RAM アクセス監査 - 未使用の権限を特定して削除 - Resource Access Management

Resource Access Management (RAM) アイデンティティには、必要以上の権限が蓄積されがちです。アクセス監査は、各アイデンティティが持つ権限と最終利用日時を表示します。これにより、未使用の権限を特定して安全に削除し、最小権限を徹底できます。

注意事項

アクセス監査を使用して RAM アイデンティティの権限を変更する前に、以下の考慮事項をご確認ください。

追跡期間

アクセス追跡は 2024 年 2 月 1 日に開始されました。それ以前のアクセスは記録されません。最終アクセスデータの反映には、最大 24 時間の遅延が生じる場合があります。

アクセス試行

最終アクセスデータには、成功したアクセスだけでなく、すべての API アクセスの試行が含まれます。これには、コンソール、CLI、SDK、または直接の API コール経由でのアクセスが含まれます。予期しないアクセス試行が必ずしも侵害を示すわけではありません。リクエストが拒否された可能性もあります。特定のリクエストに関する詳細については、ActionTrail のログをご確認ください。

レポート所有者

レポートを生成したエンティティのみが、その詳細な記録を閲覧できます。コンソールでは、レポートの生成が完了するまでお待ちください。API、SDK、または CLI を使用する場合、認証情報はレポート所有者のものと一致する必要があります。RAM ロールから取得した STS トークンでレポートを生成した場合、そのレポートを閲覧するには同じロールから取得した STS トークンを使用する必要があります。

サポートされているポリシータイプ

アクセス監査は、RAM ユーザー、ユーザーグループ、およびロールにアタッチされたアイデンティティベースのポリシーのみを分析します。リソースベースのポリシー (OSS バケットポリシーなど)、Resource Directory のコントロールポリシー、またはセッションポリシーは分析しません。

サポートされている監査の粒度

サービスレベル

クラウドサービスレベルで権限を分析します。RAM アイデンティティがどのサービスにアクセスでき、どのサービスにいつアクセスしたかを確認できます。これを使用して、未使用のシステムポリシーを失効させたり、サービスレベルの権限を調整したりします。

サポートされているサービスは、「アクセス監査をサポートするサービス」に記載されています。
オペレーションレベル

サービスレベルの分析を個々の API オペレーションにまで拡張します。RAM アイデンティティがどのオペレーションを実行でき、どのオペレーションをいつ実行したかを確認できます。これは、きめ細かな権限制御や、リスクの高いオペレーションを制限するために使用します。

サポートされているサービスは、「アクセス監査をサポートするサービス」の [監査の粒度] 列に オペレーションレベル と記載されています。
重要
- アクセス監査は、ActionTrail と統合されたコントロールプレーンのオペレーションのみを対象とします。データプレーンのオペレーション (OSS GetObject など) はサポートされていません。
- アクセス監査は、ram:PassRole のように特定の API オペレーションに関連付けられていない権限をサポートしていません。

サポートされていないシナリオ

一部のサービスでは、他のサービスの API を呼び出す際に、ユーザーに代わって権限チェックが実行されます。たとえば、Resource Center は、ターゲットサービス内のリソースを表示できるかどうかをチェックし、認可された結果のみを返します。これらの間接的なチェックは、アクセス監査データには記録されません。

以下の API には、このような間接的な権限チェックが含まれます。

クラウドサービス	サービスコード	API
Resource Center	resourcecenter	SearchResources
		GetResourceCounts
		GetResourceConfiguration
		ListResourceTypes
		ExecuteSQLQuery
Resource Management	resourcemanager	ListResources
Tag	tag	ListTagResources
		ListTagKeys
		ListTagValues

RAM ユーザーの監査記録の表示

RAM コンソールに RAM 管理者としてログインします。
左側のナビゲーションペインで、 アイデンティティ > ユーザー を選択します。
ユーザー ページで、監査する RAM ユーザーをクリックします。
ユーザーの詳細ページで、権限監査 Beta タブをクリックします。

システムが RAM ユーザーのアクセス監査レポートを生成します。これには数分かかる場合があります。
アクセス監査記録を表示します。

RAM ユーザーが利用可能なクラウドサービス、アタッチされているポリシー、各サービスの最終アクセス日時を確認します。

オペレーションレベルの監査をサポートするサービスの場合、操作列の 認証アクションを表示 をクリックして、許可されているオペレーションとその最終アクセス日時を確認します。

RAM ロールの監査記録の表示

RAM コンソールに RAM 管理者としてログインします。
左側のナビゲーションペインで、 アイデンティティ > ロール を選択します。
ロール ページで、監査する RAM ロールをクリックします。
ロールの詳細ページで、権限監査 Beta タブをクリックします。

システムが RAM ロールのアクセス監査レポートを生成します。これには数分かかる場合があります。

説明
サービスにリンクされたロールはアクセス監査をサポートしていません。これらのロールでは 権限監査 Beta タブは表示されません。
アクセス監査記録を表示します。

RAM ロールが利用可能なクラウドサービス、アタッチされているポリシー、各サービスの最終アクセス日時を確認します。

オペレーションレベルの監査をサポートするサービスの場合、操作列の 認証アクションを表示 をクリックして、許可されているオペレーションとその最終アクセス日時を確認します。

アクセス監査に関する FAQ

アクセス監査レポートが空になるのはなぜですか？

アクセス監査レポートが空になる場合があります。以下を確認してください：

少なくとも 1 つのアイデンティティベースのポリシーが RAM アイデンティティにアタッチされていることを確認してください。RAM ユーザーの場合、直接アタッチされているか、ユーザーグループから継承されている必要があります。
アタッチされたポリシーが権限を付与していることを確認してください。システムは、アタッチされているすべてのポリシーを分析して、アクセス可能なサービスとオペレーションを判断します。
付与されたサービスまたはオペレーションが、「アクセス監査をサポートするサービス」のリストに含まれていることを確認してください。

「InvalidParameter.Policy.Statement」エラー

このエラーは、権限ポリシーのフォーマットが無効な場合に発生します。エラーメッセージには、不正な形式のポリシー名と理由が示されます。ポリシーのフォーマットを修正し、レポートを再生成してください。

「InvalidParameter.Policy.NotAction」エラー

このエラーは、ポリシー内の NotAction 要素に無効な値が含まれているために発生します。エラーメッセージには、影響を受けるポリシーの名前が示されます。NotAction 要素を修正し、レポートを再生成してください。

「LengthExceedLimit.Policy」エラー

このエラーは、アタッチされたポリシーが大きすぎて分析できないために発生します。エラーメッセージには、ポリシーの名前が示されます。ポリシーをより小さなステートメントに分割し、レポートを再生成してください。

Resource Access Management:アクセス監査の概要