翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
GuardDuty アカウントを管理するAWS Organizations
あなたがとGuardDuty を使用する場合AWS Organizations組織では、組織内の任意のアカウントを GuardDuty 委任管理者として指定することができます。GuardDuty 委任管理者を指定できるのは、組織の管理アカウントのみです。
委任管理者として指定されたアカウントは GuardDuty 管理者アカウントになり、指定されたリージョンで GuardDuty が自動的に有効になります。また、そのリージョン内の組織のすべてのアカウントに対して GuardDuty を有効にして管理するアクセス許可が付与されます。組織内の他のアカウントは、委任管理者アカウントに関連付けられた GuardDuty メンバーアカウントとして表示および追加できます。
招待によってメンバーアカウントを関連付けられた GuardDuty 管理者を設定しており、メンバーアカウントが同じ組織に属している場合、そのタイプからの変更招待による～Organizations 経由組織の GuardDuty 委任管理者を設定したとき。新しい委任管理者が、以前に同じ組織に属していない招待によってメンバーを追加した場合、そのタイプ、招待による。いずれの場合も、以前に追加されたこれらのアカウントは、組織の GuardDuty 委任管理者のメンバーアカウントです。
組織外にいる場合でも、引き続きアカウントをメンバーとして追加できます。詳細については、「招待による管理者アカウントとメンバーアカウントの指定 (コンソール)」と「招待（API）によるGuardDuty管理者およびメンバーアカウントの指定」を参照してください。
GuardDuty 委任管理者に関する重要な考慮事項
委任された管理者が GuardDuty でどのように動作するかを定義する次の要素に注意してください。
- 委任された管理者は、最大 5000 人のメンバーを管理できます。
-
GuardDuty 委任管理者あたりのメンバーアカウント数は 5000 に制限されています。ただし、組織内に 5,000 を超えるアカウントが存在する可能性があります。の数すべて組織のアカウントは、[] ダイアログボックスに表示されます。アカウントページで、GuardDuty コンソールを開きます。
メンバーアカウント数が 5,000 を超える場合は、CloudWatch から通知が届きます。AWS Personal Health Dashboard、委任管理者アカウントに電子メールで送信します。
- 委任された管理者は [地域] です。
-
違ってAWS Organizations, GuardDuty は地域サービスです. つまり、GuardDuty yの委任された管理者とそのメンバーアカウントは、AWS Organizationsは、すべてのリージョンでアクティブになります。つまり、組織管理アカウントが、米国東部 (バージニア北部) のみの GuardDuty の委任管理者を指定した場合、委任管理者はそのリージョンに追加されたメンバーアカウントのみを管理します。GuardDuty ティのリージョンの詳細については、リージョンとエンドポイント。
- 組織は、委任された管理者を 1 人だけ持つことができます。
-
1 アカウントにつき 1 人のみ委任管理者を割り当てることができます。あるリージョンでアカウントを委任管理者として指定した場合、そのアカウントは他のすべてのリージョンで委任された管理者である必要があります。委任管理者を設定した後に委任管理者を変更するには、委任管理者の登録を解除する手順を参照してください。
- 組織管理アカウントを委任管理者として設定することはお勧めしません。
-
組織の管理アカウントは委任管理者になることができますが、これはAWS最小権限の原則に従うセキュリティのベストプラクティス
- 委任された管理者を変更しても、メンバーアカウントの GuardDuty は無効になりません。
-
委任管理者を削除すると、関連するすべてのメンバーアカウントが GuardDuty メンバーとして削除されますが、これらのアカウントでは GuardDuty が無効になりません。
委任された管理者の指定に必要な権限
GuardDuty 委任された管理者を委任する場合、GuardDuty を有効にする権限と、特定のAWS Organizations以下のポリシーステートメントにリストされている API アクション
IAM ポリシーの最後に次のステートメントを追加することで、これらのアクセス許可を付与できます。
{ "Sid": "Permissions to Enable GuardDuty delegated administrator", "Effect": "Allow", "Action": [ "guardduty:EnableOrganizationAdminAccount", "organizations:EnableAWSServiceAccess", "organizations:RegisterDelegatedAdministrator", "organizations:ListDelegatedAdministrators", "organizations:ListAWSServiceAccessForOrganization", "organizations:DescribeOrganizationalUnit", "organizations:DescribeAccount", "organizations:DescribeOrganization" ], "Resource": "*" }
さらに、あなたが指定したい場合AWS Organizations管理アカウントを GuardDuty 委任された管理者として、エンティティに必要なCreateServiceLinkedRoleアクセス許可を使用して GuardDuty を初期化します。これは、次のステートメントを使用して IAM ポリシーに追加できます。アカウント ID を組織の管理アカウントの
ID に置き換えてください。
{ 'Sid": "Permissions to Enable GuardDuty" "Effect": "Allow", "Action": [ "iam:CreateServiceLinkedRole" ], "Resource": "arn:aws:iam::123456789012:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty", "Condition": { "StringLike": { "iam:AWSServiceName": "guardduty.amazonaws.com" } } }
手動で有効にしたリージョンで GuardDuty を使用している場合は、「service」の値をリージョンのリージョンエンドポイントに置き換えます。たとえば、中東
(バーレーン) (me-south-1) リージョンで GuardDuty を使用している場合は、"Service":
"guardduty.amazonaws.com"を"Service":
"guardduty.me-south-1.amazonaws.com"。
GuardDuty 委任管理者の指定
次の手順では、委任管理者を指定する方法を示しています。AWS組織を作成し、メンバーアカウントを追加します。[コンソール] または [API] を選択し、表示される手順に従います。
単一の組織の委任された管理者による GuardDuty 管理者アカウントの統合
GuardDuty yは、AWS Organizationsを使用して、委任管理者アカウントの下でメンバーアカウントを管理します。以下で説明するプロセスの例を使用すると、招待によって関連付けられた管理者とメンバーを単一の委任管理者の下に統合できます。
-
GuardDuty を管理するすべてのアカウントが組織に属していることを確認します。組織へのアカウントの追加については、を招待AWS組織へのアカウントの招待。
-
組織の GuardDuty 委任管理者として指定するアカウントの下にある場合を除き、既存の管理者アカウントからすべてのメンバーアカウントの関連付けを解除します。
注記 GuardDuty 委任された管理者またはアクティブなメンバーを持つ委任された管理者アカウントによって既に管理されているアカウントは、別の GuardDuty 委任された管理者アカウントに追加できません。各組織でリージョンごとに設定できる GuardDuty 委任管理者アカウントは 1 つのみであり、各メンバーアカウントに設定できる委任管理者も 1 つのみです。
-
組織の GuardDuty 委任管理者を設定ページで.
-
指定された委任管理者アカウントにログインします。
-
組織からメンバーの追加に進みます。
重要 GuardDuty はリージョン別サービスであることを忘れないでください。GuardDuty の有効性を最大限に活用するには、委任管理者アカウントを指定し、すべてのリージョンにすべてのメンバーを追加することをお勧めします。
GuardDuty 委任管理者を登録解除する
委任管理者の登録を解除できるのは、Organizations 管理アカウントのみです。
[コンソール] または [API] を選択し、指示された手順に従って、委任された管理者の登録を解除します。登録解除が完了したら、新しい委任された管理者を指定できます。
