Resource Access Management:過剰な権限を持つ ID を特定する

過剰な権限を持つ ID アナライザとは

過剰な権限を持つ ID アナライザは、リソースディレクトリまたは現在のアカウントで過剰な権限を持つ ID を特定するのに役立ちます。過剰な権限を持つ ID アナライザは、リソースディレクトリまたは現在のアカウント内のすべての Resource Access Management (RAM) ID を継続的に監視し、過剰な権限を持つ ID の検出結果を生成します。RAM ID は RAM ユーザーと RAM ロールです。アナライザによって生成された検出結果は、スーパーユーザー、スーパーロール、特権ユーザー、特権ロール、非アクティブなユーザー、非アクティブなロール、過剰な権限を持つユーザー、過剰な権限を持つロールのタイプに分類されます。各検出結果には、RAM ID に付与された権限と、その権限が RAM ID によって最後に使用された日時に関する情報が含まれています。

• スーパーユーザーとスーパーロール: アカウント内のすべてのリソースを管理するための完全な権限を持つ RAM ID です。たとえば、AdministratorAccess ポリシーが RAM ユーザーまたは RAM ロールにアタッチされている場合、その RAM ユーザーまたは RAM ロールはアカウント内のすべてのリソースを管理するための完全な権限を持ちます。

• 特権 ID (ユーザーまたはロール): 高リスクの権限を持つ RAM ID です。これらの ID は、多くの場合、自身の権限や他の ID の権限を昇格させることができます。特定可能な権限のリストについては、「権限リスト」をご参照ください。

• 非アクティブなユーザーと非アクティブなロール: [未使用アクセスの期間] パラメーターで指定された期間内にリソースにアクセスするための権限を使用しない RAM ID です。

• 過剰な権限を持つユーザーと過剰な権限を持つロール: [未使用アクセスの期間] パラメーターで指定された期間内に使用されないサービスレベルおよび操作レベルの権限を持つ RAM ID です。

過剰な権限アナライザのサポート範囲

過剰な権限を持つ ID アナライザは、リソースディレクトリまたは現在のアカウント内のすべての RAM ID に関する権限監査情報をチェックし、その情報に基づいて検出結果を生成します。アナライザはサービスリンクロールをチェックしません。権限監査機能を使用すると、RAM ID に付与された権限と、その権限が RAM ID によって最後に使用された日時を確認できます。過剰な権限を持つ ID アナライザと権限監査機能は、同じポリシータイプ、クラウドサービス、および監査粒度をサポートします。詳細については、「概要」をご参照ください。

検出結果の表示

[アナライザ] または [検出結果] ページで検出結果を表示できます。

アナライザページ

分析結果:

• グラフィカルスタイル

  現在のアカウント:

  

  次の図は、リソースディレクトリの検出結果を示しています。リソースディレクトリ内でアクティブな検出結果の数が最も多い上位 5 つのメンバーが表示されます。

  

• リストスタイル

  

検出結果のフィルター

リソース、リソースタイプ、リソース所有者、ステータス、検出結果タイプなどのフィルター条件に基づいて、特定の検出結果を検索できます。

たとえば、次の条件を設定して RAM ユーザーに関する検出結果を表示できます。

RAM ユーザーに関する検出結果のタイプには、[スーパーユーザー]、[特権ユーザー]、[非アクティブなユーザー]、[過剰な権限を持つユーザー] などがあります。検出結果に基づいて、フィルター条件として検出結果タイプをさらに設定できます。たとえば、検出結果タイプを [過剰な権限を持つユーザー] に設定して、過剰な権限を持つユーザーに関する検出結果を検索できます。

検出結果の詳細の表示

検出結果リストで、管理する検出結果を見つけ、[検出結果 ID] 列の ID をクリックします。

検出結果に基づいて、次のいずれかの操作を実行できます:

• 付与された権限が必要な場合は、[アーカイブ] をクリックして検出結果をアーカイブします。

• 付与された権限が不要な場合は、[ガバナンスに進む] または [リソース URL のコピー] をクリックして、対応するページでガバナンス操作を実行します。関連するリソースが現在のアカウントに属している場合は、[ガバナンスに進む] をクリックします。それ以外の場合は、[リソース URL のコピー] をクリックします。

検出結果の自動アーカイブ

単一の検出結果を手動でアーカイブするだけでなく、アーカイブ ルールを作成して、ガバナンスを必要としない検出結果を自動的にアーカイブすることもできます。

[検出結果] ページで、フィルター条件を設定し、[アーカイブ ルールとして保存] をクリックしてアーカイブ ルールを作成します。アーカイブ ルールを作成すると、新しい検出結果は自動的にアーカイブされます。

アーカイブ ルールが作成される前に生成された検出結果は、自動的にアーカイブされません。検出結果をアーカイブするには、次の操作を実行します: [アナライザ] ページに移動し、[アナライザ名] 列の名前をクリックし、[アーカイブ ルール] タブをクリックし、必要なアーカイブ ルールを見つけてから、[アクション] 列の [アーカイブ ルールの適用] をクリックします。