AWS Organizations の Amazon Inspector ポリシーをアタッチしても、リージョンによって有効化に時間がかかることがあります
困っていること
AWS Organizations の組織ルートに Amazon Inspector ポリシーをアタッチし、対象リージョンを ALL_SUPPORTED として、Amazon ECR スキャンおよび Lambda スキャンを有効化しています。
アタッチ後、他のリージョンでは Amazon Inspector が有効化されている一方で、us-east-2 リージョンを確認したところ、Amazon Inspector がまだ有効化されていない画面が表示されていました。
us-east-2 で Amazon Inspector がまだ有効化されていなかった画面
AWS Organizations の Amazon Inspector ポリシーを組織ルートにアタッチし、対象リージョンを ALL_SUPPORTED としているにもかかわらず、なぜ us-east-2 だけ Amazon Inspector が有効化されないのでしょうか。
回答
結論として、今回確認した事象では、us-east-2 が Amazon Inspector ポリシーの対象外だったわけではなく、他リージョンより遅れて有効化されていました。
CloudTrail で確認したところ、他リージョンはポリシー適用後すぐに有効化されていました。一方で、us-east-2 のみ約 9 時間後に Amazon Inspector の Enable イベントが記録されていました。
そのため、AWS Organizations の Amazon Inspector ポリシーで ALL_SUPPORTED を指定していても、すべてのリージョンで同じタイミングに有効化が完了するとは限らないと考えておくのがよさそうです。
AWS ドキュメントでは、ALL_SUPPORTED を指定すると、Amazon Inspector が明示的に無効化されていない限り、現在および将来のすべてのサポート対象リージョンで有効になると説明されています。また、ポリシーの適用はリージョンごとに独立して行われると説明されています。
一方で、確認した AWS ドキュメント上では、ポリシー適用後に各リージョンで Amazon Inspector の有効化が完了するまで、どの程度のラグが発生する可能性があるかまでは明記されていませんでした。
そのため、特定リージョンのみ未有効化の場合は、CloudTrail で実際の Enable イベントを確認しつつ、時間を置いて翌日などにコンソール上の有効化状態を再確認するのがよさそうです。
確認結果
Amazon Inspector の有効化処理は、CloudTrail のイベント履歴から確認できます。
コンソール上で特定リージョンが未有効化に見える場合は、CloudTrail で inspector2.amazonaws.com の Enable イベントの有無を確認することで、対象リージョンで Amazon Inspector の有効化処理が実行されたかどうかを確認できます。
CloudTrail で確認する場合は、対象リージョンを選択したうえで、以下の条件で検索します。
| 項目 | 値 |
|---|---|
| イベント名 | Enable |
| イベントソース | inspector2.amazonaws.com |
今回の確認では、Amazon Inspector のサービスリンクドロールである AWSServiceRoleForAmazonInspector2 による Enable イベントが記録されていました。
他リージョンではすぐに有効化された
以下は、他リージョンで確認した CloudTrail の例です。
他リージョンではポリシー適用後すぐに Enable イベントを確認
他リージョンでは、Amazon Inspector ポリシーの適用後、すぐに Enable イベントが記録されていました。
us-east-2 では約 9 時間後に有効化された
一方で、us-east-2 では、他リージョンより約 9 時間遅れて Enable イベントが記録されていました。
us-east-2 では他リージョンより約 9 時間後に Enable イベントを確認
このことから、us-east-2 が Amazon Inspector ポリシーの対象外だったわけではなく、有効化処理の完了までに時間がかかっていたと判断できます。
有効化後も Enable イベントが記録される場合がある
なお、CloudTrail では Amazon Inspector が有効化済みのリージョンでも、InspectorOrganizationManagement... による Enable イベントが記録される場合があります。
今回の確認では、us-east-1 では 2 週間で 4 回程度、ap-southeast-7 では 1 日に複数回、InspectorOrganizationManagement... による Enable イベントが記録されていました。
このように、記録頻度はリージョンによって異なっていました。
ただし、この差の理由や実行間隔は AWS ドキュメント上では確認できませんでした。
そのため、これらのイベントは失敗時の再試行と断定するのではなく、Amazon Inspector / AWS Organizations 側のリージョンごとの組織管理処理として記録されている可能性がある、という範囲で捉えるのがよさそうです。
us-east-1 では 2 週間で 4 回程度
ap-southeast-7 では 1 日に複数回
まとめ
AWS Organizations の Amazon Inspector ポリシーで ALL_SUPPORTED を指定していても、今回の検証では us-east-2 の有効化が他リージョンより約 9 時間遅れて完了しました。
特定リージョンが未有効化の場合は、対象リージョンの CloudTrail で inspector2.amazonaws.com の Enable イベントを確認すると、実際に有効化処理が行われたかを追跡できます。
AWS ドキュメント上、ポリシー適用後の有効化完了までのラグの目安は確認できなかったため、コンソール上の状態だけで判断せず、CloudTrail の確認と、時間を置いた再確認をあわせて行うのがよさそうです。
