Amazon Inspector の新規メンバー向け自動アクティブ化は、既存アカウントで後から有効化したリージョンには適用されませんでした
困っていること
AWS Organizations 環境で、Amazon Inspector の委任管理者アカウントから「新しいメンバーアカウントのために Inspector を自動的にアクティブ化」を設定しています。
この設定後、既存のメンバーアカウント 111111111111 で新たにオプトインリージョンを有効化しました。しかし、そのリージョンでは Amazon Inspector が自動的にアクティブ化されていませんでした。
一方、自動アクティブ化設定後に作成したメンバーアカウント 222222222222 では、同じリージョンの Amazon Inspector が自動的にアクティブ化されていました。
委任管理者アカウントで新規メンバー向けの自動アクティブ化を設定していても、既存のメンバーアカウントで後から有効化したリージョンは対象にならないのでしょうか。
回答
今回確認した環境では、既存のメンバーアカウントで後からオプトインリージョンを有効化しても、そのリージョンの Amazon Inspector は自動的にアクティブ化されませんでした。
確認結果は以下のとおりです。
| アカウント | 状況 | 確認結果 |
|---|---|---|
既存アカウント 111111111111 |
自動アクティブ化設定後に対象リージョンを有効化 | 自動的にアクティブ化されなかった |
新規アカウント 222222222222 |
自動アクティブ化設定後にアカウントを作成 | 自動的にアクティブ化された |
公式ドキュメントでは、「新しいメンバーアカウントのために Inspector を自動的にアクティブ化」は、組織に今後追加されるメンバーを対象とする設定として説明されています。
The Automatically activate Inspector for new member accounts setting activates Amazon Inspector for all future members of your organization.
「新しいメンバーアカウントのために Inspector を自動的にアクティブ化」設定は、組織に今後追加されるすべてのメンバーに対して Amazon Inspector をアクティブ化します。
https://docs.aws.amazon.com/inspector/latest/user/adding-member-accounts.html
既存アカウントでリージョンを有効化する操作は、そのアカウントを新しいメンバーとして組織に追加する操作ではありません。そのため、今回のケースでは新規メンバー向けの自動アクティブ化が実行されなかったものと考えられます。
なお、既存アカウントで後からリージョンを有効化した場合の具体的な動作については、公開ドキュメント上では明記されていません。本記事では、今回確認した環境での検証結果として紹介します。
確認した動作
今回確認した流れは以下です。
- メンバーアカウント
111111111111を作成し、AWS Organizations に追加する - 委任管理者アカウントの対象リージョンで Amazon Inspector を有効化する
- 「新しいメンバーアカウントのために Inspector を自動的にアクティブ化」を設定する
- 既存のメンバーアカウント
111111111111で対象のオプトインリージョンを有効化する - 対象リージョンの Amazon Inspector の状態を確認する
この結果、既存のメンバーアカウント 111111111111 では、対象リージョンの Amazon Inspector がアクティブ化されていませんでした。
一方、手順3の自動アクティブ化設定後に作成したメンバーアカウント 222222222222 では、同じリージョンの Amazon Inspector がアクティブ化されていました。
この違いから、新規メンバー向けの自動アクティブ化は、設定後に新しいメンバーアカウントが組織へ追加された場合に適用され、既存アカウントで後からリージョンを有効化した場合には適用されないことを確認しました。
既存アカウントをアクティブ化する方法
既存アカウントで Amazon Inspector がアクティブ化されていない場合は、委任管理者アカウントから対象アカウントを手動でアクティブ化できます。
操作の流れは以下です。
- Amazon Inspector の委任管理者アカウントにサインインする
- Amazon Inspector をアクティブ化するリージョンへ切り替える
- Amazon Inspector コンソールでアカウント管理画面を開く
- 対象のメンバーアカウントを選択する
- 必要なスキャンタイプをアクティブ化する
既存アカウント側からではなく、対象リージョンの委任管理者アカウントから操作する点に注意してください。
Amazon Inspector で利用できるスキャンタイプは、リージョンによって異なる可能性があります。手動でアクティブ化する場合は、対象リージョンで必要なスキャンタイプが利用できることも確認してください。
Amazon Inspector ポリシーによる管理
アカウント数や利用リージョンが多い場合は、AWS Organizations の Amazon Inspector ポリシーを利用する方法もあります。
Amazon Inspector ポリシーでは、組織のルート、OU、または個別のアカウントにポリシーをアタッチし、Amazon Inspector の有効化設定を一元管理できます。ポリシーの適用範囲に含まれる既存アカウントと新規アカウントの両方を管理対象にできます。
今回のような既存アカウントの有効化漏れに個別対応する場合は、委任管理者アカウントから手動でアクティブ化できます。一方、組織全体の設定を継続的に管理する場合は、Amazon Inspector ポリシーの利用が選択肢になります。
まとめ
Amazon Inspector の「新しいメンバーアカウントのために Inspector を自動的にアクティブ化」は、設定後に組織へ追加される新規メンバーアカウントを対象とする設定です。
今回の検証では、既存アカウントで後からオプトインリージョンを有効化しても、そのリージョンの Amazon Inspector は自動的にアクティブ化されませんでした。
既存アカウントで新しいリージョンの利用を開始する場合は、Amazon Inspector の状態も確認し、必要に応じて委任管理者アカウントから手動でアクティブ化するか、Amazon Inspector ポリシーによる一元管理を検討してください。
