GuardDuty の有効化を Organizations の宣言型ポリシーで一括管理できるように！

やっほー、しぃちゃんだよ！マルチアカウント運用をしているみんなに嬉しいニュースだよ！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New で、Amazon GuardDuty が AWS Organizations の宣言型ポリシーに対応したと発表されたよ。組織ポリシーを使って、組織内のすべてのアカウントとリージョンで GuardDuty の脅威検出を中央から有効化できるの。この設定は既存のアカウントに適用されて、新しく組織に参加したアカウントにも自動で維持されるよ。

今までどうだったの？

これまでは、マルチアカウント・マルチリージョンの環境で有効化を揃えるには、リージョンごとに GuardDuty の有効化設定を行う必要があって、時間とともにズレやすかったの。

これで何が変わるの？

委任管理者アカウントから、中央の GuardDuty ポリシーを定義して、組織全体の有効化のベースラインを作れるようになったよ。

• 適用先は、組織のルート、OU、個別のアカウントから選べる
• デフォルトの設定は、GuardDuty が使えるすべてのリージョンに適用される
• 別の扱いが必要なリージョンには、リージョンごとの上書きができる

深く潜ってみよう

ポリシーで設定した有効化は、GuardDuty のコンソールや API から上書きできないよ。つまり、勝手に無効化されて穴が空くのを防げるの。

始めるには、まず委任管理者に GuardDuty ポリシーを管理する権限があることを確認してね。そのあと GuardDuty コンソールで Organization policies を選ぶか、ポリシーを作成する手順で進めるみたいだよ。

対応リージョンは、すべての AWS 商用リージョンと AWS GovCloud (US) リージョンだよ。

まとめ

• GuardDuty が Organizations の宣言型ポリシーに対応
• 組織のルート・OU・アカウント単位で有効化のベースラインを定義できる
• デフォルト設定とリージョンごとの上書きに対応
• ポリシーで設定した有効化はコンソールや API から上書き不可
• 商用リージョンと GovCloud (US) で利用可能

多数のアカウントで検出のカバレッジを揃えたいセキュリティ担当の人に刺さるよ！