翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。 # Amazon Quick Sight を使用してすべての AWS アカウントの IAM 認証情報レポートを視覚化する *Amazon Web Services、Parag Nagwekar、Arun Chandapillai* ## 概要 | | | 警告: IAM ユーザーは長期認証情報を保有するため、セキュリティ上のリスクが生じます。このリスクを軽減するために、これらのユーザーにはタスクの実行に必要な権限のみを付与し、不要になったユーザーは削除することをお勧めします。 | | --- | AWS Identity and Access Management (IAM) 認証情報レポートを使用して、組織のセキュリティ、監査、コンプライアンス要件を満たすのに役立ちます。[認証情報レポートには](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_getting-report.html)、AWS アカウントのすべてのユーザーのリストと、パスワード、アクセスキー、多要素認証 (MFA) デバイスなど、認証情報のステータスが表示されます。「[AWS Organizations](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/core-concepts.html)」が管理する複数のAWSアカウントに対して、認証情報レポートを使用できます。 このパターンには、Amazon Quick Sight ダッシュボードを使用して、組織内のすべての AWS アカウントの IAM 認証情報レポートを作成および共有するのに役立つステップとコードが含まれています。ダッシュボードは組織内の利害関係者と共有できます。このレポートは、組織が、次のような目標を絞ったビジネス成果を達成するのに役立ちます。 + IAM ユーザーに関連するセキュリティインシデントを特定します。 + IAM ユーザーのシングルサインオン (SSO) 認証への移行をリアルタイムで追跡する + IAM ユーザーがアクセスした AWS リージョンを追跡する + コンプライアンスを維持 + 他の利害関係者との情報共有 ## 前提条件と制限 **前提条件** + アクティブな AWS アカウント。 + [組織](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_tutorials_basic.html)内のメンバーアカウント。 + Organizations アカウントにアクセスする権限を持つ [IAM ロール](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use.html) + AWS コマンドラインインターフェース (AWS CLI) バージョン 2は、「[インストール済み](https://docs.aws.amazon.com/cli/latest/userguide/getting-started-install.html#getting-started-install-instructions)」および「[設定済み](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-configure.html)」 + [Amazon Quick Enterprise Edition](https://docs.aws.amazon.com/quicksight/latest/user/editions.html) の[サブスクリプション](https://docs.aws.amazon.com/quicksight/latest/user/signing-up.html) ## アーキテクチャ **テクノロジースタック** + Amazon Athena + Amazon EventBridge + Amazon Quick Sight + Amazon Simple Storage Service (Amazon S3) + AWS Glue + AWS Identity and Access Management (IAM) + AWS Lambda + AWS Organizations **ターゲットアーキテクチャ** 次の図は、複数の AWS アカウントから IAM 認証情報レポートデータをキャプチャするワークフローを設定するためのアーキテクチャを示しています。 ![\[アーキテクチャを以下に図で示します。\]](http://docs.aws.amazon.com/ja_jp/prescriptive-guidance/latest/patterns/images/pattern-img/8724ff28-40f6-4c43-9c65-fbd18bbbfd0f/images/e780916a-4ab7-4fdc-8ecc-c837c7d90d13.png) 1. EventBridge は Lambda 関数を毎日呼び出します。 1. Lambda 関数は、組織全体のすべての AWS アカウントで IAM ロールを引き受けます。次に、この関数は IAM 認証情報レポートを作成し、レポートデータを一元管理された S3 バケットに保存します。S3 バケットで暗号化を有効にし、パブリックアクセスを無効にする必要があります。 1. AWS Glue クローラーは S3 バケットを毎日クロールし、それに応じて Athena テーブルを更新します。 1. Quick Sight は、認証情報レポートからデータをインポートして分析し、ステークホルダーが視覚化して共有できるダッシュボードを構築します。 ## ツール **AWS サービス** + [Amazon Athena](https://docs.aws.amazon.com/athena/latest/ug/what-is.html) は、Amazon S3 内のデータを標準 SQL を使用して簡単に分析できるインタラクティブなクエリサービスです。 + [Amazon EventBridge](https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-what-is.html) は、アプリケーションをさまざまなソースのリアルタイムデータに接続できるようにするサーバーレスイベントバスサービスです。たとえば、Lambda 関数、API 宛先を使用する HTTP 呼び出しエンドポイント、または他の AWS アカウントのイベントバスなどです。 + [Amazon QuickSight](https://docs.aws.amazon.com/quicksight/latest/user/welcome.html) は、視覚化、分析、レポート生成に使用できるクラウドスケールのビジネスインテリジェンス (BI) サービスです。Quick Sight は Amazon Quick 内のコアコンポーネントであり、インタラクティブなデータ可視化、SPICE インメモリ分析、埋め込み分析、ダッシュボード共有を提供します。 + 「[AWS Identity and Access Management (IAM)](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html)」は、AWS リソースへのアクセスを安全に管理し、誰が認証され、使用する権限があるかを制御するのに役立ちます。 + [AWS Lambda](https://docs.aws.amazon.com/lambda/latest/dg/welcome.html) は、サーバーのプロビジョニングや管理を行うことなくコードを実行できるコンピューティングサービスです。必要に応じてコードを実行し、自動的にスケーリングするため、課金は実際に使用したコンピューティング時間に対してのみ発生します。 **コード** このパターンのコードは GitHub 内の「[getiamcredsreport-allaccounts-org](https://github.com/aws-samples/getiamcredsreport-allaccounts-org)」リポジトリで利用できます。このリポジトリのコードを使用して、Organizations の AWS アカウント全体の IAM 認証情報レポートを作成し、一元的に保存できます。 ## エピック ### インフラストラクチャを設定します。 | タスク | 説明 | 必要なスキル | | --- | --- | --- | | Amazon Quick Enterprise Edition をセットアップします。 | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ja_jp/prescriptive-guidance/latest/patterns/visualize-iam-credential-reports-for-all-aws-accounts-using-amazon-quicksight.html) | AWS 管理者、AWS DevOps、クラウド管理者、クラウドアーキテクト | | Amazon Quick Sight を Amazon S3 および Athena と統合します。 | AWS CloudFormation スタックをデプロイする前に、Amazon S3 と Athena の使用を Quick Sight に[許可](https://docs.aws.amazon.com/quicksight/latest/user/troubleshoot-connect-to-datasources.html)する必要があります。 | AWS 管理者、AWS DevOps、クラウド管理者、クラウドアーキテクト | ### インフラストラクチャを準備する | タスク | 説明 | 必要なスキル | | --- | --- | --- | | GitHub リポジトリのクローンを作成します。 | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ja_jp/prescriptive-guidance/latest/patterns/visualize-iam-credential-reports-for-all-aws-accounts-using-amazon-quicksight.html) | AWS 管理者 | | インフラストラクチャを準備します。 | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ja_jp/prescriptive-guidance/latest/patterns/visualize-iam-credential-reports-for-all-aws-accounts-using-amazon-quicksight.html) | AWS 管理者 | | IAM 権限ポリシーを作成します | 以下の権限を使用して、組織全体のすべての AWS アカウントに「[IAM ポリシーを作成](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)」します。
{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:GenerateCredentialReport",
        "iam:GetCredentialReport"
        ],
      "Resource": "*"
    }
  ]
}
| AWS DevOps、クラウド管理者、クラウドアーキテクト、データエンジニア | | IAM ロールを信頼ポリシーとともに作成します。 | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ja_jp/prescriptive-guidance/latest/patterns/visualize-iam-credential-reports-for-all-aws-accounts-using-amazon-quicksight.html)
{
   "Version": "2012-10-17",		 	 	 
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "AWS":[
               "arn:aws:iam:::role/"
            ]
         },
         "Action":"sts:AssumeRole"
      }
   ]
}
`arn:aws:iam:::role/` を書き留めておいた Lambda ロールの ARN に置き換えます。Organizations は通常、自動化を使用して AWS アカウントの IAM ロールを作成します。この自動化は、可能であればを使用することをお勧めします。または、** **コードリポジトリにある`CreateRoleforOrg.py`スクリプトを使用することもできます。このスクリプトには、既存の管理者ロール、またはすべての AWS アカウントで IAM ポリシーとロールを作成する権限を持つその他の IAM ロールが必要です。 | クラウド管理者、クラウドアーキテクト、AWS 管理者 | | データを視覚化するように Amazon Quick Sight を設定します。 | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ja_jp/prescriptive-guidance/latest/patterns/visualize-iam-credential-reports-for-all-aws-accounts-using-amazon-quicksight.html) | AWS DevOps、クラウド管理者、クラウドアーキテクト、データエンジニア | ## 追加情報 **追加の考慮事項** 以下の点を考慮してください。 + CloudFormation を使用してインフラストラクチャをデプロイしたら、Lambda と AWS Glue がそれぞれのスケジュールに従って実行されるまで、Amazon S3 で作成され、Athena によって分析されるレポートを受け取るのを待つことができます。または、Lambda を手動で実行して Amazon S3 のレポートを取得し、次に AWS Glue クローラーを実行してデータから作成された Athena テーブルを取得することもできます。 + Quick は、ビジネス要件に基づいてデータを分析および視覚化するための強力なツールです。Quick の[パラメータ](https://docs.aws.amazon.com/quicksight/latest/user/parameters-in-quicksight.html)を使用して、選択したデータフィールドに基づいてウィジェットデータを制御できます。また、クイック分析を使用して、データセットからパラメータ (たとえば、Account、Date、User の各フィールド`user`) を作成し`partition_1`、Account`partition_0`、Date、User のパラメータのコントロールを追加できます。 + 独自の Quick Sight ダッシュボードを構築するには、AWS Workshop Studio ウェブサイトの[「Quick Workshops](https://catalog.workshops.aws/quicksight/en-US)」を参照してください。 + Quick Sight ダッシュボードのサンプルを確認するには、GitHub [getiamcredsreport-allaccounts-org](https://github.com/aws-samples/getiamcredsreport-allaccounts-org) コードリポジトリを参照してください。 **ターゲットを絞ったビジネス成果** このパターンを使用すると、次のようなビジネス成果を達成できます。 + **IAM ユーザーに関連するセキュリティインシデントを特定** — 組織内のすべての AWS アカウントのすべてのユーザーを 1 つの画面で調査できます。IAM ユーザーが最近アクセスした個々の AWS リージョンと、使用したサービスの傾向を追跡できます。 + **IAM ユーザーの SSO 認証への移行をリアルタイムで追跡** — SSO を使用すると、ユーザーは 1 つの認証情報で 1 回サインインすると、複数の AWS アカウントとアプリケーションにアクセスできます。IAM ユーザーを SSO に移行することを計画している場合、このパターンは SSO に移行し、すべての AWS アカウントの IAM ユーザー認証情報の使用状況 (AWS マネジメントコンソールへのアクセスやアクセスキーの使用など) を追跡するのに役立ちます。 + **IAM ユーザーがアクセスした AWS リージョンを追跡する** — データ主権やコスト管理など、さまざまな目的でリージョンへの IAM ユーザーのアクセスを制御できます。すべての IAM ユーザーによるリージョンの使用状況を追跡することもできます。 + **コンプライアンスを維持** — 最小権限の原則に従うことで、特定のタスクの実行に必要な特定の IAM アクセス権限のみを付与できます。また、AWS サービス、AWS マネジメントコンソールへのアクセス、および認証情報の長期使用状況を追跡できます。 + **他の利害関係者との情報の共有** — IAM 認証情報レポートや AWS アカウントへのアクセスを許可しなくても、厳選されたダッシュボードを他の利害関係者と共有できます。