翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS アカウントでのエージェントアクセスの制限

AWS DevOps エージェントは IAM ロールを使用して、インシデント調査と予防的評価中に AWS リソースを検出して記述します。これらのロールにアタッチされた IAM ポリシーを設定することで、エージェントが持つアクセスレベルを制御できます。アプリケーショントポロジには、エージェントがアクセスできるものがすべて表示されるわけではありません。IAM ポリシーは、エージェントがアクセスできる AWS サービス APIsとリソースを実際に制限する唯一の方法です。

AWS DevOps エージェントの IAM ロールについて

AWS DevOps エージェントは IAM ロールを使用して、次の 2 種類のアカウントのリソースにアクセスします。

どちらのタイプのアカウントでも、エージェントがアクセスできる AWS サービスを制限し、それらのサービス内の特定のリソースへのアクセスを制限し、エージェントが操作できるリージョンを制御できます。

アクセス許可ガードレールについて

AWS DevOps Agent は、 AWS リソースにアクセスするときに作成するすべてのセッションにアクセス許可ガードレールを適用します。このガードレールは上限として機能し、IAM ロールに付与するアクセス許可に関係なく、エージェントが使用できるアクセス許可の最大セットを定義します。

仕組み

エージェントは IAM ロールを引き受けると、そのセッションの有効なアクセス許可を制限するセッションポリシーを渡します。有効なアクセス許可は、次の共通部分です。

有効にするには、アクセス許可が両方のレイヤーに存在する必要があります。ガードレールに含まれていないアクセス許可をロールに追加した場合、エージェントはそのアクセス許可を使用できません。

デフォルトのアクセス許可

AIDevOpsAgentAccessPolicy 管理ポリシーは、エージェントが調査に使用するデフォルトの読み取り専用アクセス許可のセットを提供します。これらのアクセス許可はガードレールに含まれているため、追加の設定なしで動作します。

デフォルトを超えるアクセス許可の拡張

AWS DevOps エージェントは、デフォルトの マネージドポリシー以外の追加のアクセス許可の厳選されたセットをサポートします。これらのアクセス許可はガードレールに含まれていますが、デフォルトでは有効になっていません。これらを使用するには、特定のアクセス許可をインラインポリシーとしてロールに追加します。

たとえば、エージェントが調査中に S3 バケットからオブジェクトを読み取れるようにするには、インラインポリシーをロールに追加します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::my-application-bucket",
        "arn:aws:s3:::my-application-bucket/*"
      ]
    }
  ]
}

s3:GetObject および s3:ListBucketはガードレールに含まれているため、このインラインポリシーが有効になります。最小特権の原則に従ってResource、 を特定のバケットにスコープできます。

サポートされている追加のアクセス許可

次のアクセス許可はガードレールに含まれており、インラインポリシーとしてロールに追加することで有効にできます。これらはデフォルトでは付与されません。明示的にオプトインする必要があります。

ガードレールによってブロックされるアクセス許可

ガードレールにないアクセス許可をロールに追加した場合、エージェントはそのアクセス許可を使用できません。これは設計上のものです。ガードレールは、ロールが許可する場合でも、エージェントが意図した範囲外のアクションを実行できないようにします。

たとえば、s3:PutObject、、 ec2:TerminateInstancesなどの書き込みオペレーションdynamodb:DeleteItemはガードレールに含まれません。ロールがこれらのアクセス許可を付与しても、エージェントはこれらのアクションを実行できません。

概要

このモデルにより、エージェントは明確に定義されたセキュリティ境界内で動作し、特定のユースケースに合わせて機能を柔軟に拡張できます。

リソースの境界の選択

リソースアクセスを制限する場合は、エージェントがアプリケーションインシデントを正常に調査するための十分なアクセス許可を含める必要があります。これには、以下が含まれます。

インフラストラクチャのサポートには以下が含まれます。

アクセスを狭く制限しすぎると、エージェントは定義された境界外のサポートインフラストラクチャに起因する根本原因を特定できない可能性があります。

サービスアクセスの制限

エージェントのロールにアタッチされている IAM ポリシーを変更することで、エージェントがアクセスできる AWS サービスを制限できます。カスタムポリシーを作成するときは、次のベストプラクティスに従ってください。

特定のサービスに制限するポリシーの例:

json

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cloudwatch:GetMetricData",
        "cloudwatch:GetMetricStatistics",
        "cloudwatch:DescribeAlarms",
        "logs:GetLogEvents",
        "logs:FilterLogEvents",
        "ec2:DescribeInstances",
        "lambda:GetFunction",
        "lambda:GetFunctionConfiguration"
      ],
      "Resource": "*"
    }
  ]
}

リソースアクセスの制限

エージェントをサービス内の特定のリソースに制限するには、IAM ポリシーでリソースレベルのアクセス許可を使用します。これにより、特定のパターンに一致するリソースにのみアクセス権を付与できます。

リソース ARN パターンの使用:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "lambda:GetFunction",
        "lambda:GetFunctionConfiguration"
      ],
      "Resource": "arn:aws:lambda:*:*:function:production-*"
    }
  ]
}

この例では、「production-」で始まる名前の Lambda 関数にのみアクセスするようにエージェントを制限します。

タグベースの制限の使用:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeInstances",
        "ec2:DescribeInstanceStatus"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Environment": "production"
        }
      }
    }
  ]
}

この例では、エージェントが でタグ付けされた EC2 インスタンスのみにアクセスするように制限していますEnvironment=production。

リージョンアクセスの制限

エージェントがアクセスできる AWS リージョンを制限するには、IAM ポリシーで aws:RequestedRegion条件キーを使用します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:Describe*",
        "lambda:Get*",
        "cloudwatch:Get*"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestedRegion": [
            "us-east-1",
            "us-west-2"
          ]
        }
      }
    }
  ]
}

この例では、us-east-1 および us-west-2 リージョンのリソースにのみアクセスするようにエージェントを制限します。

カスタム IAM ポリシーの作成

エージェントスペースを作成するとき、またはセカンダリアカウントを追加するときに、ポリシーテンプレートを使用してカスタム IAM ロールを作成するオプションがあります。これにより、最小特権の原則を実装できます。

エージェントスペースを作成する場合

AWS マネジメントコンソールの DevOps エージェントコンソールから..。

エージェントスペースを編集する場合

AWS マネジメントコンソールの DevOps エージェントコンソールから..。

カスタムポリシーのベストプラクティス