Amazon Inspector からの結果レポートのエクスポート - Amazon Inspector
ステップ 1: アクセス許可を確認するステップ 2: S3 バケットを設定するステップ 3: 以下のように設定する AWS KMS keyステップ 4: 調査結果レポートを設定してエクスポートするエラーのトラブルシューティング

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Inspector からの結果レポートのエクスポート

結果を Amazon EventBridge に送信するだけでなくAWS Security Hub、オプションで結果レポートとして Amazon Simple Storage Service (Amazon S3) バケットに結果をエクスポートできます。結果レポートは、レポートに含めることを選択した結果の詳細を含む CSV または JSON ファイルです。特定の時点における調査結果の詳細なスナップショットを提供します。ファイルには、検出結果ごとに、影響を受けるリソースの Amazon リソースネーム (ARN)、検出結果が作成された日時、関連する一般的な脆弱性と暴露 (CVE) ID、検出結果の重大度、ステータス、Amazon Inspector と CVSS スコアなどの詳細が含まれています。

調査結果レポートを設定するときは、まずどの調査結果をレポートに含めるかを指定します。デフォルトでは、Amazon Inspector には現在の結果のうち、AWS リージョンステータスが「アクティブ」のすべてのデータが含まれます。組織の委任された Amazon Inspector 管理者の場合、これには組織内のすべてのメンバーアカウントの検出結果データが含まれます。

オプションで、データをフィルタリングしてレポートをカスタマイズできます。フィルターを使用すると、特定の特性を持つ結果のデータを含めたり除外したりできます。たとえば、特定の時間範囲に作成されたすべての重要な結果、特定のリソースに関するすべてのアクティブな結果、または特定のタイプのすべての重要な結果などです。組織の Amazon Inspector 管理者は、AWS アカウントフィルタを使用して組織内の特定の結果を含むレポートを作成できます。たとえば、ステータスが「アクティブ」で、修正可能なアカウントの「重要」の結果をすべて含むレポートを作成できます。その後、レポートをアカウントオーナーと共有して是正してもらうことができます。

注記

CreateFindingsReportAPI を使用して調査結果レポートをエクスポートすると、デフォルトではアクティブな結果のみが表示されます。非表示または終了した結果を表示するには、FindingStatus SUPPRESSEDCLOSED フィルター条件にまたはを値として指定する必要があります。

結果レポートをエクスポートすると、Amazon Inspector は指定した AWS Key Management Service (AWS KMS) キーでデータを暗号化し、同じく指定した S3 バケットにレポートを追加します。暗号化キーは、現在の、お客様が管理する AWS Key Management Service (AWS KMS) 対称暗号化キーである必要があります。AWS リージョンさらに、キーポリシーでは Amazon Inspector がキーを使用することを許可する必要があります。S3 バケットも現在のリージョンにある必要があり、バケットのポリシーで Amazon Inspector がバケットにオブジェクトを追加することを許可する必要があります。

Amazon Inspector がレポートの暗号化と保存を完了したら、指定した S3 バケットからレポートをダウンロードするか、別の場所に移動できます。あるいは、レポートを同じ S3 バケットに保存し、そのバケットを後でエクスポートする結果レポートのリポジトリとして使用することもできます。

このトピックでは、AWS Management Consoleを使用して調査結果レポートをエクスポートする手順を説明します。このプロセスでは、必要な権限があることを確認し、必要なリソースを構成し、レポートを構成してエクスポートします。

注記

結果レポートは一度に 1 つしかエクスポートできません。エクスポートが現在進行中の場合は、エクスポートが完了するまで待ってから、別のレポートをエクスポートしてください。

調査結果レポートを初めてエクスポートした後は、ステップ 1 ～ 3 を省略できます。これは主に、同じ S3 バケットを使用するかどうか、AWS KMS keyまたそれ以降のレポートに使用したいかどうかによって異なります。

ステップ 1 ～ 3 の後にレポートをプログラムでエクスポートしたい場合は、Amazon Inspector API CreateFindingsReportのオペレーションを使用してください。

ステップ 1: アクセス許可を確認する

Amazon Inspector から結果レポートをエクスポートする前に、結果レポートのエクスポートと、レポートの暗号化と保存のためのリソースの設定の両方に必要な権限があることを確認してください。権限を確認するには、AWS Identity and Access Management (IAM) を使用して IAM ID に添付されている IAM ポリシーを確認してください。次に、それらのポリシーの情報を、調査結果レポートをエクスポートするために実行を許可する必要がある以下のアクションのリストと比較します。

Amazon Inspector

Amazon Inspector では、以下のアクションを実行できることを確認してください。

  • inspector2:ListFindings

  • inspector2:CreateFindingsReport

これらのアクションにより、アカウントの調査結果データを取得し、そのデータを調査結果レポートにエクスポートできます。

サイズの大きいレポートをプログラムでエクスポートする予定の場合は、レポートのステータスを確認したりinspector2:GetFindingsReportStatus、inspector2:CancelFindingsReport進行中のエクスポートをキャンセルしたりできるかどうかを確認することもできます。

AWS KMS

についてはAWS KMS、以下のアクションを実行できることを確認してください。

  • kms:GetKeyPolicy

  • kms:PutKeyPolicy

これらのアクションにより、Amazon Inspector AWS KMS key にレポートの暗号化に使用させたいキーポリシーを取得して更新できます。

Amazon Inspector コンソールを使用してレポートをエクスポートするには、AWS KMS以下のアクションを実行できることも確認してください。

  • kms:DescribeKey

  • kms:ListAliases

これらのアクションにより、アカウントのに関する情報を取得して表示できます。AWS KMS keysその後、これらのキーのいずれかを選択してレポートを暗号化できます。

レポートを暗号化するために新しい KMS キーを作成する予定の場合は、その操作を実行するための許可も必要です。kms:CreateKey

[Amazon S3]

Amazon S3 の場合、次のアクションの実行が許可されていることを確認します。

  • s3:CreateBucket

  • s3:DeleteObject

  • s3:PutBucketAcl

  • s3:PutBucketPolicy

  • s3:PutBucketPublicAccessBlock

  • s3:PutObject

  • s3:PutObjectAcl

これらのアクションにより、Amazon Inspector にレポートを保存させたい S3 バケットを作成および設定できます。また、バケットにオブジェクトを追加したり、バケットからオブジェクトを削除したりすることもできます。

Amazon Inspector コンソールを使用してレポートをエクスポートする予定がある場合は、s3:ListAllMyBucketss3:GetBucketLocationおよびアクションを実行できることも確認してください。これらのアクションにより、アカウントの S3 バケットに関する情報を取得して表示できます。その後、レポートを保存するバケットを 1 つ選択できます。

必要なアクションを 1 つ以上実行できない場合は、AWS次のステップに進む前に管理者に支援を依頼してください。

ステップ 2: S3 バケットを設定する

権限を確認したら、結果レポートを保存する S3 バケットを設定する準備が整います。自分のアカウントの既存のバケットでも、AWS アカウント別のアカウントが所有していてアクセスが許可されている既存のバケットでもかまいません。レポートを新しいバケットに保存する場合は、先に進む前にバケットを作成してください。

S3 バケットは、AWS リージョンエクスポートする結果データと同じである必要があります。たとえば、米国東部 (バージニア北部) リージョンで Amazon Inspector を使用していて、そのリージョンの結果データをエクスポートする場合、バケットも米国東部 (バージニア北部) リージョンにある必要があります。

さらに、バケットのポリシーでは、Amazon Inspector がバケットにオブジェクトを追加することを許可する必要があります。このトピックでは、バケットポリシーを更新する方法を説明し、ポリシーに追加するステートメントの例も示します。バケットポリシーの追加と更新の詳細については、Amazon Simple Storage Service ユーザーガイドの「バケットポリシーの使用」を参照してください。

別のアカウントが所有する S3 バケットにレポートを保存する場合は、バケットの所有者と協力してバケットのポリシーを更新してください。また、バケットの URI も取得してください。レポートをエクスポートするときは、この URI を入力する必要があります。

バケットポリシーを更新するには

  1. https://console.aws.amazon.com/s3 で Amazon S3 コンソールを開きます。

  2. ナビゲーションペインで、[Buckets] (バケット) を選択します。

  3. 結果レポートを保存する S3 バケットを選択します。

  4. [アクセス許可] タブを選択します。

  5. [バケットポリシー] セクションで、[編集] を選択します。

  6. 以下のサンプルステートメントをクリップボードにコピーします。

    {
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "allow-inspector",
			"Effect": "Allow",
			"Principal": {
				"Service": "inspector2.amazonaws.com"
			},
			"Action": [
				"s3:PutObject",
				"s3:PutObjectAcl",
				"s3:AbortMultipartUpload"
			],
			"Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*",
			"Condition": {
				"StringEquals": {
					"aws:SourceAccount": "111122223333"
				},
				"ArnLike": {
					"aws:SourceArn": "arn:aws:inspector2:Region:111122223333:report/*"
				}
			}
		}
	]
}

  7. Amazon S3 コンソールのバケットポリシーエディタで、前のステートメントをポリシーに貼り付けてポリシーに追加します。

    ステートメントをポリシーに追加するときに、構文が有効であることを確認します。バケットポリシーは JSON 形式を使用します。つまり、ポリシーのどこにステートメントを追加するかに応じて、ステートメントの前または後にカンマを追加する必要があります。ステートメントを最後のステートメントとして追加する場合は、前のステートメントの閉じ括弧の後にカンマを追加します。最初のステートメントとして、または既存の 2 つのステートメントの間に追加する場合は、ステートメントの終了括弧の後にカンマを追加します。

  8. ステートメントを環境に適した値に更新します。その場合は以下のようになります。

    • DOC-EXAMPLE-BUCKET はバケットの名前です。

    • [111122223333] は、お客様の AWS アカウント のアカウント ID です。

    • リージョンとは、AWS リージョン Amazon Inspector を使用していて、Amazon Inspector がバケットにレポートを追加できるようにしたい地域のことです。us-east-1たとえば、米国東部 (バージニア北部) リージョンの場合です。

    注記

    手動で有効化された Amazon Inspector を使用している場合はAWS リージョン、Serviceフィールドの値に適切なリージョンコードも追加してください。このフィールドは Amazon Inspector サービスプリンシパルを指定します。

    たとえば、中東 (バーレーン) リージョンで Amazon Inspector を使用していて、inspector2.amazonaws.comリージョンコードが付いている場合はme-south-1、inspector2.me-south-1.amazonaws.comステートメント内のをに置き換えます。

    サンプルステートメントでは、2 つの IAM グローバル条件キーを使用する条件を定義していることに注意してください。

    • aws: SourceAccount — この条件により、Amazon Inspector はお客様のアカウントのみのバケットにレポートを追加できます。これにより、Amazon Inspector が他のアカウントのバケットにレポートを追加できなくなります。具体的には、条件は、aws:SourceArn 条件で指定されたリソースおよびアクションに対して、バケットを使用できるアカウントを指定します。

      追加アカウントのレポートをバケットに保存するには、追加する各アカウントのアカウント ID をこの条件に追加します。次に例を示します。

      "aws:SourceAccount": [111122223333,444455556666,123456789012]

    • aws: SourceArn — この条件は、バケットに追加されるオブジェクトのソースに基づいてバケットへのアクセスを制限します。それにより、他の AWS のサービス がオブジェクトをバケットに追加することを防ぎます。また、Amazon Inspector がアカウントに対して他のアクションを実行しているときに、バケットにオブジェクトを追加することも防止されます。具体的には、Amazon Inspector がオブジェクトをバケットに追加できるのは、オブジェクトが検出結果レポートであり、それらのレポートがアカウントと条件で指定されたリージョンで作成された場合に限られます。

      Amazon Inspector が追加のアカウントに対して指定されたアクションを実行できるようにするには、追加のアカウントごとに Amazon リソースネーム (ARN) をこの条件に追加します。次に例を示します。

      "aws:SourceArn": [
    "arn:aws:inspector2:Region:111122223333:report/*",
    "arn:aws:inspector2:Region:444455556666:report/*",
    "arn:aws:inspector2:Region:123456789012:report/*"
]

      aws:SourceAccount と aws:SourceArn の条件によって指定されたアカウントは、一致する必要があります。

    どちらの条件も、Amazon S3 とのトランザクション中に Amazon Inspector が混乱した代理人として使用されるのを防ぐのに役立ちます。お勧めしませんが、バケットポリシーからこれらの条件を削除できます。

  9. バケットポリシーの更新が完了したら、[Save changes] (変更を保存する) を選択します。

ステップ 3: 以下のように設定する AWS KMS key

権限を確認して S3 バケットを設定したら、Amazon Inspector AWS KMS key で結果レポートを暗号化するためにどのバケットを使用するかを決定します。キーは、お客様が管理する対称暗号化 KMS キーである必要があります。さらに、キーはレポートを保存するように設定した S3 AWS リージョン バケットと同じである必要があります。

キーは、自分のアカウントの既存の KMS キーでも、別のアカウントが所有する既存の KMS キーでもかまいません。新しい KMS キーを使用する場合は、先に進む前にキーを作成します。別のアカウントが所有する既存のキーを使用する場合は、そのキーの Amazon リソースネーム (ARN) を取得します。Amazon Inspector からレポートをエクスポートするときに、この ARN を入力する必要があります。KMS キーの設定の作成と確認については、『開発者ガイド』の「キーの管理」を参照してください。AWS Key Management Service

使用する KMS キーを決定したら、Amazon Inspector にそのキーを使用するアクセス権限を付与します。そうしないと、Amazon Inspector はレポートを暗号化してエクスポートすることができません。Amazon Inspector にキーを使用するアクセス権限を付与するには、キーのキーポリシーを更新します。キーポリシーと KMS キーへのアクセス管理の詳細については、『AWS Key Management Service開発者ガイド』の「キーポリシー」を参照してください。AWS KMS

キーポリシーを更新するには
注記

以下の手順は、Amazon Inspector が既存のキーを使用できるように更新するためのものです。既存のキーをまだお持ちでない場合は、https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html作成に関するガイダンスをご覧ください。

  1. AWS KMS コンソール (https://console.aws.amazon.com/kms) を開きます。

  2. AWS リージョン を変更するには、ページの右上隅にあるリージョンセレクターを使用します。

  3. ナビゲーションペインで、[カスタマーマネージドキー] を選択します。

  4. レポートの暗号化に使用する KMS キーを選択します。キーは対称暗号化 (SYMMETRIC_DEFAULT) キーである必要があります。

  5. [Access policy] (アクセスポリシー) タブで [Edit] (編集) を選択します。[編集] ボタンのあるキーポリシーが表示されない場合は、まず [ポリシービューに切り替え] を選択する必要があります。

  6. 以下のステートメントの例をクリップボードにコピーします。

    {
    "Sid": "Allow Amazon Inspector to use the key",
    "Effect": "Allow",
    "Principal": {
        "Service": "inspector2.amazonaws.com"
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey*"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
            "aws:SourceArn": "arn:aws:inspector2:Region:111122223333:report/*"
        }
    }
}

  7. AWS KMSコンソールのキーポリシーエディターで、前のステートメントをキーポリシーに貼り付けてポリシーに追加します。

    ステートメントをポリシーに追加するときに、構文が有効であることを確認します。キーポリシーは JSON 形式を使用します。つまり、ポリシーのどこにステートメントを追加するかに応じて、ステートメントの前または後にカンマを追加する必要があります。ステートメントを最後のステートメントとして追加する場合は、前のステートメントの閉じ括弧の後にカンマを追加します。最初のステートメントとして、または既存の 2 つのステートメントの間に追加する場合は、ステートメントの終了括弧の後にカンマを追加します。

  8. ステートメントを環境に適した値に更新します。その場合は以下のようになります。

    • [111122223333] は、お客様の AWS アカウント のアカウント ID です。

    • Amazon Inspector がキーを使用してレポートを暗号化することを許可したい地域です。AWS リージョンus-east-1たとえば、米国東部 (バージニア北部) リージョンの場合です。

    注記

    手動で有効化された Amazon Inspector を使用している場合はAWS リージョン、Serviceフィールドの値に適切なリージョンコードも追加してください。たとえば、中東 (バーレーン) リージョンで Amazon Inspector を使用している場合は、をに置き換えてくださいinspector2.amazonaws.com。inspector2.me-south-1.amazonaws.com

    前のステップのバケットポリシーのサンプルステートメントと同様に、Conditionこの例のフィールドでは 2 つの IAM グローバル条件キーが使用されています。

    • aws: SourceAccount — この条件により、Amazon Inspector はお客様のアカウントに対してのみ指定されたアクションを実行できます。具体的には、aws:SourceArn 条件で指定されたリソースおよびアクションに対して、指定されたアクションを実行できるアカウントを決定します。

      Amazon Inspector が追加のアカウントに対して指定されたアクションを実行できるようにするには、追加の各アカウントのアカウント ID をこの条件に追加します。次に例を示します。

      "aws:SourceAccount": [111122223333,444455556666,123456789012]

    • aws: SourceArn — この条件により、AWS のサービス指定されたアクションを他のユーザーが実行できなくなります。また、Amazon Inspector がアカウントに対して他のアクションを実行する際にキーを使用することも防止されます。言い換えると、Amazon Inspector がキーを使用して S3 オブジェクトを暗号化できるのは、そのオブジェクトが検出結果レポートであり、それらのレポートがアカウントと条件で指定されたリージョンで作成された場合のみです。

      Amazon Inspector が追加のアカウントに対して指定されたアクションを実行できるようにするには、追加のアカウントごとに ARN をこの条件に追加します。次に例を示します。

      "aws:SourceArn": [
    "arn:aws:inspector2:us-east-1:111122223333:report/*",
    "arn:aws:inspector2:us-east-1:444455556666:report/*",
    "arn:aws:inspector2:us-east-1:123456789012:report/*"
]

      aws:SourceAccount と aws:SourceArn の条件によって指定されたアカウントは、一致する必要があります。

    これらの条件は、Amazon Inspector AWS KMSがとの取引中に混乱した代理人として使用されるのを防ぐのに役立ちます。お勧めしませんが、ステートメントからこれらの条件を削除できます。

  9. キーポリシーの更新が完了したら、[Save changes] を選択します。

ステップ 4: 調査結果レポートを設定してエクスポートする

権限を確認し、調査結果レポートを暗号化して保存するリソースを設定したら、レポートを設定してエクスポートする準備が整います。

調査結果レポートを設定してエクスポートするには

  1. https://console.aws.amazon.com/inspector/v2/home で Amazon Inspector コンソールを開きます。

  2. ナビゲーションペインの [結果] で、[すべての結果] を選択します。

  3. (オプション) Findings テーブルの上にあるフィルターバーを使用して、レポートに含める結果を指定するフィルター条件を追加します。条件を追加すると、Amazon Inspector は条件に一致する結果のみを含むようにテーブルを更新します。このテーブルには、レポートに含まれるデータのプレビューが表示されます。

    注記

    フィルター条件を追加することをお勧めします。追加しない場合、レポートには現在の結果のうち、AWS リージョンステータスが「有効」のすべてのデータが含まれます。組織の Amazon Inspector 管理者の場合、これには組織内のすべてのメンバーアカウントの検出結果データが含まれます。

    レポートにすべてまたは多数の結果のデータが含まれている場合、レポートの生成とエクスポートには時間がかかり、一度に 1 つのレポートしかエクスポートできません。

  4. [結果をエクスポート] を選択します。

  5. [エクスポート設定] セクションの [エクスポートファイルタイプ] で、レポートのファイル形式を指定します。

    • JavaScript データを含むオブジェクト表記 (.json) ファイルを作成するには、JSON を選択します。

      JSON オプションを選択した場合、レポートには各結果のすべてのフィールドが含まれます。使用可能な JSON フィールドのリストについては、Amazon Inspector API リファレンスの「データ型の検索」を参照してください。

    • データを含むカンマ区切り値 (.csv) ファイルを作成するには、[CSV] を選択します。

      CSV オプションを選択した場合、レポートには各結果のフィールドのサブセット、つまり結果の主要な属性を報告する約 45 のフィールドのみが含まれます。フィールドには、[結果のタイプ]、[タイトル]、[重要度]、[ステータス]、[説明]、[最初に確認した]、[最後に確認した]、[修正可能]、[AWSアカウント ID]、[リソース ID]、[リソースタグ]、[是正] が含まれます。これらのフィールドに加えて、各結果のスコアリングの詳細と参照 URL を記録するフィールドもあります。以下は、調査結果レポートの CSV ヘッダーのサンプルです。

      AWS Account Id Severity Fix Available Finding Type Title Description Finding ARN First Seen Last Seen Last Updated Resource ID Container Image Tags Region Platform Resource Tags Affected Packages Package Installed Version Fixed in Version Package Remediation File Path Network Paths Age (Days) Remediation Inspector Score Inspector Score Vector Status Vulnerability Id Vendor Vendor Severity Vendor Advisory Vendor Advisory Published NVD CVSS3 Score NVD CVSS3 Vector NVD CVSS2 Score NVD CVSS2 Vector Vendor CVSS3 Score Vendor CVSS3 Vector Vendor CVSS2 Score Vendor CVSS2 Vector Resource Type Ami Resource Public Ipv4 Resource Private Ipv4 Resource Ipv6 Resource Vpc Port Range Exploit Available Last Exploited At Lambda Layers Lambda Package Type Lambda Last Updated At Reference Urls

  6. [エクスポート場所] の [S3 URI] で、レポートを保存する S3 バケットを指定します。

    • アカウントが所有するバケットにレポートを保存するには、[Browse S3] を選択します。Amazon Inspector には、アカウントの S3 バケットのテーブルが表示されます。目的のバケットの行を選択し、[Choose] を選択します。

      ヒント

      レポートの Amazon S3 パスプレフィックスも指定するには、S3 URI ボックスの値にスラッシュ (/) とプレフィックスを追加します。その後、Amazon Inspector はレポートをバケットに追加するときにプレフィックスを含め、Amazon S3 はプレフィックスで指定されたパスを生成します。

      たとえば、AWS アカウント ID をプレフィックスとして使用し、アカウント ID が 111122223333 の場合は、S3 URI ボックスの値に追加します/111122223333。

      プレフィックスは S3 バケット内のディレクトリパスに似ています。似たようなファイルをファイルシステム上のフォルダにまとめて保存するのと同じように、類似のオブジェクトをバケットにまとめることができます。詳細については、Amazon Simple Storage Service ユーザーガイドの「フォルダを使用して Amazon S3 コンソールでオブジェクトを整理する」を参照してください。

    • 別のアカウントが所有するバケットにレポートを保存するには、バケットの URI を入力します。たとえばs3://DOC-EXAMPLE_BUCKET、DOC-EXAMPLE_BUCKET はバケットの名前です。バケット所有者は、この情報をバケットのプロパティで自動的に確認できます。

  7. KMS キーには、AWS KMS keyレポートの暗号化に使用したいものを指定します。

    • 自分のアカウントのキーを使用するには、リストからキーを選択します。リストには、お客様のアカウントの、お客様が管理する対称暗号化 KMS キーが表示されます。

    • 別のアカウントが所有するキーを使用するには、キーの Amazon リソースネーム (ARN) を入力します。キーの所有者は、キーのプロパティでこの情報をユーザーに代わって確認できます。詳細については、『AWS Key Management Service開発者ガイド』の「キー ID とキー ARN の検索」を参照してください。

  8. [エクスポート] をクリックします。

Amazon Inspector は結果レポートを生成し、指定した KMS キーで暗号化して、指定した S3 バケットに追加します。レポートに含めるように選択した結果の数によっては、このプロセスに数分または数時間かかる場合があります。エクスポートが完了すると、Amazon Inspector は結果レポートが正常にエクスポートされたことを示すメッセージを表示します。オプションで、メッセージ内の [レポートを表示] を選択し、Amazon S3 のレポートに移動します。

一度に 1 つのレポートしかエクスポートできないことに注意してください。エクスポートが進行中の場合は、エクスポートが完了するまで待ってから、別のレポートをエクスポートしてください。

エクスポートエラーのトラブルシューティング

結果レポートをエクスポートしようとしたときにエラーが発生した場合、Amazon Inspector はエラーを説明するメッセージを表示します。このトピックの情報は、エラーの考えられる原因と解決策を特定するためのガイドとして使用できます。

たとえば、S3 バケットが現在の状態にあり、AWS リージョンバケットのポリシーで Amazon Inspector がバケットにオブジェクトを追加することを許可していることを確認します。また、AWS KMS key現在のリージョンでが有効になっていることを確認し、キーポリシーによって Amazon Inspector によるキーの使用が許可されていることを確認します。

エラーを解決したら、レポートをもう一度エクスポートしてみます。

「複数のレポートを作成することはできません」というエラーは発生しません

レポートを作成しようとしても、Amazon Inspector が既にレポートを生成している場合、「理由:複数のレポートを作成することはできません」というエラーが表示されます。このエラーは、Amazon Inspector がアカウントに対して一度に 1 つのレポートしか生成できないために発生します。

エラーを解決するには、他のレポートが終了するのを待つか、キャンセルしてから新しいレポートをリクエストしてください。

オペレーションを使用してレポートのステータスを確認できます。GetFindingsReportStatusこの操作では、現在生成中のレポートのレポート ID が返されます。

必要に応じて、操作によって指定されたレポート ID を使用して、GetFindingsReportStatus操作を使用して現在進行中のエクスポートをキャンセルできます。CancelFindingsReport