AWS アカウントを Microsoft Defender for Cloud に接続する

この記事では、ネイティブ AWS コネクタを使用して、1 つの Amazon Web Services (AWS) アカウントまたは AWS 管理アカウントをMicrosoft Defender for Cloudに接続する方法について説明します。

アカウントを接続した後、Defender for Cloudは AWS リソースを検出し、セキュリティ体制を評価し、セキュリティに関する推奨事項とアラートを表示します。

次のスクリーンショットは、Defender for Cloud概要ダッシュボードに表示される AWS アカウントを示しています。

Defender for Cloud の概要ダッシュボードに一覧表示されている AWS アカウントを示すスクリーンショット。

詳細については、Defender for Cloud の New AWS コネクタビデオを、Defender for Cloud in the Fieldビデオシリーズからご覧ください。

Note

Microsoft Sentinel に接続されている AWS アカウントがある場合は、Defender for Cloud に接続できません。 コネクタが正しく動作することを確認するには、「 Sentinel に接続された AWS アカウントを Defender for Cloud に接続する」の手順に従います。

認証アーキテクチャ

AWS アカウントを接続すると、Microsoft Defender for Cloud は、フェデレーション信頼と有効期間の短い資格情報を使用して AWS に対して認証を行います。有効期間の長いシークレットは格納されません。

オンボード中に作成された IAM ロールと信頼関係など、 Microsoft Entra ID と AWS の間で認証がどのように確立されるかについて詳しく説明します。

Prerequisites

AWS アカウントを接続する前に、次の情報があることを確認します。

特定の Defender プランを有効にする場合は、追加の要件が適用されます。 ネイティブ コネクタプランの要件を確認します。

Note

Azureポータルで最高の体験とパフォーマンスを得るために、各ポータルビューを10,000リソース以下に制限することを推奨します。 大規模なAWS環境では、複数のAzureサブスクリプションにAWSコネクタを分散させましょう。 Azureポータルのグローバルフィルターを使って、表示したいサブスクリプションを選択してください。 この推奨はDefenderポータルには適用されません。

Note

AWS コネクタは、各国政府のクラウド (Azure Government、21Vianet が運営する Microsoft Azure) では使用できません。

ネイティブ コネクタ プランの要件

各 Defender プランには、特定のセットアップ要件があります。

  • Kubernetes API サーバーにアクセスできる少なくとも 1 つの Amazon EKS クラスター。 お持ちでない場合は、 新しい EKS クラスターを作成します。
  • クラスターと同じリージョンに Amazon SQS キュー、Kinesis Data Firehose 配信ストリーム、Amazon S3 バケットを作成する容量。

AWS アカウントを接続する

Important

管理アカウントのオンボードには、AWS 管理アカウントのみを使用します。 委任された管理者アカウントはサポートされていません。

ネイティブ コネクタを使用して AWS 環境をDefender for Cloudに接続するには:

  1. Azure portal にサインインする

  2. [Defender for Cloud]>[環境設定] に移動します。

  3. [環境の追加]>[アマゾン ウェブ サービス] を選択します。

    AWS アカウントを Azure サブスクリプションに接続していることを示すスクリーンショット。

  4. コネクタの 名前 を入力します。

  5. [ オンボード] で、アカウントの種類を選択します。

    • 管理アカウント: AWS 管理アカウントのコネクタを作成します。 自動プロビジョニングでは、検出されたメンバー アカウントと新しく作成されたアカウントのコネクタが管理アカウントの下に作成されます。
    • 単一アカウント: 1 つの AWS アカウントのコネクタを作成します。

  6. Defender for Cloud で保護するリソースが含まれるAWS リージョンを選択します。 既定では、すべてのリージョンが選択されています。

  7. セキュリティ コネクタを作成する サブスクリプション を選択します。

  8. セキュリティ コネクタが作成される リソース グループ を選択します。

  9. セキュリティ コネクタを作成する 場所 を選択します。

  10. AWS 環境をスキャンする間隔を、4 時間、6 時間、12 時間、または 24 時間から選択します。 一部のデータ コレクターは固定スキャン間隔で実行され、カスタム間隔構成の影響を受けません。

  11. AWS アカウント ID を入力します。

  12. 管理アカウントのみ: 必要に応じて、除外する AWS アカウント ID をコンマで区切って入力します。

    AWS アカウントのアカウント詳細を入力するためのタブを示すスクリーンショット。

  13. [次へ: プランの選択] を選択します。

  14. 有効にするDefenderプランを選択します。

    Note

    各プランには料金が発生する場合があります。 Defender for Cloud の価格について詳しくは、こちらをご覧ください。

    AWS アカウントのプラン選択手順を示すスクリーンショット。

    Important

    推奨事項の現在の状態を表示するために、Microsoft Defender クラウド セキュリティ態勢管理 プランは AWS リソース API を 1 日に数回クエリします。 これらの読み取り専用 API 呼び出しでは料金は発生しませんが、読み取りイベントの証跡を有効にすると CloudTrail に登録されます。

    AWS のドキュメントでは、1 つの証跡を保持するための追加料金は発生しません。 たとえば、外部 SIEM システムにデータをエクスポートする場合、呼び出しの量が増えると、インジェスト コストも増加する可能性があります。 このような場合は、Defender for Cloud ユーザーまたは ARN ロール (arn:aws:iam::[accountId]:role/CspmMonitorAws) からの読み取り専用呼び出しをフィルター処理することをお勧めします。 これが既定のロール名です。 アカウントで構成されているロール名を確認します。

  15. (省略可能)さまざまなプラン構成を構成します。

    Defender for Containers は、Kubernetes クラスター、ノード、ワークロード、レジストリ、イメージなどのコンテナー化された資産をマルチクラウド環境とオンプレミス環境全体でセキュリティで保護するクラウドネイティブ ソリューションです。

    プランの特定の機能を有効または無効にするには、[ 設定] を選択し、機能を [オン ] に切り替えて 、[保存] を選択します。

    AWS 環境向けの Defender for Containers プラン選択のスクリーンショット。

    Defender for Containers の詳細を見る。

    Note

    プラン機能を有効または無効に戻す場合は、AWS アカウントで CloudFormation テンプレートの更新が必要になる場合があります。 更新する必要があるかどうかを判断するには、「 CloudFormation テンプレートを更新する」を参照してください。

  16. [アクセスの構成] を選択します。

  17. アクセス許可の種類を選択します。

    • 既定のアクセス: 現在および将来の機能に必要なアクセス許可を付与します。
    • 最小特権アクセス: 現在必要なアクセス許可のみを付与します。 後で追加のアクセスが必要な場合は、通知を受け取ることがあります。

  18. デプロイ方法を選択します。

    • AWS CloudFormation

    • Terraform

      デプロイ方法の構成を示すスクリーンショット。

  19. 選択したデプロイ方法の画面の指示に従って、AWS で必要な依存関係を完了します。

    Note

    管理アカウントを選択した場合、Terraform を使用したオンボードのタブは UI に表示されません。 Terraform のオンボードは引き続きサポートされています。 ガイダンスについては、「Terraform を使用して AWS/GCP 環境を Microsoft Defender for Cloud にオンボードする方法」を参照してください。

    CloudFormation を使用してデプロイする場合は、次のいずれかのテンプレート オプションを選択します。

    • Amazon S3 URL: ダウンロードした CloudFormation テンプレートを、自分のセキュリティ構成で自分の S3 バケットにアップロードします。 AWS デプロイ ウィザードで S3 URL を指定します。

    • テンプレート ファイルをアップロードする: AWS によって、テンプレートを格納する S3 バケットが自動的に作成されます。 この構成により、 S3 buckets should require requests to use Secure Socket Layer の推奨事項がトリガーされる場合があります。 これを修正するには、次のバケット ポリシーを適用します。

      {
  "Id": "ExamplePolicy",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowSSLRequestsOnly",
      "Action": "s3:*",
      "Effect": "Deny",
      "Resource": [
        "<S3_Bucket_ARN>",
        "<S3_Bucket_ARN>/*"
      ],
      "Condition": {
        "Bool": {
          "aws:SecureTransport": "false"
        }
      },
      "Principal": "*"
    }
  ]
}

    Important

    AWS 管理アカウントに対して CloudFormation StackSet を実行すると、次のエラー メッセージが表示されることがあります。

    You must enable organizations access to operate a service managed stack set

    このエラーは、AWS 組織の信頼されたアクセスが有効になっていないことを意味します。

    このエラーを解決するには、CloudFormation StackSets ページに移動し、信頼されたアクセスを有効にするプロンプトを選択します。 信頼されたアクセスが有効になった後、CloudFormation テンプレートをもう一度実行します。

  20. 次: 確認と生成 を選択します。

  21. を選択してを作成します。

Defender for Cloud は、AWS リソースのスキャンを開始します。 セキュリティに関する推奨事項は数時間以内に表示されます。 オンボード後、Defender for Cloudで AWS の体制、アラート、リソースインベントリを監視できます。

CloudFormation テンプレートを更新する

Defender for Cloudに必要なアクセス許可またはリソースが変更されたときに、AWS アカウントにデプロイされた CloudFormation テンプレートを更新します。

テンプレートを更新するタイミング

次の場合にテンプレートを更新します。

  • Defender CSPM、データベースのDefender、コンテナーのDefenderなど、新しいDefenderプランを有効にしました。
  • 自動プロビジョニングの有効化や選択したリージョンの変更など、プランの構成を変更しました。
  • Microsoft新しいバージョンのテンプレート (新機能をサポートするバージョン、バグの修正、ランタイムの更新など) をリリースしました。
  • AccessDenied、EntityAlreadyExists、Lambda ランタイム エラーなどのデプロイ エラーが発生します。 特定のエラーまたは CloudFormation テンプレートのデプロイ エラーについては、 CloudFormation エラー解決の表を参照してください。

テンプレートを更新する

  1. Defender for Cloudで、AWS コネクタ用の最新の CloudFormation テンプレートを生成またはダウンロードします。

  2. AWS CloudFormation で、Defender for Cloud コネクタ用に作成された既存のスタックを更新します。

  3. 既存のテンプレートを更新されたテンプレート ファイルに置き換えるか、更新されたテンプレートの Amazon S3 URL に置き換えます。

  4. Defender for Cloudが更新された値を提供しない限り、既存のスタックの詳細とパラメーターを保持します。

  5. 変更を確認し、プロンプトが表示されたら IAM リソースの変更を確認し、スタックを更新します。

AWS CloudFormation で スタックを直接更新する 方法について説明します。

コネクタの正常性を検証する

AWS コネクタが正しく動作していることを確認するには:

  1. Azure portal にサインインする

  2. [Defender for Cloud]>[環境設定] に移動します。

  3. AWS アカウントを見つけて、[ 接続状態 ] 列を確認して、接続が正常かどうか、または問題があるかどうかを確認します。

  4. 詳細を表示するには、[ 接続状態 ] 列に表示される値を選択します。

[環境の詳細] ページには、AWS アカウントへの接続に影響を与える、検出された構成またはアクセス許可の問題が一覧表示されます。

接続されているアマゾン ウェブ サービス アカウントの接続状態を示すMicrosoft Defender for Cloudの環境の詳細ページのスクリーンショット。

問題が存在する場合は、問題を選択して、問題の説明と推奨される修復手順を表示できます。 場合によっては、問題の解決に役立つ修復スクリプトが提供されます。

マルチクラウド コネクタのトラブルシューティングについて詳しくは、こちらをご覧ください。

現在のカバレッジを確認する

Defender for Cloud では、Azure ワークブック を通じて ワークブックにアクセス できます。 ワークブックは、セキュリティ体制に関する分析情報を提供するカスタマイズ可能なレポートです。

カバレッジ ブックは、サブスクリプションとリソースで有効になっているプランを示すことで、現在の対象範囲を理解するのに役立ちます。

AWS CloudTrail ログインジェストを有効にする (プレビュー)

AWS CloudTrail 管理イベントインジェストでは、CIEM 評価、アクティビティベースのリスク インジケーター、構成変更検出のコンテキストを追加することで、ID と構成の分析情報を強化できます。

AWS CloudTrail ログと Microsoft Defender for Cloud (プレビュー) の統合の詳細について説明します。

関連するコンテンツ

次のブログを参照してください。

次のステップ

  • Last updated on