Organizations記事タイトルとURLをコピーする2020年4月21日のアップデートです。GuardDutyはAWS組織のサポートを追加して、組織内のすべての既存および将来のアカウントにわたる脅威の検出を簡素化します。今回のリリースにより、新規および既存のGuardDutyのお客様は、GuardDuty管理者として組織内の任意のアカウントを委任し、最大5,000のAWSアカウントのGuardDutyを管理できます。GuardDutyの既存のマルチアカウント機能を使用しているお客様は、既存のGuardDutyオペレーションを中断することなく、AWS組織がサポートするマルチアカウント管理に移行できます。AWS組織でGuardDutyを管理する場合、顧客はGuardDutyの脅威検出を組織に追加された新しいアカウントに自動的に適用できます。今までもGuardDutyマスターアカウントというのがあり、そこで各アカウントのデータを集約することはできていました。Organizationsの組織構造とは関連していませんでした。Organizationsの組織構造と統合がされました。Organizationsを使用している場合は、Organizationsマスターアカウントが最高権限を持ちます。何でもかんでもOrganizationsマスターアカウントでやるようにはしたくありません。そんな理由でGuardDutyに関する権限を切り離し、別アカウントへ委任できるようになったのだと思われます。参考にし、実際にやってみました。Organization用のGuardDuty管理者アカウントOrgazanization内の任意のアカウントを、GuardDutyマスターアカウントに指定し、権限を移譲します。アカウントGuardDutyマスター以外のOrganization内のアカウントが表示されます。Enableを押すと確認メッセージが表示されます。ステータスが有効に変更されました。実際にGuardDutyメンバーアカウントの検出結果も表示されているのが確認できます。気になった点メンバーアカウントでGuardDutyの有効化は必要か?メンバーアカウントでは、GuardDutyの設定を個別にする必要はありません。GuardDutyマスターに委任されると、そのアカウントでは自動的にGuardDutyが有効化されます。GuardDutyマスターアカウントから他のアカウントを有効化すると、メンバーアカウントのGuardDutyが有効化されます。リージョンごとに設定する必要があるか?リージョンごとに設定する必要があります。S3バケットへの結果のエクスポートはどうなるか?各リージョンのGuardDutyマスターで設定します。全リージョンで同じS3バケットを指定すれば、1箇所に集約可能です。その場合はKMSキーも同じものを使います。S3バケット/AWSLogs/アカウントID/GuardDuty/リージョン/YYYY/MM/DD/配下に保存されます。ちなみにS3バケットへのエクスポートには、KMSキーポリシーやバケットポリシーの設定が必要になります。設定が上手くいかない場合は、結果のエクスポートを確認しましょう。OrganizationsのOUごとにGuardDuty設定できないか?GuardDutyをOUごとに管理はできません。Organization内でアカウントごとにGuardDutyマスターを変えたい場合は、自動有効化を停止し、個別に設定していく必要があります。そのようなことが必要になるケースは少ない気はします。2009-引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。