翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
GuardDuty アカウントを管理するAWS Organizations
GuardDuty をAWS Organizations組織では、組織内の任意のアカウントを GuardDuty 委任管理者に指定することができます。GuardDuty 委任管理者を指定できるのは、組織の管理アカウントのみです。
委任管理者として指定されたアカウントは GuardDuty 管理者アカウントになり、指定されたリージョンで GuardDuty が自動的に有効になります。また、そのリージョン内の組織のすべてのアカウントに対して GuardDuty を有効にして管理するアクセス許可が付与されます。組織の他のアカウントは、委任管理者アカウントに関連付けられた GuardDuty メンバーアカウントとして表示および追加できます。
招待によってメンバーアカウントを関連付けられた既に GuardDuty 管理者を設定しており、メンバーアカウントが同じ組織に属している場合、そのタイプからの変更Invitation～Organizations 経由組織の GuardDuty 委任管理者を設定したとき。新しい委任管理者が、以前に同じ組織に属していない招待によってメンバーを追加した場合、そのタイプ、Invitation。いずれの場合も、以前に追加されたこれらのアカウントは、組織の GuardDuty 委任管理者のメンバーアカウントです。
組織外にいる場合でも、引き続きアカウントをメンバーとして追加できます。詳細については、招待による管理者アカウントとメンバーアカウントの指定 (コンソール)、および 招待（API）によるGuardDuty管理者およびメンバーアカウントの指定 を参照してください。
GuardDuty 委任管理者に関する重要な考慮事項
委任管理者が GuardDuty での操作方法を定義する次の要素に注意してください。
- 委任された管理者は、最大 5000 のメンバーを管理できます。
-
GuardDuty 委任管理者あたりのメンバーアカウント数は 5000 に制限されています。ただし、組織内に 5,000 を超えるアカウントが存在する可能性があります。の数すべて組織内のアカウントはアカウントGuardDuty コンソールのページ。
メンバーアカウント数が 5,000 を超えると、CloudWatch を通じて通知が届きます。AWS Personal Health Dashboard、委任管理者アカウントへの電子メールで送信します。
- 委任された管理者は Regional です。
-
と違ってAWS Organizations、GuardDuty はリージョナルサービスです。つまり、GuardDuty が委任された管理者とそのメンバーアカウントは、アカウント管理に必要な各リージョンに追加する必要があります。AWS Organizationsは、すべてのリージョンでアクティブになります。つまり、組織管理アカウントが米国東部 (バージニア北部) のみで GuardDuty の委任管理者を指定した場合、その委任管理者は、そのリージョンに追加されたメンバーアカウントのみを管理します。GuardDuty のリージョンに関する詳細は、を参照してください。リージョンとエンドポイント。
- 組織には、委任された管理者を 1 人だけ持つことができます。
-
委任管理者を持つことができるのは、アカウントごとに 1 人のみ委任管理者です。あるリージョンの委任管理者としてアカウントを指定した場合、そのアカウントは他のすべてのリージョンの委任管理者である必要があります。委任管理者を設定した後に委任管理者を変更するには、委任された管理者の登録を解除する手順を参照してください。
- 組織の管理アカウントを委任された管理者として設定することはお勧めしません。
-
組織の管理アカウントは委任管理者になることができますが、これは以下に基づいてお勧めしません。AWS最小権限の原則に従うセキュリティのベストプラクティス。
- 委任された管理者を変更しても、メンバーアカウントの GuardDuty は無効になりません。
-
委任管理者を削除すると、関連するすべてのメンバーアカウントが GuardDuty メンバーとして削除されますが、その GuardDuty はそれらのアカウントに対して無効になりません。
委任された管理者の指定に必要な権限
GuardDuty 委任された管理者を委任する場合は、GuardDuty を有効にする権限と特定の権限が必要です。AWS Organizations以下のポリシーステートメントにリストされている API アクション。
IAM ポリシーの最後に次のステートメントを追加することで、これらのアクセス許可を付与できます。
{ "Sid": "PermissionsForGuardDutyAdmin", "Effect": "Allow", "Action": [ "guardduty:EnableOrganizationAdminAccount", "organizations:EnableAWSServiceAccess", "organizations:RegisterDelegatedAdministrator", "organizations:ListDelegatedAdministrators", "organizations:ListAWSServiceAccessForOrganization", "organizations:DescribeOrganizationalUnit", "organizations:DescribeAccount", "organizations:DescribeOrganization" ], "Resource": "*" }
さらに、あなたの指定を希望する場合AWS Organizations管理アカウント GuardDuty 委任管理者として、そのエンティティが必要とするCreateServiceLinkedRoleGuardDuty を初期化するためのアクセス許可。これは、次のステートメントを使用して IAM ポリシーに追加できます。アカウント ID を組織の管理アカウントの
ID に置き換えます。
{ 'Sid": "PermissionsToEnableGuardDuty" "Effect": "Allow", "Action": [ "iam:CreateServiceLinkedRole" ], "Resource": "arn:aws:iam::123456789012:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty", "Condition": { "StringLike": { "iam:AWSServiceName": "guardduty.amazonaws.com" } } }
手動で有効にしたリージョンで GuardDuty を使用している場合は、「Service」の値をリージョンのリージョンエンドポイントに置き換えます。たとえば、中東
(バーレーン) (me-south-1) リージョンで GuardDuty を使用している場合は、"Service":
"guardduty.amazonaws.com"を"Service":
"guardduty.me-south-1.amazonaws.com"。
GuardDuty 委任管理者の指定
次の手順では、の委任管理者を指定する方法を示します。AWS組織を作成し、メンバーアカウントを追加します。[コンソール] または [API] を選択し、表示される手順に従います。
GuardDuty 管理者アカウントを単一の組織委任管理者に統合する
GuardDuty は、関連付けの使用を推奨していますAWS Organizationsで委任管理者アカウントの下でメンバーアカウントを管理します。以下で説明するプロセスの例を使用すると、組織の招待によって関連付けられた管理者とメンバーを単一の GuardDuty 委任管理者の下に統合できます。
-
GuardDuty を管理するすべてのアカウントが組織に属していることを確認します。組織にアカウントを追加する方法については、「」を参照してください。の招待AWS組織に参加するためのアカウント。
-
組織の委任管理者として指定するアカウントの下にある場合を除き、既存の管理者アカウントからすべてのメンバーGuardDuty 関連付けを解除します。
注記 GuardDuty 委任管理者またはアクティブなメンバーを持つ委任された管理者アカウントによって既に管理されているアカウントは、別の GuardDuty 委任管理者アカウントに追加することはできません。各組織でリージョンごとに設定できる GuardDuty 委任管理者アカウントは 1 つのみであり、各メンバーアカウントに設定できる委任管理者も 1 つのみです。
-
組織の GuardDuty 委任管理者を設定ページで.
-
指定された委任管理者アカウントにログインします。
-
組織からメンバーの追加に進みます。
重要 GuardDuty はリージョン別サービスであることに注意してください。GuardDuty の有効性を最大限に活用するには、委任管理者アカウントを指定し、すべてのリージョンにすべてのメンバーを追加することをお勧めします。
GuardDuty 委任管理者の登録解除
委任管理者の登録を解除できるのは、Organizations 管理アカウントのみです。
[コンソール] または [API] を選択し、提供された手順に従って、委任された管理者の登録を解除します。登録解除が完了したら、新しい委任管理者を指定できます。
