デフォルトの評価レポートの送信先の設定

評価レポートを生成すると、Audit Manager は、任意の S3 バケットにレポートを発行します。この S3 バケットはと呼ばれますassessment report destination。Audit Manager が評価レポートを保存する S3 バケットを選択できます。

前提条件

評価レポートの送信先設定のヒント

評価レポートを正常に生成するには、評価レポートの宛先に次の設定を使用することをお勧めします。

同じリージョンバケット

評価と同じ AWS リージョンにある S3 バケットを使用することをお勧めします。同じリージョンのバケットと評価を使用する場合、評価レポートには最大 22,000 件の証拠項目を含めることができます。逆に、クロスリージョンバケットと評価を使用する場合、含めることができるのは 3,500 の証拠項目のみです。

AWS リージョン

カスタマーマネージドキー AWS リージョンの (指定した場合) は、評価のリージョンと評価レポートの宛先 S3 バケットと一致する必要があります。KMS キーを変更する方法については、「」を参照してくださいデータ暗号化設定の構成。サポートされている Audit Manager リージョンのリストについては、「Amazon Web Services 全般のリファレンス」の「AWS Audit Manager エンドポイントとクォータ」を参照してください。

S3 バケットの暗号化

評価レポートの宛先に SSE-KMS を使用したサーバー側の暗号化 (SSE) を必要とするバケットポリシーがある場合、そのバケットポリシーで使用される KMS キーは、Audit Manager データ暗号化の設定で構成した KMS キーと一致する必要があります。Audit Manager の設定で KMS キーを設定しておらず、評価レポートの宛先バケットポリシーで SSE が必要な場合は、バケットポリシーで SSE-S3 が許可されているようにしてください。データ暗号化に使用される KMS キーを設定する方法については、「」を参照してくださいデータ暗号化設定の構成。

クロスアカウント S3 バケット

クロスアカウント S3 バケットを評価レポートの宛先として使用することは、Audit Manager コンソールではサポートされていません。 AWS CLI または AWS SDKs の 1 つを使用して、評価レポートの宛先としてクロスアカウントバケットを指定できますが、わかりやすくするために、これを行わないことをお勧めします。評価レポートの宛先としてクロスアカウント S3 バケットを使用することを選択する場合は、次の点を考慮してください。

デフォルトでは、評価レポートなどの S3 オブジェクトは、オブジェクトをアップロード AWS アカウントするによって所有されます。S3 オブジェクト所有権設定を使用して、このデフォルト動作を変更すると、bucket-owner-full-control既定のアクセスコントロールリスト (ACL) があるアカウントによって記述された新しいオブジェクトが自動的にバケット所有者によって所有されるようにできます。

必須ではありませんが、クロスアカウントバケットの設定に次の変更を加えることをお勧めします。これらの変更を加えることで、バケット所有者は、バケットに発行する評価レポートを完全に制御できるようになります。
- S3 バケットのオブジェクト所有権を、デフォルトのオブジェクトライターではなく、優先バケット所有者に設定
- バケットポリシーを追加して、そのバケットにアップロードされたオブジェクトに bucket-owner-full-control ACL が含まれるようにする

Audit Manager がクロスアカウント S3 バケットでレポートを発行できるようにするには、次の S3 バケットポリシーを評価レポートの宛先に追加する必要があります。placeholder text を独自の情報に置き換えます。このポリシーの Principal 要素は、評価を所有し、評価レポートを作成するユーザーまたはロールです。Resource は、レポートが発行されるクロスアカウント S3 バケットを指定します。


{
  "Version": "2012-10-17",
  "Statement": [
      {
          "Sid": "Allow cross account assessment report publishing",
          "Effect": "Allow",
          "Principal": {
              "AWS": "arn:aws:iam::AssessmentOwnerAccountId:user/AssessmentOwnerUserName"
          },
          "Action": [
              "s3:ListBucket",
              "s3:PutObject",
              "s3:GetObject",
              "s3:GetBucketLocation",
              "s3:PutObjectAcl",
              "s3:DeleteObject"
          ],
          "Resource": [
              "arn:aws:s3:::CROSS-ACCOUNT-BUCKET",
              "arn:aws:s3:::CROSS-ACCOUNT-BUCKET/*"
          ]
      }
  ]
}

表示を増やす

表示を減らす