Amazon Redshift の Security Hub コントロール - AWS Security Hub
[PCI.Redshift.1] Amazon Redshift クラスターはパブリックアクセスを禁止する必要があります[Redshift.2] Amazon Redshift クラスターへの接続は転送中に暗号化する必要があります[Redshift.3] Amazon Redshift クラスターでは、自動スナップショットが有効になっている必要があります[Redshift.4] Amazon Redshift クラスターでは、監査ログ記録が有効になっている必要があります[Redshift.6] Amazon Redshift でメジャーバージョンへの自動アップグレードが有効になっている必要があります[Redshift.7] Redshift クラスターは拡張VPCルーティングを使用する必要があります[Redshift.8] Amazon Redshift クラスターはデフォルトの管理者ユーザーネームを使用しないでください[Redshift.9] Redshift クラスターでは、デフォルトのデータベース名を使用しないでください[Redshift.10] Redshift クラスターは保存時に暗号化する必要があります[Redshift.11] Redshift クラスターにはタグを付ける必要があります[Redshift.12] Redshift イベント通知サブスクリプションにはタグを付ける必要があります[Redshift.13] Redshift クラスタースナップショットにはタグを付ける必要があります[Redshift.14] Redshift クラスターサブネットグループにタグを付ける必要があります[Redshift.15] Redshift セキュリティグループは、制限されたオリジンからのみクラスターポートへの進入を許可する必要があります

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Redshift の Security Hub コントロール

これら AWS Security Hub コントロールは、Amazon Redshift サービスとリソースを評価します。

これらのコントロールは、すべての で利用できるとは限りません。 AWS リージョン。 詳細については、「」を参照してくださいリージョン別のコントロールの可用性。

[PCI.Redshift.1] Amazon Redshift クラスターはパブリックアクセスを禁止する必要があります

関連する要件： PCI DSS v3.2.1/1.2.1、PCIDSSv3.2.1/1.3.1、PCIDSSv3.2.1/1.3.2、PCIDSSv3.2.1/1.3.4、PCIDSSv3.2.1/1.3.6, NIST.800-53.r5 AC-21 NIST.800-53.r5 AC-3、 NIST.800-53.r5 AC-3(7)、 NIST.800-53.r5 AC-4(21) NIST.800-53.r5 AC-6、、 NIST.800-53.r5 SC-7(11)、 NIST.800-53.r5 SC-7(16) NIST.800-53.r5 AC-4、 NIST.800-53.r5 SC-7(20)、 NIST.800-53.r5 SC-7(21) NIST.800-53.r5 SC-7、 NIST.800-53.r5 SC-7(3)、 NIST.800-53.r5 SC-7(4)、 NIST.800-53.r5 SC-7(9)

カテゴリ: 保護 > セキュアなネットワーク設定 > パブリックアクセス不可のリソース

重要度: 非常事態

リソースタイプ : AWS::Redshift::Cluster

AWS Config ルール： redshift-cluster-public-access-check

スケジュールタイプ: 変更がトリガーされた場合

パラメータ: なし

このコントロールは、Amazon Redshift クラスターがパブリックにアクセス可能かどうかをチェックします。このコントロールは、クラスター設定項目の PubliclyAccessible フィールドを評価します。

Amazon Redshift クラスター設定の PubliclyAccessible 属性は、クラスターがパブリックにアクセス可能かどうかを示します。クラスターを PubliclyAccessibleに設定した場合true、クラスターはパブリックに解決可能なDNS名前を持つインターネット向けインスタンスであり、パブリック IP アドレスに解決されます。

クラスターがパブリックにアクセスできない場合、クラスターはプライベート IP アドレスに解決されるDNS名前の内部インスタンスです。クラスターをパブリックにアクセスさせる意図がない限り、クラスターは PubliclyAccessible を true に設定しないでください。

修正

Amazon Redshift クラスターを更新してパブリックアクセスを無効にするには、「Amazon Redshift 管理ガイド」の「クラスターの変更」を参照してください。[Publicly Accessible] を [No] に設定します。

[Redshift.2] Amazon Redshift クラスターへの接続は転送中に暗号化する必要があります

関連する要件： NIST.800-53.r5 AC-4， NIST.800-53.r5 SC-13, NIST.800-53.r5 SC-23, NIST.800-53.r5 SC-23(3), NIST.800-53.r5 SC-7(4), NIST.800-53.r5 SC-8， NIST.800-53.r5 SC-8(1), NIST.800-53.r5 SC-8(2)

カテゴリ： 保護 > データ保護 > の暗号化 data-in-transit

重要度: 中

リソースタイプ： AWS::Redshift::Cluster AWS::Redshift::ClusterParameterGroup

AWS Config ルール： redshift-require-tls-ssl

スケジュールタイプ: 変更がトリガーされた場合

パラメータ: なし

このコントロールは、Amazon Redshift クラスターへの接続において、転送中に暗号化を使用する必要があるかどうかをチェックします。Amazon Redshift クラスターパラメータ require_SSL が True に設定されていない場合、チェックは失敗します。

TLS は、潜在的な攻撃者がネットワークトラフィックを傍受 person-in-the-middle または操作するために または同様の攻撃を使用することを防ぐのに役立ちます。経由の暗号化された接続のみを許可TLSする必要があります。転送中のデータの暗号化は、パフォーマンスに影響する可能性があります。パフォーマンスプロファイルと の影響を理解するには、この機能を使用してアプリケーションをテストする必要がありますTLS。

修正

Amazon Redshift パラメータグループを更新して暗号化を要求するには、「Amazon Redshift 管理ガイド」の「パラメータグループの変更」を参照してください。require_sslを True に設定します。

[Redshift.3] Amazon Redshift クラスターでは、自動スナップショットが有効になっている必要があります

関連する要件： NIST.800-53.r5 CP-10, NIST.800-53.r5 CP-6, NIST.800-53.r5 CP-6(1), NIST.800-53.r5 CP-6(2), NIST.800-53.r5 CP-9, NIST.800-53.r5 SC-5 (2), NIST.800-53.r5 SC-7(10), NIST.800-53.r5 SI-13 (5)

カテゴリ: リカバリ > 耐障害性 > バックアップの有効化

重要度: 中

リソースタイプ : AWS::Redshift::Cluster

AWS Config ルール： redshift-backup-enabled

スケジュールタイプ : 変更がトリガーされた場合

パラメータ :

パラメータ 説明 [Type] (タイプ) 許可されているカスタム値 Security Hub のデフォルト値

​MinRetentionPeriod

最小スナップショット保持期間 (日数)

整数

7 ～35

7

このコントロールは、Amazon Redshift クラスターで自動スナップショットが有効になっているかどうか、および保持期間が指定された時間枠以上であるかどうかをチェックします。クラスターの自動スナップショットが有効になっていない場合や、保持期間が指定された時間枠未満の場合、コントロールは失敗します。スナップショット保持期間に対してカスタムパラメータ値を指定しない限り、Security Hub はデフォルト値の 7 日を使用します。

バックアップは、セキュリティインシデントからより迅速に復元するために役立ちます。これにより、システムの耐障害性が強化されます。Amazon Redshift は、デフォルトで定期的にスナップショットを作成します。このコントロールは、自動スナップショットが有効で、少なくとも 7 日間保持されているかどうかをチェックします。Amazon Redshift の自動スナップショットの詳細については、「Amazon Redshift 管理ガイド」の「自動スナップショット」を参照してください。

修正

Amazon Redshift クラスターのスナップショット保持期間を更新するには、「Amazon Redshift 管理ガイド」の「クラスターの変更」を参照してください。[Backup] (バックアップ) の場合、[Snapshot retention] (スナップショットの保持) を 7 以上の値に設定します。

[Redshift.4] Amazon Redshift クラスターでは、監査ログ記録が有効になっている必要があります

関連する要件： NIST.800-53.r5 AC-2 (4) NIST.800-53.r5 AC-4、(26)、 NIST.800-53.r5 AC-6(9) NIST.800-53.r5 AU-10, NIST.800-53.r5 AU-12, NIST.800-53.r5 AU-2, NIST.800-53.r5 AU-3, NIST.800-53.r5 AU-6(3), NIST.800-53.r5 AU-6(4), NIST.800-53.r5 CA-7、 NIST.800-53.r5 SC-7(9)、NIST.800-53.r5 SI-3(8)、NIST.800-53.r5 SI-4(20)、NIST.800-53.r5 SI-7(8)

カテゴリ: 識別 > ログ記録

重要度: 中

リソースタイプ : AWS::Redshift::Cluster

AWS Config ルール： redshift-cluster-audit-logging-enabled (カスタム Security Hub ルール）

スケジュールタイプ : 変更がトリガーされた場合

パラメータ :

  • loggingEnabled = true (カスタマイズ不可)

このコントロールは、Amazon Redshift クラスターで監査ログ記録が有効になっているかどうかをチェックします。

Amazon Redshift 監査ログ記録は、ユーザーのクラスター内の接続とユーザーアクティビティに関する追加情報を提供します。このデータは、Amazon S3 内で保存および保護することができ、セキュリティ監査や調査に役立ちます。詳細については、「Amazon Redshift 管理ガイド」の「データベース監査ログ記録」を参照してください。

修正

Amazon Redshift クラスターの監査ログを設定するには、「Amazon Redshift 管理ガイド」の「コンソールを使用して監査を設定する」を参照してください。

[Redshift.6] Amazon Redshift でメジャーバージョンへの自動アップグレードが有効になっている必要があります

関連する要件： NIST.800-53.r5 CA-9 (1)、 NIST.800-53.r5 CM-2, NIST.800-53.r5 CP-9, NIST.800-53.r5 SC-5(2)、NIST.800-53.r5 SI-2、NIST.800-53.r5 SI-2(2)、NIST.800-53.r5 SI-2(4)、NIST.800-53.r5 SI-2(5)

カテゴリ: 特定 > 脆弱性、パッチ、バージョン管理

重要度: 中

リソースタイプ : AWS::Redshift::Cluster

AWS Config ルール： redshift-cluster-maintenancesettings-check

スケジュールタイプ : 変更がトリガーされた場合

パラメータ :

  • allowVersionUpgrade = true (カスタマイズ不可)

このコントロールは、Amazon Redshift クラスターで自動メジャーバージョンアップグレードが有効になっているかどうかをチェックします。

自動メジャーバージョンアップグレードを有効にすることで、メンテナンスウィンドウ中に Amazon Redshift クラスターの最新のメジャーバージョンの更新がインストールされます。これらのアップデートには、セキュリティパッチやバグ修正が含まれる場合があります。パッチのインストールを最新の状態に保つことは、システムを保護する上で重要なステップです。

修正

からこの問題を修正するには AWS CLI、Amazon Redshift modify-cluster コマンドを使用して --allow-version-upgrade 属性を設定します。 clusternameは Amazon Redshift クラスターの名前です。

aws redshift modify-cluster --cluster-identifier clustername --allow-version-upgrade

[Redshift.7] Redshift クラスターは拡張VPCルーティングを使用する必要があります

関連する要件： NIST.800-53.r5 AC-4， NIST.800-53.r5 AC-4(21), NIST.800-53.r5 SC-7， NIST.800-53.r5 SC-7(11), NIST.800-53.r5 SC-7(20), NIST.800-53.r5 SC-7(21), NIST.800-53.r5 SC-7(4), NIST.800-53.r5 SC-7(9)

カテゴリ： 保護 > 安全なネットワーク設定 > APIプライベートアクセス

重要度: 中

リソースタイプ : AWS::Redshift::Cluster

AWS Config ルール： redshift-enhanced-vpc-routing-enabled

スケジュールタイプ: 変更がトリガーされた場合

パラメータ: なし

このコントロールは、Amazon Redshift クラスターで EnhancedVpcRouting が有効かどうかをチェックします。

強化されたVPCルーティングにより、クラスターCOPYとデータリポジトリ間のすべての および UNLOADトラフィックが を通過しますVPC。その後、セキュリティグループやネットワークアクセスコントロールリストなどのVPC機能を使用して、ネットワークトラフィックを保護できます。VPC フローログを使用してネットワークトラフィックをモニタリングすることもできます。

修正

詳細な修復手順については、「Amazon Redshift 管理ガイド」の「拡張VPCルーティングの有効化」を参照してください。

[Redshift.8] Amazon Redshift クラスターはデフォルトの管理者ユーザーネームを使用しないでください

関連する要件： NIST.800-53.r5 CA-9 (1)、NIST.800-53.r5 CM-2

カテゴリ: 識別 > リソース設定

重要度: 中

リソースタイプ : AWS::Redshift::Cluster

AWS Config ルール： redshift-default-admin-check

スケジュールタイプ: 変更がトリガーされた場合

パラメータ : なし

このコントロールは、Amazon Redshift クラスターが、管理者ユーザーネームをデフォルト値から変更したかどうかをチェックします。Redshift クラスターの管理者ユーザーネームが awsuser に設定されている場合、このコントロールは失敗します。

Amazon RDS クラスターを作成するときは、デフォルトの管理者ユーザーネームを一意の値に変更する必要があります。デフォルトのユーザーネームはパブリックナレッジであり、設定時に変更する必要があります。デフォルトのユーザーネームを変更すると、意図しないアクセスのリスクが軽減されます。

修正

Amazon Redshift クラスターの作成後に管理者ユーザー名を変更することはできません。デフォルト以外のユーザー名で新しいクラスターを作成するには、「Amazon Redshift 入門ガイド」の「ステップ 1: Amazon Redshift クラスターのサンプルを作成する」を参照してください。

[Redshift.9] Redshift クラスターでは、デフォルトのデータベース名を使用しないでください

関連する要件： NIST.800-53.r5 CA-9 (1)、NIST.800-53.r5 CM-2

カテゴリ: 識別 > リソース設定

重要度: 中

リソースタイプ : AWS::Redshift::Cluster

AWS Config ルール： redshift-default-db-name-check

スケジュールタイプ: 変更がトリガーされた場合

パラメータ : なし

このコントロールは、Amazon Redshift クラスターが、データベース名をデフォルト値から変更したかどうかをチェックします。Redshift クラスターのデータベース名が dev に設定されている場合、このコントロールは失敗します。

Redshift クラスターを作成するときは、デフォルトのデータベース名を一意の値に変更する必要があります。デフォルトの名前は一般に知られているため、設定時に変更する必要があります。例えば、よく知られている名前を使用すると、IAMポリシー条件で使用した場合、意図しないアクセスにつながる可能性があります。

修正

Amazon Redshift クラスターのデータベース名は、作成後に変更することはできません。新規クラスターの作成方法については、「Amazon Redshift の入門ガイド」の「Amazon Redshift の開始方法」を参照してください。

[Redshift.10] Redshift クラスターは保存時に暗号化する必要があります

関連する要件： NIST.800-53.r5 CA-9 (1)、 NIST.800-53.r5 CM-3(6), NIST.800-53.r5 SC-13、 NIST.800-53.r5 SC-28、 NIST.800-53.r5 SC-28 (1)、NIST.800-53.r5 SI-7 (6)

カテゴリ： 保護 > データ保護 > の暗号化 data-at-rest

重要度: 中

リソースタイプ : AWS::Redshift::Cluster

AWS Config ルール： redshift-cluster-kms-enabled

スケジュールタイプ: 変更がトリガーされた場合

パラメータ : なし

このコントロールは、Amazon Redshift クラスターが保管時に暗号化されているかどうかをチェックします。Redshift クラスターが保存時に暗号化されていない場合、または暗号化キーがルールパラメータで指定されたキーと異なる場合、コントロールは失敗します。

Amazon Redshift では、クラスターに対してデータベースの暗号化を有効にして、保管中のデータを保護できます。クラスターに対して暗号化を有効にすると、クラスターとそのスナップショットのデータブロックとシステムメタデータが暗号化されます。保管中のデータの暗号化は、データにアクセス管理のレイヤーを追加できるため、推奨されるベストプラクティスです。保管中の Redshift クラスターを暗号化すると、認証されていないユーザーがディスクに保存しているデータにアクセスするリスクが低減されます。

修正

KMS 暗号化を使用するように Redshift クラスターを変更するには、「Amazon Redshift 管理ガイド」の「クラスター暗号化の変更」を参照してください。

[Redshift.11] Redshift クラスターにはタグを付ける必要があります

カテゴリ: 識別 > インベントリ > タグ付け

重要度: 低

リソースタイプ : AWS::Redshift::Cluster

AWS Config ルール： tagged-redshift-cluster (カスタム Security Hub ルール）

スケジュールタイプ : 変更がトリガーされた場合

パラメータ :

パラメータ 説明 [Type] (タイプ) 許可されているカスタム値 Security Hub のデフォルト値
requiredTagKeys 評価されたリソースに含める必要があるシステム以外のタグキーのリスト。タグキーでは、大文字と小文字が区別されます。 StringList を満たすタグのリスト AWS の要件 No default value

このコントロールは、Amazon Redshift クラスターにパラメータ で定義された特定のキーを持つタグがあるかどうかをチェックしますrequiredTagKeys。クラスターにタグキーがない場合、またはパラメータ で指定されたすべてのキーがない場合、コントロールは失敗しますrequiredTagKeys。パラメータが指定されていない場合、コントロールrequiredTagKeysはタグキーの存在のみをチェックし、クラスターにキーがタグ付けされていない場合は失敗します。で始まるシステムタグは自動的に適用されaws:、無視されます。

タグは、 に割り当てるラベルです。 AWS リソースは、キーとオプションの値で構成されます。タグを作成することで、リソースを目的、所有者、環境その他の基準別に分類できます。タグは、リソースの識別、整理、検索、フィルタリングに役立ちます。また、タグ付けは、アクションと通知の説明責任のあるリソース所有者を追跡するのに役立ちます。タグ付けを使用すると、属性ベースのアクセスコントロール (ABAC) を認証戦略として実装できます。これは、タグに基づいてアクセス許可を定義します。IAM エンティティ (ユーザーまたはロール) と にタグをアタッチできます。 AWS リソースの使用料金を見積もることができます。IAM プリンシパルには、1 つのABACポリシーまたは個別のポリシーセットを作成できます。プリンシパルのタグがリソースタグと一致するときにオペレーションを許可するように、これらのABACポリシーを設計できます。詳細については、「 とはABAC」を参照してください。 AWSIAM ユーザーガイド の ?。

注記

個人を特定できる情報 (PII) やその他の機密情報や機密情報をタグに追加しないでください。タグには多くの がアクセスできます AWS のサービスを含む AWS Billing。 タグ付けのベストプラクティスの詳細については、「 のタグ付け」を参照してください。 AWS の リソース AWS 全般のリファレンス.

修正

Redshift クラスターにタグを追加するには、「Amazon Redshift 管理ガイド」の「Amazon Redshift でのリソースのタグ付け」を参照してください。

[Redshift.12] Redshift イベント通知サブスクリプションにはタグを付ける必要があります

カテゴリ: 識別 > インベントリ > タグ付け

重要度: 低

リソースタイプ : AWS::Redshift::EventSubscription

AWS Config ルール： tagged-redshift-eventsubscription (カスタム Security Hub ルール）

スケジュールタイプ : 変更がトリガーされた場合

パラメータ :

パラメータ 説明 [Type] (タイプ) 許可されているカスタム値 Security Hub のデフォルト値
requiredTagKeys 評価されたリソースに含める必要があるシステム以外のタグキーのリスト。タグキーでは、大文字と小文字が区別されます。 StringList を満たすタグのリスト AWS の要件 No default value

このコントロールは、Amazon Redshift クラスタースナップショットに、パラメータ で定義された特定のキーを持つタグがあるかどうかをチェックしますrequiredTagKeys。クラスタースナップショットにタグキーがない場合、またはパラメータ で指定されたすべてのキーがない場合、コントロールは失敗しますrequiredTagKeys。パラメータが指定されていない場合、コントロールrequiredTagKeysはタグキーの存在のみをチェックし、クラスタースナップショットにキーのタグが付けられていない場合は失敗します。で始まるシステムタグは自動的に適用されaws:、無視されます。

タグは、 に割り当てるラベルです。 AWS リソースは、キーとオプションの値で構成されます。タグを作成することで、リソースを目的、所有者、環境その他の基準別に分類できます。タグは、リソースの識別、整理、検索、フィルタリングに役立ちます。また、タグ付けは、アクションと通知の説明責任のあるリソース所有者を追跡するのに役立ちます。タグ付けを使用すると、属性ベースのアクセスコントロール (ABAC) を認証戦略として実装できます。これは、タグに基づいてアクセス許可を定義します。IAM エンティティ (ユーザーまたはロール) と にタグをアタッチできます。 AWS リソースの使用料金を見積もることができます。IAM プリンシパルには、1 つのABACポリシーまたは個別のポリシーセットを作成できます。プリンシパルのタグがリソースタグと一致するときにオペレーションを許可するように、これらのABACポリシーを設計できます。詳細については、「 とはABAC」を参照してください。 AWSユーザーガイドの「」。 IAM

注記

個人を特定できる情報 (PII) やその他の機密情報や機密情報をタグに追加しないでください。タグには多くの がアクセスできます AWS のサービスを含む AWS Billing。 タグ付けのベストプラクティスの詳細については、「 のタグ付け」を参照してください。 AWS の リソース AWS 全般のリファレンス.

修正

Redshift イベント通知サブスクリプションにタグを追加するには、「Amazon Redshift 管理ガイド」の「Amazon Redshift でのリソースのタグ付け」を参照してください。

[Redshift.13] Redshift クラスタースナップショットにはタグを付ける必要があります

カテゴリ: 識別 > インベントリ > タグ付け

重要度: 低

リソースタイプ : AWS::Redshift::ClusterSnapshot

AWS Config ルール： tagged-redshift-clustersnapshot (カスタム Security Hub ルール）

スケジュールタイプ : 変更がトリガーされた場合

パラメータ :

パラメータ 説明 [Type] (タイプ) 許可されているカスタム値 Security Hub のデフォルト値
requiredTagKeys 評価されたリソースに含める必要があるシステム以外のタグキーのリスト。タグキーでは、大文字と小文字が区別されます。 StringList を満たすタグのリスト AWS の要件 No default value

このコントロールは、Amazon Redshift クラスタースナップショットに、パラメータ で定義された特定のキーを持つタグがあるかどうかをチェックしますrequiredTagKeys。クラスタースナップショットにタグキーがない場合、またはパラメータ で指定されたすべてのキーがない場合、コントロールは失敗しますrequiredTagKeys。パラメータが指定されていない場合、コントロールrequiredTagKeysはタグキーの存在のみをチェックし、クラスタースナップショットにキーのタグが付けられていない場合は失敗します。自動的に適用され、 で始まるシステムタグaws:は無視されます。

タグは、 に割り当てるラベルです。 AWS リソースは、キーとオプションの値で構成されます。タグを作成することで、リソースを目的、所有者、環境その他の基準別に分類できます。タグは、リソースの識別、整理、検索、フィルタリングに役立ちます。また、タグ付けは、アクションと通知の説明責任のあるリソース所有者を追跡するのに役立ちます。タグ付けを使用すると、属性ベースのアクセスコントロール (ABAC) を認証戦略として実装できます。これは、タグに基づいてアクセス許可を定義します。IAM エンティティ (ユーザーまたはロール) と にタグをアタッチできます。 AWS リソースの使用料金を見積もることができます。IAM プリンシパルには、単一のABACポリシーまたは個別のポリシーセットを作成できます。プリンシパルのタグがリソースタグと一致するときにオペレーションを許可するように、これらのABACポリシーを設計できます。詳細については、「 とはABAC」を参照してください。 AWSユーザーガイドの「」。 IAM

注記

個人を特定できる情報 (PII) やその他の機密情報や機密情報をタグに追加しないでください。タグには多くの がアクセスできます AWS のサービスを含む AWS Billing。 タグ付けのベストプラクティスの詳細については、「 のタグ付け」を参照してください。 AWS の リソース AWS 全般のリファレンス.

修正

Redshift クラスタースナップショットにタグを追加するには、「Amazon Redshift 管理ガイド」の「Amazon Redshift でのリソースのタグ付け」を参照してください。

[Redshift.14] Redshift クラスターサブネットグループにタグを付ける必要があります

カテゴリ: 識別 > インベントリ > タグ付け

重要度: 低

リソースタイプ : AWS::Redshift::ClusterSubnetGroup

AWS Config ルール： tagged-redshift-clustersubnetgroup (カスタム Security Hub ルール）

スケジュールタイプ : 変更がトリガーされた場合

パラメータ :

パラメータ 説明 [Type] (タイプ) 許可されているカスタム値 Security Hub のデフォルト値
requiredTagKeys 評価されたリソースに含める必要があるシステム以外のタグキーのリスト。タグキーでは、大文字と小文字が区別されます。 StringList を満たすタグのリスト AWS の要件 No default value

このコントロールは、Amazon Redshift クラスターサブネットグループに、パラメータ で定義された特定のキーを持つタグがあるかどうかをチェックしますrequiredTagKeys。クラスターサブネットグループにタグキーがない場合、またはパラメータ で指定されたすべてのキーがない場合、コントロールは失敗しますrequiredTagKeys。パラメータが指定されていない場合、コントロールrequiredTagKeysはタグキーの存在のみをチェックし、クラスターサブネットグループにキーがタグ付けされていない場合は失敗します。自動的に適用され、 で始まるシステムタグaws:は無視されます。

タグは、 に割り当てるラベルです。 AWS リソースは、キーとオプションの値で構成されます。タグを作成することで、リソースを目的、所有者、環境その他の基準別に分類できます。タグは、リソースの識別、整理、検索、フィルタリングに役立ちます。また、タグ付けは、アクションと通知の説明責任のあるリソース所有者を追跡するのに役立ちます。タグ付けを使用すると、属性ベースのアクセスコントロール (ABAC) を認証戦略として実装できます。これは、タグに基づいてアクセス許可を定義します。IAM エンティティ (ユーザーまたはロール) と にタグをアタッチできます。 AWS リソースの使用料金を見積もることができます。IAM プリンシパルには、単一のABACポリシーまたは個別のポリシーセットを作成できます。プリンシパルのタグがリソースタグと一致するときにオペレーションを許可するように、これらのABACポリシーを設計できます。詳細については、「 とはABAC」を参照してください。 AWSユーザーガイドの「」。 IAM

注記

個人を特定できる情報 (PII) やその他の機密情報や機密情報をタグに追加しないでください。タグには多くの がアクセスできます AWS のサービスを含む AWS Billing。 タグ付けのベストプラクティスの詳細については、「 のタグ付け」を参照してください。 AWS の リソース AWS 全般のリファレンス.

修正

Redshift クラスターサブネットグループにタグを追加するには、「Amazon Redshift 管理ガイド」の「Amazon Redshift でのリソースのタグ付け」を参照してください。

[Redshift.15] Redshift セキュリティグループは、制限されたオリジンからのみクラスターポートへの進入を許可する必要があります

カテゴリ: 保護 > セキュアなネットワーク設定 > セキュリティグループの設定

重要度: 高

リソースタイプ : AWS::Redshift::Cluster

AWS Config ルール： redshift-unrestricted-port-access

スケジュールタイプ: 定期的

パラメータ : なし

このコントロールは、Amazon Redshift クラスターに関連付けられたセキュリティグループに、インターネット (0.0.0.0/0 または ::/0) からクラスターポートへのアクセスを許可する進入ルールがあるかどうかをチェックします。セキュリティグループの進入ルールがインターネットからクラスターポートへのアクセスを許可している場合、コントロールは失敗します。

Redshift クラスターポート (/0 サフィックスを持つ IP アドレス) への無制限のインバウンドアクセスを許可すると、不正アクセスやセキュリティインシデントが発生する可能性があります。セキュリティグループを作成し、インバウンドルールを設定するときは、最小特権アクセスのプリンシパルを適用することをお勧めします。

修正

Redshift クラスターポートの進入を制限オリジンに制限するには、「Amazon VPC ユーザーガイド」の「セキュリティグループルールの操作」を参照してください。ポート範囲が Redshift クラスターポートと一致し、IP ポート範囲が 0.0.0.0/0 であるルールを更新します。