Amazon Cloud (AWS) 資産のオンボーディング方法 - Security Center

お客様のビジネスが Alibaba Cloud と Amazon Web Services (AWS) の両方にまたがる場合、これらのプラットフォーム間でのセキュリティ資産の管理が分断され、統一されたセキュリティビューの維持が困難になり、リスクの検出と対応が遅れる可能性があります。ご利用の AWS アカウントを Security Center に接続することで、EC2、RDS、S3 などの主要な AWS サービスのセキュリティを一元管理できます。これにより、マルチクラウドのセキュリティ態勢の統一的なモニタリング、設定リスクの検出、セキュリティイベントの追跡、およびクラウド間で一貫したセキュリティポリシーの適用が可能になります。

オンボーディング方法の選択

セキュリティ要件、サポートされる機能、および環境タイプに基づいて、適切なオンボーディング方法を選択してください。クイック設定と手動設定の 2 つのオプションが利用可能です。

比較項目	クイック設定	手動設定
承認アカウントタイプ	ルートアカウントのアクセスキーは、初回の権限付与にのみ使用されます。	最小限の必須権限を持つ IAM ユーザーを作成します。
サポートされる機能	ホストアセットのみをサポートします。	ホストアセット Cloud Security Posture Management エージェントレス検出
設定の複雑さ	シンプル	中程度

方法 1：クイック設定 (ホストのみ)

ステップ 1：AWS でルートアカウントの認証情報を作成

警告

ルートアカウントのアクセスキーは初回の権限付与にのみ使用され、Security Center がお客様の AWS アカウントに、制限された権限を持つ専用の IAM サブユーザー (プレフィックス：AlibabaSasSubAccount_) を自動的に作成できるようにします。権限付与が成功した後は、このルートアカウントのアクセスキーを直ちに削除してください。

AWS マネジメントコンソールへのサインイン
AWS IAM コンソールにサインインします。ダッシュボードで、[マイセキュリティ資格情報] をクリックします。
重要
ルートアカウントのみがセキュリティ資格情報を設定できます。
アクセスキーの作成
[マイセキュリティ資格情報] ページで、以下のように設定を完了し、[アクセスキーの作成] をクリックします。
- ユースケース： ビジネスシナリオに基づいてユースケースを選択します。適切なものがない場合は、[その他] を選択します。
- 説明タグの設定 (オプション)： 最大 256 文字。英字、数字、UTF-8 スペース、および次の特殊文字が使用できます：_ . : / = + - @。
アクセスキーの保存
作成後、[アクセスキーの取得] ページに移動して、[アクセスキー ID] と [シークレットアクセスキー] を表示して保存します。
説明
[.csv ファイルのダウンロード] をクリックして、アクセスキーをローカルデバイスに保存できます。

ステップ 2：Security Center でのオンボーディングの完了

権限付与ページへの移動：
以下のいずれかのパスから AWS 資産のオンボーディングプロセスを開始できます：
- 推奨パス：
  1. Security Center コンソールにログインします。
  2. 左側のナビゲーションウィンドウで、システム設定 > 機能の設定 の順に選択し、コンソールの左上で、保護対象のアセットが配置されているリージョンとして 中国本土 または 中国本土以外 を選択します。
  3. マルチクラウドの設定と管理 > マルチクラウドアセット タブで 権限の新規付与 をクリックし、AWS を選択します。
- その他のエントリポイント：
  次のページで、マルチクラウドプロダクトの接続 または Add Multi-cloud Asset セクションで、アイコンの下にある [オンボード] または [承認] ボタンを探してクリックします：
  - アセットセンター > ホストアセット
  - リスクガバナンス > Cloud Security Posture Management > 設定のチェック
  - 脅威の分析と応答 > プロダクトアクセス
  - 保護設定 > ホスト保護 > エージェントレス検出
アクセス認証情報の設定：
1. Add Assets Outside Cloud パネルで、Quick Configuration を選択し、追加する機能を選択して、次へをクリックします。
2. SubscriptionId ページで、AWS で作成した認証情報を正確に入力してください。
  - ルートアカウントの SecretID を入力してください および [シークレットキー] に、ステップ 1: AWS でルートアカウントの認証情報を作成するで作成したルートアカウントのアクセスキー認証情報 (アクセスキー ID とシークレットアクセスキー) を入力します。
  - アクセスリージョン (クラウドプロダクト情報を取得するためのネットワークリージョン): 利用可能な AWS リージョンを選択します。システムは、選択したリージョンでアセットのアクセシビリティを検証します。
  - ドメイン：選択したオンボーディングリージョンに基づいて設定します。AWS China の場合は「中国版」を、その他すべての場合は「国際版」を選択します。
3. 情報を入力した後、次へをクリックします。システムが自動的に認証情報と権限を検証します。
同期ポリシーの設定：
- リージョン選択: 追加したいアセットが存在する AWS リージョンを選択します。
  説明
  同期された資産データは、Security Center コンソールの左上隅で選択されたリージョンに対応するデータセンターに帰属します。
  - 中国本土: 中国本土データセンター。
  - 中国本土以外：シンガポールデータセンター。
- リージョン管理: 推奨。選択すると、この AWS アカウント配下の新しいリージョンにあるアセットは、手動設定なしで自動的に同期されます。
- Host Asset Synchronization Frequency: AWS ホスト (EC2) 資産の同期間隔を設定します。同期が不要な場合は、"オフ" に設定します。
- AK サービスのステータスチェック: Security Center が AWS アカウントの API キーの有効性を自動的にチェックする間隔を設定します。「Off」を選択して、検出を無効にできます。
構成が完了したら、最新のアセットの同期 をクリックします。システムは、AWS アカウントから Security Center にホスト資産を自動的に同期します。
重要
上記操作を完了すると、Security Center は AWS 内にプレフィックス AlibabaSasSubAccount_ を持つサブユーザーを自動的に作成し、接続を承認します。自動作成されたサブユーザーアカウントまたはその API キーを削除または無効にしないでください。さもないと、資産のオンボーディングとセキュリティ監視が中断されます。

ステップ 3：AWS ルートアカウントのアクセスキーの削除

資産のオンボーディングが成功したら、セキュリティリスクを低減するために、初回の権限付与に使用したルートアカウントのアクセスキーを直ちに削除してください。

ルートアカウントとして AWS IAM コンソールにサインインし、ダッシュボードで [マイセキュリティ資格情報] をクリックします。
AccessKey ペア セクションで、この権限付与に使用した AccessKey を探し、操作する 列の削除をクリックして削除を確定します。

方法 2：手動設定

この方法では、AWS で作成された制限付き権限の IAM サブユーザーをオンボーディングに使用し、高いセキュリティと完全な機能サポートの両方を提供します。

ステップ 1：AWS でサブアカウントの権限付与認証情報を作成

Security Center との統合のために最小限の必須権限を持つ IAM サブユーザーを作成し、そのアクセスキーを取得します。

説明

詳細については、AWS の公式ドキュメント、 IAM ユーザーの作成、権限の追加をご参照ください。

AWS マネジメントコンソールへのサインイン
AWS IAM コンソールにサインインします。左側のナビゲーションウィンドウで、[ユーザー] をクリックします。[ユーザー] ページで、[ユーザーの作成] をクリックします。
ユーザー詳細の設定
- ユーザー名：識別しやすいカスタム名を入力します (例：aliyun-security-center-user)。
- AWS マネジメントコンソールへのユーザーアクセスの提供：選択しないでください。このユーザーは API アクセス専用です。

ユーザー権限の設定

[ポリシーを直接アタッチ] を選択します。

Security Center で使用する予定の機能に基づいて、対応する権限ポリシーを選択します。

機能	AWS ポリシー	注記
ホストアセット	`AmazonEC2ReadOnlyAccess` `IAMReadOnlyAccess`	なし
Cloud Security Posture Management (CSPM)	`ReadOnlyAccess` `IAMReadOnlyAccess`	ログ監査に基づく包括的なリスク検出が必要な場合は、「CSPM のための AWS サービス監査ログの設定」を参照して、AWS で関連サービスの監査ログを設定してください。
エージェントレス検出	カスタムポリシーを手動で作成する必要があります。	AWS で CloudTrail、S3、SQS から成るログ配信パイプラインを構築する必要があります。具体的な手順については、「エージェントレス検出のためのカスタムポリシーの作成」をご参照ください。

[権限オプション] で [ポリシーを直接アタッチ] を選択し、検索ボックスにポリシー名を入力してフィルタリングし、対象のポリシーを選択してから [次へ] をクリックします。

確認と作成
ユーザー情報と権限ポリシーが正しいことを確認した後、[ユーザーの作成] をクリックします。
API キーの作成と保存
1. ユーザーが正常に作成されたら、[ユーザー] リストに戻り、新しく作成したユーザーの名前をクリックして詳細ページに移動します。
2. [概要] セクションで、[アクセスキーの作成] をクリックし、以下のようにキーの設定を完了します。
  1. ユースケース: ビジネスシナリオに基づいてユースケースを選択します。適切なものがない場合は、その他 を選択します。
  2. 説明タグ：空白のままにするか、カスタムタグを設定します (例：for-aliyun-sasc)。
3. [アクセスキーの作成] をクリックして [アクセスキーの取得] ページに移動し、[アクセスキー ID] と [シークレットアクセスキー] を表示して保存します。
シークレットアクセスキーは作成時に一度だけ表示され、紛失した場合は回復できません。[.csv ファイルのダウンロード] をクリックしてキー情報を保存し、[完了] をクリックします。

ステップ 2：Security Center でのオンボーディング設定の完了

AWS で権限付与用のサブユーザー API キーを正常に作成した後、Security Center コンソールに戻ってオンボーディング設定を完了します。

権限付与ページへの移動
説明
その他のエントリポイントについては、その他のエントリポイントをご参照ください。
1. Security Center コンソールにログインします。
2. 左側のナビゲーションウィンドウで、システム設定 > 機能の設定を選択します。コンソールの左上隅で、保護対象のアセットが配置されているリージョンとして、中国本土 または 中国本土以外 を選択します。
3. マルチクラウドの設定と管理 > マルチクラウドアセット タブで、権限の新規付与 をクリックし、AWS を選択します。
アクセス認証情報の設定
1. Add Assets Outside Cloud パネルで 手動設定プラン を選択し、導入したい機能を選択して、次へをクリックします。
  - ホストアセット: Security Center がお客様の AWS EC2 ホスト資産を自動的に検出および同期できるようにします。
  - Cloud Security Posture Management: クラウドセキュリティ態勢管理 (Cloud Security Posture Management) を使用して、AWS クラウドプロダクトの構成をスキャンし、構成リスク管理を行うことができます。
  - エージェントレス検出: AWS 資産をスキャンし、脆弱性やリスクを検出します。
2. SubscriptionId ページで、 AWS で作成した認証情報を正確に入力してください。
  - サブアカウントの SecretID とサブアカウントの SecretKey： ステップ 1：AWS でサブアカウントの権限付与認証情報を作成の認証情報を入力します。
  - アクセスリージョン (クラウドプロダクト情報を取得するためのネットワークリージョン)：利用可能な AWS リージョンを選択します。システムは、選択したリージョンでアセットのアクセシビリティを検証します。
  - ドメイン：選択したオンボーディングリージョンに基づいて設定します。AWS China の場合は「中国版」を、その他すべての場合は「国際版」を選択します。
3. 情報を入力後、次へをクリックします。システムが自動的に認証情報と権限を検証します。
監査ログの設定 (オプション)
クラウドプラットフォーム設定のチェック (CSPM) のログ監査機能を使用する必要がある場合は、ここで設定してください。必要ない場合は、[スキップ] をクリックしてください。
重要
まず、「アクセスキーを入力した後、自動的な認証情報と権限の検証が失敗した場合はどうすればよいですか？」に記載されているように、AWS コンソールですべての設定を完了してください。
- AWS リージョン: AWS キューが配置されているリージョン ID を入力します。リージョン ID のリファレンスについては、または AWS リージョン ID をご参照ください。
- SQS キュー名：作成した SQS キューの名前を入力します。
同期ポリシーの設定
ポリシーの構成 ページで、必要に応じて設定します：
- リージョン選択：追加するアセットが存在する AWS リージョンを選択します。
  説明
  資産データは、Security Center コンソールの左上隅で選択されたリージョンに対応するデータセンターに自動的に帰属します。
  - 中国本土: 中国本土データセンター。
  - 中国本土以外：シンガポールデータセンター。
- リージョン管理：推奨。選択すると、この AWS アカウント配下の新しいリージョンにあるアセットは、手動設定なしで自動的に同期されます。
- Host Asset Synchronization Frequency: AWS ホスト (EC2) 資産の同期間隔を設定します。同期が不要な場合は、「オフ」に設定します。
  説明
  このパラメーターは、オンボードされた機能にホストアセットが含まれる場合にのみ、設定する必要があります。
- クラウドプロダクトの同期頻度: AWS クラウドプロダクト構成の同期間隔を設定します。同期が不要な場合は、「オフ」に設定します。
  説明
  オンボーディングした機能に クラウドプラットフォーム設定のチェック が含まれている場合にのみ、このパラメーターを設定する必要があります。
- AK サービスのステータスチェック：Security Center が AWS アカウントの API キーの有効性を自動的にチェックする間隔を設定します。「Off」を選択して、検出を無効にできます。
構成が完了したら、最新のアセットの同期 をクリックします。システムが自動的に AWS アカウントのデータを Security Center に同期します。

オンボードされた資産の管理

ホスト

アセットセンター > ホストアセット ページに移動します。Add Multi-cloud Asset セクションで、アイコンをクリックして、登録された AWS ホストを表示します。以下の手順に従って、登録された AWS EC2 ホストの詳細な保護と管理を行うことができます。

説明

詳細については、「サーバー資産」をご参照ください。

クライアントのインストール: AWS ホストに Security Center クライアントをインストールします。インストールコマンドを実行する際、サービスプロバイダー には AWS を選択します。詳細については、「エージェントをインストールする」をご参照ください。
保護のためのエディションのアップグレード： デフォルトの無料版では基本的なセキュリティ検出のみが提供されます。包括的なセキュリティ機能 (ウイルス対策、脆弱性修復、侵入防止など) を利用するには、有料版 (ウイルス対策版以上) を AWS ホストにバインドします。詳細については、「ホストとコンテナのセキュリティクォータの管理」をご参照ください。

Cloud Security Posture Management (CSPM)

Security Center コンソールで、アセットセンター > アセット一覧 > クラウドプロダクト ページに移動します。左側の すべてのクラウドプロダクト ナビゲーションウィンドウで AWS をクリックすると、オンボードされた AWS 資産が表示されます。オンボードされた AWS 資産では、以下の CSPM 機能を利用できます。

説明

詳細については、「クラウドサービス情報の表示」をご参照ください。

設定リスクチェックの実行：AWS 製品の設定リスクをチェックします。詳細については、「クラウドプラットフォーム設定リスクチェックポリシーの設定と実行」をご参照ください。
リスク項目の処理： チェック結果に基づいて、失敗したリスクチェック項目を表示し、修復して、クラウド資産のコンプライアンスとセキュリティを向上させます。詳細については、「失敗したクラウドプラットフォーム設定リスクチェック項目の表示と処理」をご参照ください。

エージェントレス検出

Security Center コンソールで、保護設定 > ホスト保護 > エージェントレス検出 ページに移動します。 Add Multi-cloud Asset セクションで、アイコンをクリックすると、オンボードされた AWS 資産の数が表示されます。オンボーディング後、エージェントレス検出を使用して AWS ホストの脆弱性、ベースラインなどをスキャンできます。

AWS の詳細設定（エージェントレス検出と Cloud Security Posture Management）

カスタムポリシーの作成: エージェントレス検出

説明

詳細については、公式 AWS ドキュメントの IAM ユーザーの作成、権限の追加をご参照ください。

AWS IAM コンソールにサインインし、[ポリシー] ページに移動して [ポリシーの作成] をクリックします。

[ポリシーエディター] セクションで、JSON を選択し、次の JSON をエディターに貼り付けます。

{
    "Version": "2012-10-17",
    "Statement":
    [
        {
            "Effect": "Allow",
            "Action":
            [
                "ec2:DeleteSubnet",
                "ec2:DeleteVpcEndpoints",
                "ec2:DeleteInternetGateway",
                "ec2:TerminateInstances",
                "ec2:StopInstances",
                "ec2:DeleteSecurityGroup",
                "ec2:DeleteVpc"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "ec2:ResourceTag/Name": "alibaba-cloud-security-scan*"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action":
            [
                "ec2:DeleteSnapshot"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "ec2:ResourceTag/Name": "SAS_Agentless*"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action":
            [
                "ec2:CopySnapshot",
                "ec2:AuthorizeSecurityGroupIngress",
                "ec2:DescribeInstances",
                "ec2:CreateImage",
                "ec2:CreateVpc",
                "ec2:AttachInternetGateway",
                "ec2:CopyImage",
                "ec2:ModifyImageAttribute",
                "ec2:DescribeSnapshots",
                "ec2:ModifySubnetAttribute",
                "ec2:DescribeInternetGateways",
                "ec2:ModifySnapshotAttribute",
                "ec2:DescribeInstanceTypeOfferings",
                "ec2:DescribeAvailabilityZones",
                "ec2:CreateInternetGateway",
                "ec2:CreateSecurityGroup",
                "ec2:DescribeVolumes",
                "ec2:CreateSnapshot",
                "ec2:AuthorizeSecurityGroupEgress",
                "ec2:RunInstances",
                "ec2:DetachInternetGateway",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeImages",
                "ec2:CreateVpcEndpoint",
                "ec2:CreateSnapshots",
                "ec2:DescribeVpcs",
                "ec2:DescribeImageAttribute",
                "ec2:DescribeVpcEndpoints",
                "ec2:CreateSubnet",
                "ec2:DescribeSubnets",
                "ec2:ModifyVpcEndpoint",
                "ec2:CreateTags",
                "ec2:DescribeRouteTables",
                "ec2:CreateRoute",
                "ec2:DescribeRegions",
                "kms:Decrypt",
                "kms:DescribeKey",
                "kms:CreateGrant",
                "kms:ListGrants",
                "kms:RevokeGrant",
                "kms:GenerateDataKey",
                "kms:ReEncrypt*",
                "iam:GetUser"
            ],
            "Resource": "*"
        }
    ]
}

[次へ] をクリックし、ポリシーに名前を付け (例：AliyunSASC-AgentlessScan-Policy)、[ポリシーの作成] をクリックします。
「ユーザー権限の設定」を参照して、このポリシーを AWS サブアカウントにアタッチします。

CSPM のための AWS サービス監査ログの設定

ステップ 1：CloudTrail 証跡の作成

このステップでは、AWS CloudTrail でログトレイルを作成し、指定されたリージョン内のクラウドリソース管理操作を継続的に記録および保存することで、CSPM データ収集の基礎的なログサポートを提供します。詳細については、AWS の公式ドキュメントであるトレイルを作成するをご参照ください。

AWS CloudTrail コンソールへのサインイン
1. AWS CloudTrail コンソールにサインインします。コンソールの右上隅にあるリージョンセレクターで、監視したい AWS リージョンを選択します。
2. ダッシュボードまたは左側のナビゲーションウィンドウで、[証跡] を選択し、[証跡の作成] をクリックします。
証跡属性の設定
[トレイル属性の選択] ページで、以下の説明に従って設定し、次へをクリックします。
- 証跡名： 明確で識別可能な名前を入力します (例：aliyun-sasc-audit-trail)。
- ストレージの場所：
  重要
  後続の設定で使用するためにバケット名を記録しておきます。
  - 新しい S3 バケットの作成：グローバルに一意で、すべて小文字の英字のみのバケット名を入力します。
  - 既存の S3 バケットの使用：[証跡ログバケット名] セクションで、[参照] をクリックし、ダイアログから対象のバケットを選択します。
- ログファイルの SSE-KMS 暗号化：チェックボックスをオフにします。ログファイルにはデフォルトの SSE-S3 暗号化方式を使用します。
ログイベントの選択
[ログイベントの選択] ページで、下記のとおりに設定し、次に次へをクリックします。
- イベントタイプ：管理イベント。
- API アクティビティ： 読み取り、書き込み。
確認と作成
[確認と作成] ページで、すべての設定項目を確認します。すべてが正しいことを確認した後、[証跡の作成] をクリックします。

ステップ 2：SQS メッセージキューの作成

このキューは、S3 バケットからログファイルのイベント通知を受信し、log delivery のターゲットメッセージチャネルとして機能します。詳細については、AWS の公式ドキュメントであるメッセージキューを作成するをご参照ください。

AWS SQS コンソールへのサインイン
AWS SQS コンソールにサインインし、リージョンを選択してから [キューの作成] をクリックします。
警告
選択したリージョンがCloudTrail 証跡を作成したリージョンと同じであることを確認してください。
キュー詳細の設定
- タイプ : 標準 .
- 名前：識別しやすいキュー名を入力します (例：aliyun-sasc-log-queue)。
  重要
  このキュー名は、後続のアクセスポリシー設定のために一意の ARN を生成するために使用されます。正しく入力されていることを確認してください。

アクセスポリシーの設定

これは最も重要なステップです。このポリシーは、誰がこのキューにメッセージを送信でき、誰がメッセージを読み取ることができるかを定義します。

[アクセスポリシー] パネルで、[詳細] を選択します。
重要
後続のアクセスポリシー設定のために、デフォルトポリシーからアカウント ID とキュー ARN を記録しておきます。
JSON ポリシーでは、アカウント ID は Statement.Principal.AWS フィールドにあり、キュー ARN は Statement.Resource フィールドにあります。

以下の JSON テンプレート全体をコピーし、ポリシーエディターに貼り付けて、既存のすべてのコンテンツを置き換えます。

{
  "Version": "2012-10-17",
  "Id": "__default_policy_ID",
  "Statement": [
    {
      "Sid": "__owner_statement",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::${Account ID}:root"
      },
      "Action": "SQS:*",
      "Resource": "${SQS ARN}"
    },
    {
            "Sid": "example-statement-ID",
            "Effect": "Allow",
            "Principal": {
                "Service": "s3.amazonaws.com"
            },
            "Action": [
                "SQS:SendMessage"
            ],
            "Resource": "${SQS ARN}",
            "Condition": {
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:s3:*:*:${S3 bucket name}"
                }
            }
        }
  ]
}

[重要] 以下の表に従って、テンプレート内のプレースホルダーを置き換えてください：

プレースホルダー	値の取得方法	例
`${Account ID}`	前のステップで保存したアカウント ID。	`99********1`
`${SQS ARN}`	前のステップで保存した SQS ARN。	`arn:aws:sqs:ap-northeast-1:123******012:aliyun-sasc-log-queue`
`${S3 bucket name}`	CloudTrail 証跡を作成したときに設定した S3 バケットの名前。説明 AWS S3 コンソールにサインインし、対応するリージョンでバケットを見つけ、詳細ページでその情報を表示できます。	`aws-cloudtrail-logs-123******12-abcdef`

プレースホルダーを置き換えた後、ページの下部までスクロールし、[キューの作成] をクリックします。

ステップ 3：S3 イベント通知の作成

このステップでは、新しいログファイルが生成されたときに、指定された SQS キューに通知が自動的に送信されるように、S3 バケットのイベント通知ルールを設定します。詳細については、AWS の公式ドキュメント「 Amazon S3 イベント通知」をご参照ください。

AWS S3 コンソールへのサインイン
1. AWS S3 コンソールにサインインし、リージョンセレクターで [汎用バケット] をクリックします。
  警告
  選択したリージョンがCloudTrail 証跡を作成したリージョンと同じであることを確認してください。
2. [汎用バケット] タブで、CloudTrail 証跡を作成したときに設定した S3 バケット名を見つけ、その詳細ページに移動します。
イベント通知の設定
[プロパティ] タブの [イベント通知] セクションで、[イベント通知の作成] をクリックします。以下のように設定を完了します。
1. イベントタイプ： [Put] を選択します。
2. 送信先： [SQS キュー] を選択し、ステップ 2：SQS メッセージキューの作成で作成した SQS キューを指定します。
3. 設定完了後、[変更を保存] をクリックします。

ステップ 4：キューの読み取り/書き込み権限の設定

このステップでは、Security Center によって作成された専用の IAM ユーザーに、SQS キューから通知メッセージを読み取る権限を付与します。

SQS ポリシーの作成：
1. AWS IAM コンソールにサインインします。ポリシーページで、ポリシーの作成をクリックします。
2. 以下のように設定を完了します。
  1. 選択したサービス：SQS。
  2. エフェクト： 許可。
  3. 読み取り ： GetQueueUrl と ReceiveMessage を選択します。
  4. 書き込み ： ReceiveMessage を選択します。
  5. リソース：[ARN の追加] をクリックし、[リソース ARN] フィールドにキュー ARN を入力します。
    説明
    AWS SQS コンソールにサインインし、対応するリージョンでキューを見つけ、詳細ページでその ARN を表示できます。
IAM ユーザーへのポリシーのアタッチ：
「ユーザー権限の設定」を参照して、前のステップで作成した SQS ポリシーを対象の IAM ユーザーにアタッチします。

よくある質問

Security Center で一部のオンボードされた AWS リソースが表示されないのはなぜですか？
- リージョンが選択されていない：Security Center のオンボーディング設定で、リソースが所在する AWS リージョンが選択されていることを確認してください。
- 同期遅延：初回のオンボーディングまたは設定変更後、資産の同期に遅延が発生する場合があります。同期が完了するまでお待ちください。
アクセスキーを入力した後、自動的な認証情報と権限の検証が失敗した場合はどうすればよいですか？
- 権限の問題：サブアカウントの権限が不十分です。「ユーザー権限の設定」を参照し、AWS コンソールに移動して関連するユーザー権限ポリシーを修正または補足してください。
- アカウントの問題：クイック設定方法の場合、アクセスキーはルートアカウントによって生成される必要があります。「ステップ 1：AWS でルートアカウントの認証情報を作成」を参照し、ルートアカウントとして AWS コンソールにサインインして API アクセスキーを作成してください。
- リージョンの問題：現在選択されているリージョンは利用できません。別の利用可能なリージョンまたは対応するドメインに切り替えてから、再送信してみてください。