AWS Organizations の Inspector ポリシーは、自動アクティブ化設定が無効と表示されていても新規メンバーアカウントに適用されます
困っていること
AWS Organizations の組織ルート（Root、以降 Root）に Amazon Inspector の Inspector ポリシーをアタッチし、組織内の Amazon Inspector を管理しています。
Inspector ポリシーでは、対象リージョンと、スキャンタイプごとの有効化または無効化を設定しています。Root にアタッチした Inspector ポリシーは配下のアカウントに継承されるため、今後 AWS Organizations に追加される新規メンバーアカウントでも、ポリシーの内容に基づいて Amazon Inspector が自動的に有効化される想定です。
一方、委任管理者アカウントの Amazon Inspector コンソールでは、 「新しいメンバーアカウントのために Inspector を自動的にアクティブ化」 が無効と表示されています。
委任管理者アカウントでは、新規メンバーアカウントの自動アクティブ化設定が無効と表示されている
なお、メンバーアカウントでは自身のアカウントのみが表示され、 「新しいメンバーアカウントのために Inspector を自動的にアクティブ化」 は表示されません。
メンバーアカウントでは、新規メンバーアカウントの自動アクティブ化設定が表示されない
このように、委任管理者アカウントのコンソール上で自動アクティブ化設定が無効と表示されていても、Inspector ポリシーで有効化を設定しているリージョンでは、新規メンバーアカウントにポリシーが適用され、ポリシーで指定したスキャンタイプが自動的に有効化されるのでしょうか。
回答
結論として、委任管理者アカウントのコンソール上で 「新しいメンバーアカウントのために Inspector を自動的にアクティブ化」 が無効と表示されていても、Inspector ポリシーは新規メンバーアカウントに適用されます。
ここで無効と表示されているのは、委任管理者アカウントのコンソール上にある自動アクティブ化設定です。Amazon Inspector 自体が無効であることを示す表示ではありません。
Inspector ポリシーで有効化を設定しているリージョンでは、新規メンバーアカウントに対する Amazon Inspector の有効化とスキャンタイプは、Inspector ポリシーによって制御されます。
そのため、コンソール上の自動アクティブ化設定が無効と表示されていても、新規メンバーアカウントでは Inspector ポリシーの内容どおりに、ポリシーで指定したスキャンタイプが有効化されます。
Inspector ポリシーによる管理時の動作
AWS Organizations の Inspector ポリシーで明示的に有効化または無効化されているスキャンタイプは、委任管理者アカウントやメンバーアカウントから個別に変更できません。API からポリシー管理対象のスキャンタイプを有効化または無効化しようとした場合は、組織ポリシーによる管理対象であることを示すエラーが発生します。
一方、Inspector ポリシーで管理されていないスキャンタイプは、委任管理者アカウントやメンバーアカウントから個別に有効化または無効化できます。
今回確認した環境では、Inspector ポリシーで管理されているスキャンタイプのチェックボックスがグレーアウトしており、コンソールから個別に変更できませんでした。
新規メンバーアカウントに対する Amazon Inspector の有効化も、Inspector ポリシー側で制御されます。このため、次の2点は区別して考える必要があります。
- 委任管理者アカウントのコンソール上にある自動アクティブ化設定：無効と表示
- Inspector ポリシーで有効化を設定しているリージョンの新規メンバーアカウント：ポリシーで有効にしたスキャンタイプが有効化
つまり、コンソール上で自動アクティブ化設定が無効と表示されていても、Inspector ポリシーによる有効化が無効になるわけではありません。
Inspector ポリシーによる委任管理者アカウントとメンバーアカウントの管理モデルについては、以下のドキュメントを参照してください。
Root にアタッチしたポリシーは新規メンバーアカウントにも継承される
Root に Inspector ポリシーをアタッチすると、Root 配下の組織単位（OU）とアカウントにポリシーが継承されます。
今後 AWS Organizations に新しいメンバーアカウントを追加した場合も、そのアカウントには Root から Inspector ポリシーが継承されます。新規メンバーアカウントでは、ポリシーで有効化を設定しているリージョンにおいて Amazon Inspector が有効化され、委任管理者アカウントに関連付けられます。
したがって、委任管理者アカウントのコンソール上にある自動アクティブ化設定が無効と表示されていても、Inspector ポリシーの内容に基づいて新規メンバーアカウントのスキャンタイプが有効化されます。
各スキャンタイプについても、コンソール上の自動アクティブ化設定ではなく、Inspector ポリシーで指定した内容が適用されます。
Inspector ポリシーの継承と新規アカウントへの適用については、以下のドキュメントを参照してください。
たとえば、Inspector ポリシーで次のように設定している場合を考えます。
| スキャンタイプ | Inspector ポリシーの設定 |
|---|---|
| Amazon EC2 スキャン | 無効 |
| Amazon ECR スキャン | 有効 |
| AWS Lambda 標準スキャン | 有効 |
| コードリポジトリスキャン | 無効 |
この場合、新規メンバーアカウントでは、Inspector ポリシーで有効化対象としているリージョンにおいて、Amazon ECR スキャンと AWS Lambda 標準スキャンが有効化されます。
一方、Amazon EC2 スキャンとコードリポジトリスキャンは、Inspector ポリシーで無効化を設定しているため有効化されません。
補足：既存メンバーアカウントへの影響
今回の検証では、委任管理者アカウントのコンソール上にある自動アクティブ化設定を変更した後、既存メンバーアカウントのスキャンタイプを確認しました。
確認した範囲では、既存メンバーアカウントのスキャンタイプに変化はなく、Inspector ポリシーの内容どおりに設定されていました。
ただし、 「新しいメンバーアカウントのために Inspector を自動的にアクティブ化」 は新規メンバーアカウントを対象とする設定です。今回の検証では、設定変更後に新規メンバーアカウントを追加していないため、新規メンバーアカウントに対する動作は実機では確認していません。
新規メンバーアカウントが Inspector ポリシーを継承し、ポリシーの内容に基づいて有効化されることは、公式ドキュメントの記載に基づいています。
まとめ
AWS Organizations の Root に Inspector ポリシーをアタッチしている場合、コンソール上の自動アクティブ化設定が無効と表示されていても、新規メンバーアカウントには Inspector ポリシーが継承されます。
Inspector ポリシーで有効化を設定しているリージョンでは、新規メンバーアカウントでも、ポリシーで有効にしたスキャンタイプが有効化されます。
コンソール上の表示だけで判断せず、Root や組織単位にアタッチされている Inspector ポリシーの対象リージョンと、各スキャンタイプの設定を確認してください。
