【Organizations】組織内の GuardDuty設定を試してみる

川原征大

2020.05.11

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

実際のセットアップ手順は以下ブログを参照ください

Organizations 環境で Amazon GuardDuty を全リージョンへ簡単セットアップしてみる | DevelopersIO

AWS Organizations はマルチアカウントの管理、統制に役立つサービスです。

それぞれの AWSアカウントを組織単位(Organizational Unit: OU)に所属させ、グループ化することができます。組織単位で AWSのリソース設定やセキュリティの統制が可能になります。

一方、 Amazon GuardDuty はマネージドな脅威検出サービスです。

VPCフローログ、AWS CloudTrail イベントログ、DNSログを分析し、悪意のあるアクティビティを検出します。早急なセキュリティ対応に役立ちます。

この GuardDutyはリージョン単位のサービスです。 サポートされている全てのリージョンで有効化することが強く推奨 されています。

GuardDuty は、サポートされているすべての AWS リージョンで有効にすることを強くお勧めします。このように設定することで、お客様が能動的に使用していないリージョンでも、許可されていないアクティビティや異常なアクティビティに関する検索結果を GuardDuty で生成できます

– 引用: GuardDuty のセットアップ | AWSドキュメント

もちろんマルチアカウント環境でも、それぞれ全てのアカウント・全てのリージョンで有効化が推奨されます。一見作業量がとても多いように見えます。

ですが Organizations環境下においては、 組織内すべてのアカウント・すべてのリージョンへの GuardDuty設定を簡単に行う ことができます。

実際にやってみました。

Organizations と GuardDuty

GuardDutyでは マスターアカウントとメンバーアカウント の関係を築くことができます。 (注意: Organizations のマスターアカウント・メンバーアカウントとは別もの)

GuardDutyマスターアカウント上でメンバーアカウントの情報もまとめて管理が可能となります。

通常、Organizationsを利用しない場合は招待によるメンバーアカウントの関連付けが必要となります。 (参考: 招待による GuardDuty アカウントの管理 | AWSドキュメント)

Organizationsでは 招待不要で 以下のプロセスでまとめて管理ができます。

Organizationsマスターアカウントから GuardDuty 委任管理者(GuardDutyマスターアカウント)を選択
GuardDuty 委任管理者は組織内アカウントの GuardDuty設定を 簡単に一括設定

以下のようなイメージです。

やってみる(東京リージョン有効化)

まずはすべてのアカウントの東京リージョンの GuardDuty有効化を試してみます。

GuardDuty 委任管理者の選択

(Organizationsの)マスターアカウントにログインして、 GuardDutyコンソール画面に向かいます。「設定」を開くと Organization 用の GuardDuty 管理者アカウント欄があります。

こちらに GuardDuty委任管理者とするAWSアカウントIDを入力して「マスターの委任」を選択します。

※ GuardDuty委任管理者=Organizationsマスターアカウント とできますがこれは "非推奨" です

組織のマスターアカウントは委任管理者になることができますが、これは最小限の特権の原則に従う AWS Security のベストプラクティスに基づいてお勧めしません。

– 引用: AWS Organizations による GuardDuty アカウントの管理 | AWSドキュメント

委任後の画面がこちらになります。

GuardDuty 一括設定

GuardDuty 委任管理者となった AWSアカウントへログインします。

委任管理者になった時点で、自動的にこのアカウント・このリージョンで GuardDutyが有効化されます。

「設定 → アカウント」を開きましょう。組織内全てのアカウントの情報が見れるはずです。

上の青色のバー Enable GuardDuty for your organization in this region: Enable を選択しましょう。

以下のようなウィンドウがでるので Enable を選択します。

選択すると以下の画面のようになります。

全てのアカウントのGuardDutyが有効化されました
自動有効化がONになりました … 組織内にアカウントが追加されたときに自動的に GuardDutyが有効化されます

数クリックで一括 GuardDuty設定ができました。

やってみる(全リージョン有効化)

次にすべてのアカウントのすべてのリージョンの GuardDuty有効化を試してみます。

CloudFormation StackSets を使った有効化など考えられますが、

GuardDuty 委任管理者の選択 は CFnで出来ない
GuardDuty 一括設定 のマネジメントコンソールでの実行が便利

上記理由から、主に AWS CLI + マネジメントコンソールでやってみます。

GuardDuty 委任管理者の選択

(Organizationsの)マスターアカウントにログインして、 GuardDutyコンソール画面に向かいます。

AWS CLIで実施します。

guardduty enable-organization-admin-account コマンドで実行できます。 --admin-account-id に委任管理者のAWSアカウントIDを指定します。

以下にシェルで実行した場合の例を載せます。

ACCOUNT_ID=(委任管理者のAWSアカウントID 12桁)

aws ec2 describe-regions --query "Regions[].[RegionName]" --output text \
| while read r; do
  echo aws guardduty enable-organization-admin-account --admin-account-id $ACCOUNT_ID --region $r
done

GuardDuty 一括設定

GuardDuty 委任管理者となった AWSアカウントへログインします。

この作業を AWS CLIで実施するには

すべてのアカウントに対して create-members コマンドでメンバー追加
update-organization-configuration コマンドで自動有効化を ONにする

上記対応が必要で、特に create-members がアカウント分必要なので面倒です。

ここはマネジメントコンソールで行ったほうが (個人的には)楽だと思います。

以下のようにリージョンを切り替えて、青色バナーの Enable をポチポチ押していきましょう。

(・・・以下同様)

全てのアカウント・全てのリージョンで有効化されているかを確認するシェルスクリプトの例を以下に載せます。

aws ec2 describe-regions --query "Regions[].[RegionName]" --output text \
| while read r; do
  dtid=$(aws guardduty list-detectors --query 'DetectorIds' --region $r --output text)
  echo "running... aws guardduty list-members --detector-id $dtid --region $r"
  aws guardduty list-members --detector-id $dtid --region $r \
  --query "Members[].[AccountId, RelationshipStatus]" --output table
done

それぞれ RelationshipStatus がすべて Enabled になっていれば OKです。