Security Hubコントロール [SSM.7] パブリック共有のブロック設定をAWS CDKカスタムリソースで有効化してみた

import * as cdk from 'aws-cdk-lib';
import * as custom_resources from 'aws-cdk-lib/custom-resources';
import { Construct } from 'constructs';

export class SsmPublicSharingBlockCdkStack extends cdk.Stack {
  constructor(scope: Construct, id: string, props?: cdk.StackProps) {
    super(scope, id, props);

    // Systems Manager ドキュメントのパブリック共有ブロック設定を有効化するカスタムリソース
    new custom_resources.AwsCustomResource(this, 'SsmPublicSharingBlockCustomResource', {

      /**
       * Lambda関数の実行タイミングを指定
       * 'onCreate'はリソース作成時にのみ実行されます
       * @see https://dev.classmethod.jp/articles/aws-cdk-custom-resource-aws-sdk-call/
       */
      onCreate: {
        service: 'SSM', // 呼び出すAWSサービス
        action: 'updateServiceSetting', // 呼び出すAPIアクション
        parameters: {
          SettingId: '/ssm/documents/console/public-sharing-permission',
          SettingValue: 'Disable', // 'Disable'でパブリック共有をブロック
        },
        // リソースの物理IDを指定
        physicalResourceId: custom_resources.PhysicalResourceId.of('SsmPublicSharingBlockSetting'),
      },
      // AwsCustomResourceがAPIコールを実行するためのIAMポリシー
      policy: custom_resources.AwsCustomResourcePolicy.fromSdkCalls({
        resources: custom_resources.AwsCustomResourcePolicy.ANY_RESOURCE,
      }),
    });
  }
}

new custom_resources.AwsCustomResource(this, 'SsmPublicSharingBlockCustomResource', {
});

onCreate: {
  service: 'SSM', // 呼び出すAWSサービス
  action: 'updateServiceSetting', // 呼び出すAPIアクション
  parameters: {
    SettingId: '/ssm/documents/console/public-sharing-permission',
    SettingValue: 'Disable',
  },
  physicalResourceId: custom_resources.PhysicalResourceId.of('SsmPublicSharingBlockSetting'),
}

policy: custom_resources.AwsCustomResourcePolicy.fromSdkCalls({
  resources: custom_resources.AwsCustomResourcePolicy.ANY_RESOURCE,
})

 aws ssm update-service-setting  \
    --setting-id /ssm/documents/console/public-sharing-permission \
    --setting-value Disable \
    --region 'The AWS リージョン you want to block public sharing in'

onCreate: {
  service: 'SSM',                    // aws ssm に対応
  action: 'updateServiceSetting',    // update-service-setting に対応
  parameters: {
    SettingId: '/ssm/documents/console/public-sharing-permission',  // --setting-id に対応
    SettingValue: 'Disable',         // --setting-value に対応
  },
  // --region は自動的にスタックのリージョンが使用される
}