翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
検出結果の機密データサンプルを取得するように Macie を設定する
オプションで Amazon Macie を設定して使用し、Macie が個々の機密データ検出結果で報告する機密データのサンプルを取得して公開することができます。サンプルは、Macie が検出した機密データの性質を確認するのに役立ちます。また、影響を受ける Amazon Simple Storage Service (Amazon S3) オブジェクトとバケットの調査を調整するのにも役立ちます。アジアパシフィック (大阪) およびイスラエル (テルアビブ) リージョンを除く AWS リージョン Macie が現在利用可能なすべての で、機密データのサンプルを取得して公開できます。
検出結果の機密データのサンプルを取得して公開すると、Macie は対応する機密データの検出結果のデータを使用して、影響を受ける S3 オブジェクト内の機密データの出現を見つけます。次に、Macie は該当オブジェクトからそれらの出現のサンプルを抽出します。Macie は、抽出されたデータを指定した AWS Key Management Service (AWS KMS) キーで暗号化し、暗号化されたデータをキャッシュに一時的に保存し、検出結果の結果にデータを返します。Macie は、運用上の問題を解決するために一時的に追加の保存が必要になった場合を除き、抽出と暗号化の直後に、データをキャッシュから完全に削除します。
検出結果についての機密データのサンプルを取得して公開するには、まず Macie アカウントの設定を構成し、有効にする必要があります。また、アカウントのためにサポートリソースと許可を設定する必要があります。このセクションのトピックでは、機密データのサンプルを取得して公開するように Macie を設定し、アカウントの設定ステータスを管理するプロセスについて説明します。
ヒント
この機能へのアクセスを制御するために使用できる推奨事項とポリシーの例については、AWS セキュリティブログのAmazon Macie を使用して S3 バケット内の機密データをプレビューする方法
開始する前に
検出結果についての機密データのサンプルを取得して公開するように Amazon Macie を設定する前に、必要なリソースと許可を確実に備えているようにするために次のタスクを完了します。
タスク
機密データのサンプルを取得して公開するように Macie を既に設定しており、構成設定のみを変更したい場合、これらのタスクはオプションです。
ステップ 1: 機密データ検出の結果のリポジトリを設定する
検出結果の機密データのサンプルを取得して公開すると、Macie は対応する機密データの検出結果のデータを使用して、影響を受ける S3 オブジェクト内の機密データの出現を見つけます。そのため、機密データ検出の結果用のリポジトリを設定していることを確認することが重要です。そうしないと、Macie は、取得して公開したい機密データのサンプルを見つけることができません。
アカウントのためにこのリポジトリを設定済みであるかどうかを確認するには、Amazon Macie コンソールを使用します。ナビゲーションペインで [検出の結果] ([設定] の下にあります) を選択します。プログラムでこれを行うには、Amazon Macie の GetClassificationExportConfigurationオペレーションを使用しますAPI。機密データ検出の結果とこのリポジトリの設定方法の詳細については、「機密データ検出結果の保存と保持」を参照してください。
ステップ 2: 対象の S3 オブジェクトにアクセスする方法を決定する
対象の S3 オブジェクトにアクセスし、そこから機密データのサンプルを取得するには、2 つのオプションがあります。 AWS Identity and Access Management (IAM) ユーザー認証情報を使用するように Macie を設定できます。または、Macie へのアクセスを委任する IAMロールを引き受けるように Macie を設定することもできます。いずれの設定も、組織のために委任された Macie 管理者アカウント、組織内の Macie メンバーアカウント、スタンドアロン Macie アカウントなど、あらゆるタイプの Macie アカウントで使用できます。Macie で設定を構成する前に、使用するアクセスメソッドを決定します。各メソッドのオプションと要件の詳細については、「サンプルを取得するための設定オプション」を参照してください。
IAM ロールを使用する予定がある場合は、Macie で設定する前にロールを作成して設定します。また、ロールの信頼ポリシーと許可ポリシーが、Macie がロールを引き受けるためのすべての要件を満たしているようにしてください。アカウントが複数の Macie アカウントを一元的に管理する組織に属している場合は、まず Macie 管理者と協力して、アカウントのためにロールを設定するかどうか、またその設定方法を決定します。
ステップ 3: を設定する AWS KMS key
検出結果の機密データのサンプルを取得して公開すると、Macie は指定した AWS Key Management Service (AWS KMS) キーを使用してサンプルを暗号化します。そのため、サンプルを暗号化するために使用する AWS KMS key を決定する必要があります。キーは、自分のアカウントからの既存のKMSキーでも、別のアカウントが所有する既存のKMSキーでもかまいません。別のアカウントが所有するキーを使用する場合は、キーの Amazon リソースネーム (ARN) を取得します。Macie で構成設定を入力するARNときに、これを指定する必要があります。
KMS キーは、カスタマー管理の対称暗号化キーである必要があります。また、Macie アカウント AWS リージョン と同じ で有効になっている単一リージョンキーである必要があります。KMS キーは外部キーストアに格納できます。ただし、そのキーは、完全に AWS KMS内で管理されるキーよりも遅く、信頼性が低くなる可能性があります。レイテンシーまたは可用性の問題により、取得して公開したい機密データサンプルを Macie が暗号化できない場合、エラーが発生し、Macie は検出結果のサンプルを返しません。
さらに、キーのキーポリシーでは、適切なプリンシパル (IAM ロール、IAMユーザー、または AWS アカウント) が次のアクションを実行できるようにする必要があります。
-
kms:Decrypt
-
kms:DescribeKey
-
kms:GenerateDataKey
重要
アクセスコントロールの追加レイヤーとして、取得される機密データサンプルの暗号化専用のKMSキーを作成し、そのキーの使用を、機密データサンプルの取得と公開を許可する必要があるプリンシパルのみに制限することをお勧めします。ユーザーがキーのために前述のアクションを実行することを許可されていない場合、Macie は、機密データのサンプルを取得して公開するという当該ユーザーのリクエストを拒否します。Macie は、検出結果についてのサンプルを返しません。
KMS キーの作成と設定の詳細については、「 AWS Key Management Service デベロッパーガイド」の「キーの管理」を参照してください。キーポリシーを使用してキーへのアクセスを管理する方法についてはKMS、「 AWS Key Management Service デベロッパーガイド」の「 のキーポリシー AWS KMS」を参照してください。
ステップ 4: 許可を確認する
Macie で設定を構成する前に、必要な許可が付与されていることも確認してください。アクセス許可を確認するには、 AWS Identity and Access Management (IAM) を使用して、IAMID にアタッチされているIAMポリシーを確認します。次にこれらのポリシー内の情報を、実行が許可される必要がある次のアクションのリストと比較します。
- Amazon Macie
-
Macie の場合、次のアクションの実行が許可されていることを確認します。
-
macie2:GetMacieSession
-
macie2:UpdateRevealConfiguration
1 つ目のアクションでは、Macie アカウントにアクセスできます。2 つ目のアクションでは、機密データのサンプルを取得して公開するための設定を変更できます。これには、アカウントの設定の有効化と無効化が含まれます。
オプションで、
macie2:GetRevealConfiguration
アクションの実行も許可されていることを確認します。このアクションにより、アカウントの現在の設定設定と設定の現在の状態を取得できます。 -
- AWS KMS
-
Amazon Macie コンソールを使用して構成設定を入力する場合は、次の AWS Key Management Service (AWS KMS) アクションの実行も許可されていることを確認します。
-
kms:DescribeKey
-
kms:ListAliases
これらのアクションにより、アカウントの AWS KMS keys に関する情報を取得できます。その後、設定を入力するときに、これらのキーのいずれかを選択できます。
-
- IAM
-
機密データのサンプルを取得して公開する IAMロールを引き受けるように Macie を設定する場合は、次のIAMアクションの実行も許可されていることを確認します:
iam:PassRole
。このアクションにより、ロールを Macie に渡すことができ、Macie がそのロールを引き受けることができるようになります。アカウントのために構成設定を入力すると、Macie はそのロールがアカウントに存在し、正しく設定されていることを検証することもできます。
必要なアクションを実行することが許可されていない場合は、 AWS 管理者にサポートを依頼してください。
Macie の設定の構成と有効化
必要なリソースと許可があることを確認したら、Amazon Macie で設定を構成し、アカウントのために設定を有効にすることができます。
アカウントが複数の Macie アカウントを一元的に管理する組織に属している場合は、アカウントのために設定を構成する前、または構成した後にその設定を変更する前に、次の点に留意してください。
-
メンバーアカウントがある場合は、Macie の管理者と協力して、アカウントのために設定を構成するかどうか、およびその方法を決定します。Macie の管理者は、アカウントのために正しい構成設定を決定するのをサポートできます。
-
Macie の管理者アカウントがあり、対象の S3 オブジェクトにアクセスするための設定を変更すると、その変更によって、組織の他のアカウントやリソースに影響が及ぶ可能性があります。これは、Macie が機密データのサンプルを取得するための AWS Identity and Access Management (IAM) ロールを引き受けるように現在設定されているかどうかによって異なります。IAM ユーザー認証情報を使用するように Macie を再設定した場合、Macie はIAMロールの名前と設定の外部 ID というロールの既存の設定を完全に削除します。その後、組織がIAMロールを再度使用することを選択した場合は、該当する各メンバーアカウントのロールの信頼ポリシーで新しい外部 ID を指定する必要があります。
いずれかのタイプのアカウントの設定オプションと要件の詳細については、「」を参照してくださいサンプルを取得するための設定オプション。
Macie で設定を行い、アカウントの設定を有効にするには、Amazon Macie コンソールまたは Amazon Macie を使用できますAPI。
Macie の設定の無効化
Amazon Macie アカウントの構成設定はいつでも無効にできます。設定を無効にすると、Macie は取得される機密データサンプルの暗号化 AWS KMS key に使用する を指定する 設定を保持します。Macie は、構成についての Amazon S3 のアクセス設定を完全に削除します。
警告
Macie アカウントのために構成設定を無効にすると、対象の S3 オブジェクトに対するアクセスメソッドを指定する現在の設定も完全に削除されます。Macie が現在、 AWS Identity and Access Management (IAM) ロールを引き受けて影響を受けるオブジェクトにアクセスするように設定されている場合、これにはロールの名前と、Macie が設定用に生成した外部 ID が含まれます。これらの設定は、削除後は復元できません。
Macie アカウントの設定を無効にするには、Amazon Macie コンソールまたは Amazon Macie を使用できますAPI。
Macie が機密データのサンプルを取得するための IAMロールを引き受けるように設定されている場合は、オプションでロールとロールのアクセス許可ポリシーを削除できます。アカウントのために構成設定を無効にしても、Macie はこれらのリソースを削除しません。さらに、Macie は、これらのリソースを使用してアカウントの他のタスクを実行することはありません。ロールとそのアクセス許可ポリシーを削除するには、 IAMコンソールまたは IAM を使用できますAPI。詳細については、「AWS Identity and Access Management ユーザーガイド」の「ロールの削除」を参照してください。