Security Hub のサービスにリンクされたロール

AWS Security Hub は、 という名前の AWS Identity and Access Management (IAM) サービスにリンクされたロールを使用しますAWSServiceRoleForSecurityHub。このサービスにリンクされたロールは、Security Hub に直接リンクされた IAM ロールです。これは Security Hub によって事前定義されており、Security Hub がユーザーに代わって他の を呼び出しAWS サービス、AWSリソースをモニタリングするために必要なすべてのアクセス許可が含まれています。Security Hub は、Security Hub AWS リージョンが利用可能なすべての で、このサービスにリンクされたロールを使用します。

サービスにリンクされたロールを使用することで、必要な許可を手動で追加する必要がなくなるため、Security Hub の設定が簡単になります。Security Hub は、サービスにリンクされたロールの許可を定義します。その許可が特別に定義されていない限り、Security Hub のみがそのロールを引き受けます。定義される許可には、信頼ポリシーや許可ポリシーなどがあり、その許可ポリシーを他の IAM エンティティにアタッチすることはできません。

サービスにリンクされたロールの詳細を表示するには、Security Hub コンソールの [設定] ページで [一般] を選択し、次に [サービス権限の表示] を選択します。

Security Hub のサービスにリンクされたロールの削除は、それが有効になっているすべてのリージョンで Security Hub を無効にした後でのみ行うことができます。これにより、アクセスに必要な許可を誤って削除してしまうことがなくなり、Security Hub リソースは保護されます。

サービスにリンクされたロールをサポートするその他のサービスについては、「IAM ユーザーガイド」の「IAM と連携する AWS のサービス」を参照の上、[Service-Linked Role] (サービスにリンクされたロール) 列が [Yes] (はい) になっているサービスを確認してください。サービスのサービスにリンクされたロールに関するドキュメントを表示するには、[YES] (はい) となっているリンクを選択します。

Security Hub のサービスにリンクされたロールの許可

Security Hub では、AWSServiceRoleForSecurityHub という名前のサービスにリンクされたロールを使用します。これは AWS Security Hub がリソースにアクセスする際に必要となる、サービスにリンクされたロールです。サービスにリンクされたロールにより、Security Hub が他の AWS サービス から検出結果を受け取り、コントロールのセキュリティチェックを実行するために必要な AWS Config インフラストラクチャを構成できるようになります。

AWSServiceRoleForSecurityHub サービスにリンクされたロールは、ロールの引き受けについて以下のサービスを信頼します。

• securityhub.amazonaws.com

AWSServiceRoleForSecurityHub サービスにリンクされたロールは、マネージドポリシーである AWSSecurityHubServiceRolePolicy を使用します。

IAM アイデンティティ (ロール、グループ、ユーザーなど) に、サービスにリンクされたロールの作成、編集、削除を許可する設定をする必要があります。AWSServiceRoleForSecurityHub サービスにリンクされたロールを適切に作成するには、Security Hub を使用する IAM アイデンティティに、必要な許可が付与されている必要があります。必要なアクセス許可を付与するには、次のポリシーをロール、グループ、またはユーザーにアタッチします。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "securityhub:*",
            "Resource": "*"    
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "securityhub.amazonaws.com"
                }
            }
        }
    ]
}

Security Hub のサービスにリンクされたロールの作成

Security Hub を初めて有効にする場合や、過去に Security Hub を有効にしていなかったサポート対象リージョンで Security Hub を有効にする場合は、AWSServiceRoleForSecurityHub サービスにリンクされたロールが自動的に作成されます。IAM コンソール、IAM CLI、あるいは IAM API を使って、AWSServiceRoleForSecurityHub サービスにリンクされたロールを手動で作成することもできます。

重要

Security Hub 管理者アカウント用に作成されたサービスにリンクされたロールは、Security Hub メンバーアカウントには適用されません。

IAM ロールを手動で作成する方法の詳細は、「IAM ユーザーガイド」の「サービスにリンクされたロールを作成する」を参照してください。

Security Hub 向けのサービスにリンクされたロールの編集

Security Hub では、AWSServiceRoleForSecurityHub サービスにリンクされたロールの編集は許可されていません。サービスにリンクされたロールを作成すると、多くのエンティティによってロールが参照される可能性があるため、ロール名を変更することはできません。ただし、IAM を使用してロールの説明の編集はできます。詳細については、「IAM ユーザーガイド」の「サービスにリンクされたロールの編集」を参照してください。

Security Hub 向けのサービスにリンクされたロールの削除

サービスにリンクされたロールを必要とする機能またはサービスが不要になった場合には、そのロールを削除することをお勧めします。これにより、使用していないエンティティがアクティブにモニタリングされたり、メンテナンスされたりすることがなくなります。

重要

AWSServiceRoleForSecurityHub のサービスにリンクされたロールを削除するには、まずそれが有効になっているすべてのリージョンで Security Hub を無効にしておく必要があります。

サービスにリンクされたロールを削除しようとしたときに、Security Hub が無効になっていない場合、削除することはできません。詳細については、「Security Hub を無効にする」を参照してください。

Security Hub を無効にすると、AWSServiceRoleForSecurityHub のサービスにリンクされたロールは自動的に削除されません。Security Hub を再度有効にすると、既存の AWSServiceRoleForSecurityHub サービスにリンクされたロールが使用されるようになります。

IAM を使用してサービスにリンクされたロールを手動で削除するには

AWSServiceRoleForSecurityHub サービスにリンクされたロールを削除するには、IAM コンソール、IAM CLI、または IAM API を使用します。詳細については、「IAM ユーザーガイド」の「サービスにリンクされたロールの削除」を参照してください。