kinesis
-
AWS KMS
-
AWS Lambda
-
AWS License Manager
-
Amazon Managed Streaming for Apache Kafka
-
Amazon OpenSearch Service
-
AWS Organizations
-
Amazon Relational Database Service
-
Amazon Redshift
-
Amazon Route 53
-
Amazon S3
-
Amazon SageMaker AI
-
AWS Secrets Manager
-
AWS Security Hub CSPM
-
Amazon Simple Notification Service
-
Amazon Simple Queue Service
-
AWS WAF
-
アクセス許可の詳細
AWSAuditManagerServiceRolePolicy はAWS Audit Manager、指定されたリソースに対して次のアクションを実行できます。
-
acm:GetAccountConfiguration -
acm:ListCertificates -
apigateway:GET -
autoscaling:DescribeAutoScalingGroups -
backup:ListBackupPlans -
backup:ListRecoveryPointsByResource -
bedrock:GetCustomModel -
bedrock:GetFoundationModel -
bedrock:GetModelCustomizationJob -
bedrock:GetModelInvocationLoggingConfiguration -
bedrock:ListCustomModels -
bedrock:ListFoundationModels -
bedrock:ListGuardrails -
bedrock:ListModelCustomizationJobs -
cloudfront:GetDistribution -
cloudfront:GetDistributionConfig -
cloudfront:ListDistributions -
cloudtrail:DescribeTrails -
cloudtrail:GetTrail -
cloudtrail:ListTrails -
cloudtrail:LookupEvents -
cloudwatch:DescribeAlarms -
cloudwatch:DescribeAlarmsForMetric -
cloudwatch:GetMetricStatistics -
cloudwatch:ListMetrics -
cognito-idp:DescribeUserPool -
config:DescribeConfigRules -
config:DescribeDeliveryChannels -
config:ListDiscoveredResources -
directconnect:DescribeDirectConnectGateways -
directconnect:DescribeVirtualGateways -
dynamodb:DescribeBackup -
dynamodb:DescribeContinuousBackups -
dynamodb:DescribeTable -
dynamodb:DescribeTableReplicaAutoScaling -
dynamodb:ListBackups -
dynamodb:ListGlobalTables -
dynamodb:ListTables -
ec2:DescribeAddresses -
ec2:DescribeCustomerGateways -
ec2:DescribeEgressOnlyInternetGateways -
ec2:DescribeFlowLogs -
ec2:DescribeInstanceCreditSpecifications -
ec2:DescribeInstanceAttribute -
ec2:DescribeInstances -
ec2:DescribeInternetGateways -
ec2:DescribeLocalGatewayRouteTableVirtualInterfaceGroupAssociations -
ec2:DescribeLocalGateways -
ec2:DescribeLocalGatewayVirtualInterfaces -
ec2:DescribeNatGateways -
ec2:DescribeNetworkAcls -
ec2:DescribeRouteTables -
ec2:DescribeSecurityGroups -
ec2:DescribeSecurityGroupRules -
ec2:DescribeSnapshots -
ec2:DescribeTransitGateways -
ec2:DescribeVolumes -
ec2:DescribeVpcEndpoints -
ec2:DescribeVpcEndpointConnections -
ec2:DescribeVpcEndpointServiceConfigurations -
ec2:DescribeVpcPeeringConnections -
ec2:DescribeVpcs -
ec2:DescribeVpnConnections -
ec2:DescribeVpnGateways -
ec2:GetEbsDefaultKmsKeyId -
ec2:GetEbsEncryptionByDefault -
ec2:GetLaunchTemplateData -
ecs:DescribeClusters -
eks:DescribeAddonVersions -
elasticache:DescribeCacheClusters -
elasticache:DescribeServiceUpdates -
elasticfilesystem:DescribeAccessPoints -
elasticfilesystem:DescribeFileSystems -
elasticloadbalancing:DescribeLoadBalancers -
elasticloadbalancing:DescribeSslPolicies -
elasticloadbalancing:DescribeTargetGroups -
elasticmapreduce:ListClusters -
elasticmapreduce:ListSecurityConfigurations -
es:DescribeDomains -
es:DescribeDomain -
es:DescribeDomainConfig -
es:ListDomainNames -
events:DeleteRule -
events:DescribeRule -
events:DisableRule -
events:EnableRule -
events:ListConnections -
events:ListEventBuses -
events:ListEventSources -
events:ListRules -
events:ListTargetsByRule -
events:PutRule -
events:PutTargets -
events:RemoveTargets -
firehose:ListDeliveryStreams -
fsx:DescribeFileSystems -
guardduty:ListDetectors -
iam:GenerateCredentialReport -
iam:GetAccessKeyLastUsed -
iam:GetAccountAuthorizationDetails -
iam:GetAccountPasswordPolicy -
iam:GetAccountSummary -
iam:GetCredentialReport -
iam:GetGroupPolicy -
iam:GetPolicy -
iam:GetPolicyVersion -
iam:GetRolePolicy -
iam:GetUser -
iam:GetUserPolicy -
iam:ListAccessKeys -
iam:ListAttachedGroupPolicies -
iam:ListAttachedRolePolicies -
iam:ListAttachedUserPolicies -
iam:ListEntitiesForPolicy -
iam:ListGroupsForUser -
iam:ListGroupPolicies -
iam:ListGroups -
iam:ListMfaDeviceTags -
iam:ListMfaDevices -
iam:ListOpenIdConnectProviders -
iam:ListPolicies -
iam:ListPolicyVersions -
iam:ListRolePolicies -
iam:ListRoles -
iam:ListSamlProviders -
iam:ListUserPolicies -
iam:ListUsers -
iam:ListVirtualMFADevices -
kafka:ListClusters -
kafka:ListKafkaVersions -
kinesis:ListStreams -
kms:DescribeKey -
kms:GetKeyPolicy -
kms:GetKeyRotationStatus -
kms:ListGrants -
kms:ListKeyPolicies -
kms:ListKeys -
lambda:ListFunctions -
license-manager:ListAssociationsForLicenseConfiguration -
license-manager:ListLicenseConfigurations -
license-manager:ListUsageForLicenseConfiguration -
logs:DescribeDestinations -
logs:DescribeExportTasks -
logs:DescribeLogGroups -
logs:DescribeMetricFilters -
logs:DescribeResourcePolicies -
logs:FilterLogEvents -
logs:GetDataProtectionPolicy -
organizations:DescribeOrganization -
organizations:DescribePolicy -
rds:DescribeCertificates -
rds:DescribeDBClusterEndpoints -
rds:DescribeDBClusterParameterGroups -
rds:DescribeDBClusters -
rds:DescribeDBInstances -
rds:DescribeDBInstanceAutomatedBackups -
rds:DescribeDBSecurityGroups -
redshift:DescribeClusters -
redshift:DescribeClusterSnapshots -
redshift:DescribeLoggingStatus -
route53:GetQueryLoggingConfig -
s3:GetBucketAcl -
s3:GetBucketLogging -
s3:GetBucketOwnershipControls -
s3:GetBucketPolicy-
この API アクションは、サービスリンクロールが利用可能な AWS アカウント の範囲内で動作します。クロスアカウントのバケットポリシーにはアクセスできません。
-
-
s3:GetBucketPublicAccessBlock -
s3:GetBucketTagging -
s3:GetBucketVersioning -
s3:GetEncryptionConfiguration -
s3:GetLifecycleConfiguration -
s3:ListAllMyBuckets -
sagemaker:DescribeAlgorithm -
sagemaker:DescribeDomain -
sagemaker:DescribeEndpoint -
sagemaker:DescribeEndpointConfig -
sagemaker:DescribeFlowDefinition -
sagemaker:DescribeHumanTaskUi -
sagemaker:DescribeLabelingJob -
sagemaker:DescribeModel -
sagemaker:DescribeModelBiasJobDefinition -
sagemaker:DescribeModelCard -
sagemaker:DescribeModelQualityJobDefinition -
sagemaker:DescribeTrainingJob -
sagemaker:DescribeUserProfile -
sagemaker:ListAlgorithms -
sagemaker:ListDomains -
sagemaker:ListEndpointConfigs -
sagemaker:ListEndpoints -
sagemaker:ListFlowDefinitions -
sagemaker:ListHumanTaskUis -
sagemaker:ListLabelingJobs -
sagemaker:ListModels -
sagemaker:ListModelBiasJobDefinitions -
sagemaker:ListModelCards -
sagemaker:ListModelQualityJobDefinitions -
sagemaker:ListMonitoringAlerts -
sagemaker:ListMonitoringSchedules -
sagemaker:ListTrainingJobs -
sagemaker:ListUserProfiles -
securityhub:DescribeStandards -
secretsmanager:DescribeSecret -
secretsmanager:ListSecrets -
sns:ListTagsForResource -
sns:ListTopics -
sqs:ListQueues -
waf-regional:GetLoggingConfiguration -
waf-regional:GetRule -
waf-regional:GetWebAcl -
waf-regional:ListRuleGroups -
waf-regional:ListRules -
waf-regional:ListSubscribedRuleGroups -
waf-regional:ListWebACLs -
waf:GetRule -
waf:GetRuleGroup -
waf:ListActivatedRulesInRuleGroup -
waf:ListRuleGroups -
waf:ListRules -
waf:ListWebAcls -
wafv2:ListWebAcls
AWS Audit ManagerAWS管理ポリシーの更新
このサービスがこれらの変更の追跡を開始AWS Audit Managerしてからの AWSの管理ポリシーの更新に関する詳細を表示します。このページの変更に関する自動アラートについては、AWS Audit Managerドキュメント履歴ページの RSS フィードにサブスクライブしてください。
| 変更 | 説明 | 日付 |
|---|---|---|
| AWSAuditManagerServiceRolePolicy — 既存のポリシーへの更新 |
サービスにリンクされたロールで、 AWS Audit Managerが この API アクションは、AWS 生成 AI ベストプラクティスフレームワーク v2 をサポートするために必要です。これにより、Audit Manager では、生成 AI モデルのトレーニングデータセットに適用されているガードレールに関する証拠を自動的に収集できます。 |
09/24/2024 |
| AWSAuditManagerServiceRolePolicy — 既存のポリシーへの更新 | 次のアクセス許可が に追加されましたAWSAuditManagerServiceRolePolicy。 AWS Audit Managerは次のアクションを実行して、 のリソースに関する自動証拠を収集できるようになりましたAWS アカウント。
|
06/10/2024 |
| AWSAuditManagerServiceRolePolicy — 既存のポリシーへの更新 | 次のアクセス許可が に追加されましたAWSAuditManagerServiceRolePolicy。 AWS Audit Managerは次のアクションを実行して、 のリソースに関する自動証拠を収集できるようになりましたAWS アカウント。
また、ポリシー ( このポリシーは、API Gateway REST API のステージとステージリソースだけでなく、REST API 自体にも、指定されたアクセス許可 (この場合は |
05/17/2024 |
| AWSAuditManagerAdministratorAccess — 既存のポリシーへの更新 | 次のアクセス許可をAWSAuditManagerAdministratorAccessに追加しました。
この更新により、コントロールドメイン、コントロール目標、および AWSControl Catalog が提供する一般的なコントロールを表示できます。これらのアクセス許可は、AWS Audit Manager で一般的なコントロール機能を使用するために必要です。 |
05/15/2024 |
|
AWSAuditManagerServiceRolePolicy – 既存ポリシーへの更新 |
次のアクセス許可が に追加されましたAWSAuditManagerServiceRolePolicy。 AWS Audit Managerは次のアクションを実行して、 のリソースに関する自動証拠を収集できるようになりましたAWS アカウント。
|
05/15/2024 |
|
AWSAuditManagerServiceRolePolicy – 既存ポリシーへの更新 |
サービスにリンクされたロールで、 AWS Audit Managerが この API アクションは、AWS 生成 AI ベストプラクティスフレームワーク v2 をサポートするために必要です。これにより、Audit Manager では、生成 AI モデルのトレーニングデータセットに適用されているポリシー制限に関する証拠を自動的に収集できます。
|
12/06/2023 |
|
AWSAuditManagerServiceRolePolicy – 既存ポリシーへの更新 |
次のアクセス許可が に追加されましたAWSAuditManagerServiceRolePolicy。 AWS Audit Managerは次のアクションを実行して、 のリソースに関する自動証拠を収集できるようになりましたAWS アカウント。
|
11/06/2023 |
|
AWSAuditManagerServiceRolePolicy – 既存ポリシーへの更新 |
次のアクセス許可をAWSAuditManagerServiceRolePolicyに追加しました。
|
07/07/2022 |
|
AWSAuditManagerServiceRolePolicy — 既存のポリシーへの更新 |
サービスにリンクされたロールで、 AWS Audit Managerが また、 最後に、ソース値が存在し、その値が NULL でないことを確認するための |
05/20/2022 |
|
AWSAuditManagerAdministratorAccess — 既存のポリシーへの更新 |
|
04/29/2022 |
|
AWSAuditManagerServiceRolePolicy — 既存のポリシーへの更新 |
|
03/16/2022 |
| AWS Audit Managerが変更の追跡を開始しました |
AWS Audit Managerは、 AWS管理ポリシーの変更の追跡を開始しました。 |
05/06/2021 |
