複数の でインバウンドインターネットアクセスに関する Network Access Analyzer の検出結果のレポートを作成する AWS アカウント

コマンドラインインターフェースで、作業ディレクトリをサンプルファイルを保存する場所に変更します。

次のコマンドを入力します。

git clone https://github.com/aws-samples/network-access-analyzer-multi-account-analysis.git

複製されたリポジトリで、naa-resources.yaml ファイルと naa-execrole.yaml ファイルを開きます。

これらのテンプレートにより、作成されたリソースを確認し、環境に合わせて必要に応じてテンプレートを調整してください。詳細については、CloudFormation ドキュメントの「テンプレートの使用」を参照してください。

naa-resources.yaml ファイルと naa-execrole.yaml ファイルを保存して閉じます。

[テンプレートの指定] ページで [テンプレートの準備完了] を選択し、naa-resources.yaml ファイルをアップロードします。

[スタック詳細の指定] ページで、[スタック名] ボックスに NAA-Resources と入力します。

[パラメータ] セクションで、次の値を入力します。

[レビュー] ページで、[次のリソースには機能が必要: [AWS::IAM::ロール]]を選択後、[スタックの作成] を選択します。

スタックが正常に作成されたら、CloudFormation コンソールの [出力] タブで、NAAEC2Role Amazon リソースネーム (ARN) をコピーします。この ARN は、後に naa-execrole.yaml ファイルをデプロイするときに使用します。

[テンプレートの準備] で [テンプレートの準備完了] を選択して、naa-execrole.yaml ファイルをアップロードします。

[StackSet の詳細を指定] ページで、スタックセットに NAA-ExecRole という名前を付けます。

[パラメータ] セクションで、次の値を入力します。

[アクセス権限] で、[Service-managed permissions (サービスマネージド型のアクセス許可)] を選択します。

[デプロイオプションの設定] ページの [デプロイターゲット] で、[組織へのデプロイ] を選択し、すべてのデフォルトを受け入れます。

デプロイリージョンで、Network Access Analyzer の Amazon EC2 インスタンスをデプロイするリージョンを選択します。IAM リソースはグローバルであり、リージョナルではないため、IAM ロールはすべてのアクティブなリージョンにデプロイされます。

レビューページで、 がカスタム名で IAM リソースを作成する AWS CloudFormation 可能性があることを確認してから、StackSet の作成を選択します。

[スタックインスタンス] タブ (個々のアカウントのステータス) と [操作] タブ (全体的なステータス) を監視して、デプロイが完了したかを判断します。

[テンプレートの指定] ページで [テンプレートの準備完了] を選択し、naa-execrole.yaml ファイルをアップロードします。

[スタックの詳細を指定] ページで、[スタック名] ボックスに NAA-ExecRole と入力します。

[パラメータ] セクションで、次の値を入力します。

[レビュー] ページで、[次のリソースには機能が必要: [AWS::IAM::ロール]]を選択後、[スタックの作成] を選択します。

組織のセキュリティアカウントにサインインします。

Session Manager を使用して、以前にプロビジョニングした Network Access Analyzer の Amazon EC2 インスタンスに接続します。手順については、「Session Manager を使用して Linux インスタンスに接続」を参照してください。接続できない場合は、このパターンの「トラブルシューティング」セクションを参照してください。

次のコマンドを入力して naa-script.sh ファイルを開いて編集します。

sudo -i
cd /usr/local/naa
vi naa-script.sh

このスクリプト内の調整可能なパラメーターと変数を確認して、環境に応じて変更します。カスタマイズオプションの詳細については、スクリプトの冒頭におけるコメントを参照してください。

たとえば、管理アカウントから組織内のすべてのメンバーアカウントのリストを取得する代わりに、スキャン AWS リージョン する AWS アカウント IDs または を指定するようにスクリプトを変更するか、これらのパラメータを含む外部ファイルを参照できます。

naa-script.sh ファイルを保存して閉じます。

次のコマンドを入力します。これにより naa-script.sh スクリプトが実行されます。

sudo -i
cd /usr/local/naa
screen
./naa-script.sh

次の点に注意してください。

出力をモニタリングしてエラーがないかを確認し、スクリプトが正しく動作していることを確認します。出力例については、このパターンの「追加情報」セクションを参照してください。

分析が完了するまで待ちます。E メール通知を設定した場合、結果が Amazon S3 バケットにアップロードされるか、Security Hub CSPM にインポートされると、E メールが送信されます。

naa-<accountID>-<region> バケットから CSV ファイルをダウンロードします。手順については、「Amazon S3 のドキュメント」の「オブジェクトのダウンロード」を参照してください。

Amazon S3 バケットから CSV ファイルを削除します。これはコスト最適化のベストプラクティスです。手順については、「Amazon S3 のドキュメント」の「オブジェクトの削除」を参照してください。

Security Hub CSPM コンソールを開きます。

ナビゲーションペインで [検出結果] を選択します。

Network Access Analyzerの検出結果を確認します。手順については、Security Hub CSPM ドキュメントの「検出結果リストと詳細の表示」を参照してください。

/usr/local/naa に移動して naa-script.sh スクリプトを開きます。S3_EXCLUSION_FILE 変数の値をメモしておきます。

S3_EXCLUSION_FILE 変数の値が true の場合、naa-exclusions.csv ファイルを naa-<accountID>-<region> バケットからダウンロードします。手順については、「Amazon S3 のドキュメント」の「オブジェクトのダウンロード」を参照してください。

S3_EXCLUSION_FILE 変数の値が false の場合、/usr/local/naa に移動して、naa-exclusions.csv ファイルを開きます。

naa-exclusions.csv ファイルに、除外しようとするリソースを入力します。1 行に 1 つのリソースを入力し、次の形式を使用します。

<resource_id>,<secgroup_id>,<sgrule_cidr>,<sgrule_portrange>,<sgrule_protocol>

以下に、リソースの例を示します。

eni-1111aaaaa2222bbbb,sg-3333ccccc4444dddd,0.0.0.0/0,80 to 80,tcp

naa-exclusions.csv ファイルを保存して閉じます。

naa-exclusions.csv ファイルを Amazon S3 バケットからダウンロードした場合は、新しいバージョンをアップロードします。手順については、Amazon S3 ドキュメントの「オブジェクトのアップロード」を参照してください。

Session Manager を使用して Amazon EC2 インスタンスに接続します。手順については、「Session Manager を使用して Linux インスタンスに接続」を参照してください。

次のコマンドを入力します。

sudo -i

naa-script.sh スクリプトのディレクトリに移動します。

cd /usr/local/naa

次のコマンドを入力してローカルスクリプトを一時退避し、カスタム変更を最新バージョンに結合できるようにします。

git stash

スクリプトの最新バージョンを取得するには、以下のコマンドを入力します。

git pull

次のコマンドを入力して、カスタムスクリプトを最新バージョンのスクリプトと結合します。

git stash pop

管理アカウントにプロビジョニングされた NAA-ExecRole スタックを削除します。手順については、「CloudFormation ドキュメント」の「スタックの削除」を参照してください。

組織の管理アカウントまたは委任された管理者アカウントにプロビジョニングされた スタックセットを削除します。手順については、「CloudFormation ドキュメント」の「スタックセットの削除」を参照してください。

naa-<accountID>-<region> Amazon S3 バケットからすべてのオブジェクトを削除します。手順については、「Amazon S3 ドキュメント」の「オブジェクトの削除」を参照してください。

セキュリティアカウントにプロビジョニングされた NAA-Resources スタックを削除します。手順については、「CloudFormation ドキュメント」の「スタックの削除」を参照してください。