AWS Security Hub CSPM コントロール 「EC2.182」 を AWS Organizations の宣言型ポリシーで対応してみた

#!/bin/bash
# 全アカウントのパブリック共有EBSスナップショットを確認

# 環境変数から設定を取得（デフォルト値あり）
ROLE_NAME="${ROLE_NAME:-CrossAccountAdminRole}"

# 対象リージョン（必要に応じて変更）
TARGET_REGIONS=(
  "ap-northeast-1"
  "us-east-1"
  "us-east-2"
  "us-west-2"
)

# Organizations配下の全アカウントIDを取得
ACCOUNTS=$(aws organizations list-accounts --query 'Accounts[?Status==`ACTIVE`].Id' --output text)

echo "=== パブリック共有EBSスナップショット確認 ==="
echo "対象ロール: ${ROLE_NAME}"
echo "対象リージョン: ${TARGET_REGIONS[*]}"
echo ""

PUBLIC_SNAPSHOTS_FOUND=0
TOTAL_ACCOUNTS=0
FAILED_ACCOUNTS=0

for ACCOUNT_ID in $ACCOUNTS; do
  echo "アカウント: $ACCOUNT_ID"
  TOTAL_ACCOUNTS=$((TOTAL_ACCOUNTS + 1))

  # AssumeRoleでアカウントにアクセス
  CREDS=$(aws sts assume-role \
    --role-arn "arn:aws:iam::${ACCOUNT_ID}:role/${ROLE_NAME}" \
    --role-session-name "ebs-snapshot-check" \
    --query 'Credentials.[AccessKeyId,SecretAccessKey,SessionToken]' \
    --output text 2>/dev/null)

  if [ $? -eq 0 ]; then
    export AWS_ACCESS_KEY_ID=$(echo $CREDS | awk '{print $1}')
    export AWS_SECRET_ACCESS_KEY=$(echo $CREDS | awk '{print $2}')
    export AWS_SESSION_TOKEN=$(echo $CREDS | awk '{print $3}')

    ACCOUNT_HAS_PUBLIC=0

    # 対象リージョンで確認
    for REGION in "${TARGET_REGIONS[@]}"; do
      PUBLIC_SNAPSHOTS=$(aws ec2 describe-snapshots \
        --owner-ids self \
        --region $REGION \
        --query 'Snapshots[?CreateVolumePermissions[?Group==`all`]].{SnapshotId:SnapshotId,Description:Description,VolumeId:VolumeId,Encrypted:Encrypted,StartTime:StartTime}' \
        --output json 2>/dev/null)

      if [ $? -eq 0 ] && [ "$PUBLIC_SNAPSHOTS" != "[]" ]; then
        if [ $ACCOUNT_HAS_PUBLIC -eq 0 ]; then
          echo "  [警告] パブリック共有スナップショット検出"
          ACCOUNT_HAS_PUBLIC=1
          PUBLIC_SNAPSHOTS_FOUND=$((PUBLIC_SNAPSHOTS_FOUND + 1))
        fi
        echo "  リージョン: $REGION"
        echo "$PUBLIC_SNAPSHOTS" | jq -r '.[] | "    - スナップショットID: \(.SnapshotId), 暗号化: \(.Encrypted), 作成日時: \(.StartTime)"'
      fi
    done

    if [ $ACCOUNT_HAS_PUBLIC -eq 0 ]; then
      echo "  [OK] パブリック共有スナップショットなし"
    fi

    unset AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY AWS_SESSION_TOKEN
  else
    echo "  [エラー] アカウント $ACCOUNT_ID へのAssumeRole失敗"
    FAILED_ACCOUNTS=$((FAILED_ACCOUNTS + 1))
  fi

  echo ""
done

echo "=== 確認結果サマリー ==="
echo "確認アカウント数: $TOTAL_ACCOUNTS"
echo "パブリック共有スナップショットあり: $PUBLIC_SNAPSHOTS_FOUND"
echo "AssumeRole失敗: $FAILED_ACCOUNTS"

if [ $PUBLIC_SNAPSHOTS_FOUND -eq 0 ] && [ $FAILED_ACCOUNTS -eq 0 ]; then
  echo ""
  echo "[結論] 全アカウントでパブリック共有スナップショットは検出されませんでした。"
  echo "Block Public Access設定の有効化を進めることができます。"
fi

# 管理アカウントで実行
bash check-public-ebs-snapshots.sh