メインコンテンツにスキップ

プロジェクト設定

プロジェクト設定は現在、全般(General)、AWS接続(AWS Connection)、スケジュール実行(Scheduled Runs)、プロジェクトメンバー(Project Members)、Data Locationの5つのタブで構成されています。

このドキュメントではそのうちAWS接続・全般・スケジュール実行タブと、すべての実行記録をまとめて確認するRun History画面を説明します。

プロジェクト設定は以下のエリアで構成されています：

  • 全般 – 基本的なプロジェクト情報の管理、このプロジェクトの通知のミュート、AWSアカウントのオーナー・チーム・IAM分析の代表フラグ
  • AWS接続 – AWSアカウント連携の設定
  • スケジュール実行 – 同期・評価・IAM分析を決められた周期で繰り返し実行するよう予約
  • プロジェクトメンバー – プロジェクトユーザーの管理
  • Data Location – この接続のデータ保管場所レポート(データの保管場所を参照)

通知は独立したタブではなく、全般タブ内のミュート設定です。通知チャネルや受信項目は、組織ポータルのNotificationsページで管理します。

このドキュメントではAWS接続の設定プロセスに焦点を当てます。

1. AWS接続の概要​

AWS接続は、AWSアカウントをRMFサービスに安全にリンクするプロセスです。

  • アセット同期がResource Explorerを使用してスキャン範囲を拡大するには、接続が完了している必要があります。
  • 連携プロセスでは、AWSの認証情報（アクセスキー/シークレット）を直接共有する必要はありません。

2. 前提条件: Resource Explorerの有効化​

AWS接続を進める前に、まずAWSアカウントでResource Explorerを有効にする必要があります。

Resource ExplorerはAWSアカウント内のリソースをリージョン横断で統一検索できるAWSサービスです。Security Hero RMFはこのサービスを使用してアセットを検出するため、有効でないと同期が正常に機能しません。

有効化の方法​

  1. AWSコンソールにサインインします。
  2. Resource Explorerサービスに移動します。
  3. Resource Explorerがまだ有効でない場合は、Turn on Resource Explorerボタンをクリックします。

Resource Explorerの設定

  1. クイックセットアップまたは希望するオプションを選択して有効化を完了します。
  2. アグリゲーターインデックスが作成されたリージョンを確認します（通常は現在のリージョン）。
注意

Resource Explorerを有効にしてからインデックス作成が完了するまで数分かかる場合があります。一部のリソースは検索結果にすぐに表示されない場合があるため、AWS接続を進める前に少し待ってください。

詳細については、AWS Resource Explorer公式ブログ記事を参照してください。

3. 接続プロセス（3ステップ）​

3.1. AWSアカウントIDの入力​

AWS接続のスクリーンショット

AWSアカウントIDを入力します。

  • アカウントIDはAWSアカウントを識別し、連携対象を確認するために使用されます。
  • 目標は、認証情報を共有せずにアカウントをSecurity Hero RMFに接続することです。

3.2. CloudFormationスタックの作成​

CloudFormationスタックのスクリーンショット

アカウントIDを入力後、AWSコンソールで連携IAMロールを作成します。

  • サービスが提供するCloudFormationテンプレートを使用してスタックを作成
  • スタック作成プロセスでRMF連携に必要なIAMロールと権限を設定
  • 手動設定と比較して、連携プロセスを標準化し、設定漏れのリスクを軽減

3.3. 接続ステータスの確認​

AWS接続の接続状態

スタックが正常に作成されると、AWSアカウントとRMFサービス間の接続が完了します。

  • 接続が成功すると、以降の同期ジョブで拡張されたアセットスキャンが可能になります
  • 接続ステータスはAWS接続画面で確認できます

4. 運用のヒント​

  • 接続後、同期スコープを調整して必要なサービスとリソースのみを選択的にスキャンする
  • CloudFormationスタックを変更する場合は、変更がIAMロールの権限に影響するかどうかを常に確認する

5. 全般タブ​

全般タブには、プロジェクト名・説明・通知設定に加えてAWS account ownershipセクションがあります。このセクションはStandardプランの接続にも表示され、次の項目で構成されます。組織関連の動作は組織を参照してください。

全般タブのAWS account ownershipセクション

  • オーナー(Owner) / チーム(Team) – このアカウントの責任者・チームを記録する自由入力項目です。組織の発見によって作成された接続は、AWSアカウントタグ(Owner/Team)の値が初期値として入力され、その後いつでも書き換えられます。この値は、そのアカウントで新たに検出されるリスク項目のデフォルト担当者としても使われます。
  • IAM分析の代表(IAM analysis primary for this account) – 同じAWSアカウントに複数の接続(リージョンごと)がある場合に、IAM権限分析を担当する接続かどうかを表示します。1つのアカウントにつき、このフラグを持てる接続は正確に1つだけで、別の接続でこのフラグをオンにすると、既存の代表フラグは自動的にオフになります。フラグを直接オフにできるのは、同じアカウントの別の接続がすでに代表を持っている場合のみです — アカウントに代表が1つもない状態にはできません。詳細は組織ドキュメントの代表接続の説明を参照してください。

接続種別(管理アカウント・メンバーアカウント)は全般タブではなく、AWS接続タブの接続状態の横にバッジ(例: Member account)で表示されます。

6. Scheduled Runsタブ​

Scheduled Runsタブでは、接続1つに対して同期・評価(スキャン)・IAM分析などを決まった周期で自動実行するよう予約できます。Add a scheduleで予約を追加します。

Scheduled Runsタブ

  • 実行内容 – 予約する対象(同期・評価・IAM分析など)を選びます。
  • 周期 – Daily(毎日)・Weekly(毎週)・Monthly(毎月)・Quarterly(四半期)のいずれかを選ぶか、cron式を直接入力します。開始時刻は指定したタイムゾーン基準で、指定しない場合は02:00に開始します。
  • オン/オフ – 予約をオフにすると設定は残ったまま実行されなくなります。削除するとその予約自体がなくなりますが、それまでに実行された記録はRun Historyにそのまま残ります。
  • Critical functionアセットがあるときのみ実行 – この接続にcritical functionとして表示されたアセットが1つもない場合、その回はスキップされ実行されません。スキップされた回もその理由とともに記録されます。

予約による実行でも、+ 新しいスキャンのように手動で実行したものでも、すべての実行結果は接続のRun History(実行履歴)画面で確認でき、何がその実行を起動したか(手動/予約/API)も併せて表示されます。詳しくは7. Run Historyを参照してください。

7. Run History (実行履歴)​

Run Historyは左メニューのRisk Managementグループにある画面で、この接続で実行されたすべてのスキャン・同期・IAM分析を、誰が起動したか(手動実行・予約・API)に関係なく一か所に記録します。スキャン直後にプラットフォームが自ら実行キューに入れる後続の計算ステップも併せて残ります。監査人に「何がいつ実行され、実際に何かを行ったか」を示す記録でもあります。

7.1. すぐに実行 (Run now)​

画面右上の選択ボックスでCompliance scan・Resource sync・IAM analysisのいずれかを選び、Run nowをクリックするとキューに登録されます。登録されると<種類> queuedという通知が表示されます。実行されずに記録だけが残った場合は、<種類> was not startedという通知とともにその理由(下のスキップ理由の表)が表示されます。

読み取り専用ユーザー(Viewer)と監査人はRun nowを使用できません。

7.2. 一覧とフィルター​

一覧上部のフィルターで範囲を絞り込めます。

  • 実行の種類 – Everything(すべて)、Compliance scan、Resource sync、IAM analysis、Exposure paths(スキャン直後に自動実行される後続の計算ステップ)
  • 結果 – Any outcome(すべて)、Queued、Running、Succeeded、Failed、Timed out、Skipped
  • Refresh – 一覧を再読み込みします。
列内容
What ran実行の種類と実行IDの先頭部分
Asked for by起動した主体 — By hand(手動実行)、Schedule(予約)、API
Outcome現在の状態。Skippedの場合はスキップ理由が、失敗の場合はエラーコードが横に併せて表示されます。
Due at予約実行が本来予定されていた時刻
Recorded実行が記録された時刻
Last change状態が最後に変わった時刻
Result結果画面へのリンク — スキャンはAssessment(リスク評価結果)、同期はSync jobs、IAM分析はAnalysis

1ページに25件ずつ表示され、Newer / Olderで移動します。記録がない場合はNo runs recorded yet. Start one above, or set up a schedule in project settings.が表示されます。

スキップ(Skipped)の理由​

Skippedは失敗ではなく、実行せずにその理由だけを記録したことを意味します。

画面表示意味
No scans left on this planプランの評価(スキャン)回数を使い切った(サブスクリプションを参照)
Storage is not connected yet顧客所有ストレージ(S3・KMS)の接続が完了していない(データセキュリティを参照)
Held back by the run budget実行上限にかかり保留された
The schedule is turned off予約がオフになっている
The connection is gone接続が削除された
A run of this kind was already going同じ種類の実行がすでに進行中だった
Another connection already covers this AWS account for account-level analysis同じAWSアカウントの別の接続がIAM分析の代表になっている(組織ドキュメントの代表接続を参照)

7.3. 実行の詳細​

行をクリックすると、右側に詳細パネルが開きます。

  • 状態、Asked for by、Requested by(リクエストしたユーザー)、From schedule(予約実行の場合はその予約番号)、Due at、Recorded、Started、Finished、Took(所要時間)と結果画面へのリンク
  • Tool – 使用したツールの名前・バージョン・チェック数・フレームワーク数(記録されている場合)
  • What this run measured – その実行が残した数値(例: スキャンしたリソース数、新たに発生した問題数、消えた問題数、再び現れた問題数)
  • How it got here – 状態が変わった順序。各ステップに時刻と、部分的な結果しか残らなかった場合はpartial results、スキャナーが変わった場合はscanner changed、エラーがあった場合はそのメッセージが表示されます。各ステップの下の短いハッシュは、下記の整合性確認に使われる値です。

7.4. 記録の整合性確認 (Check the record)​

実行記録は、各状態変更が直前の記録のハッシュを引き継ぐハッシュチェーンとして保存されます。Check the recordをクリックすると、この接続の記録全体を再検証し、結果を画面上部に表示します。

  • All N recorded state changes are intact. – 記録はそのままです。
  • The record does not verify after checking N state changes. – 記録が検証されません。チェーンが最初に途切れた項目番号が併せて表示されます。
  • まだ記録がない場合はNo runs recorded for this connection yet. There is nothing to check.が表示されます。

同じ検証結果は証跡パッケージのledger-verify.jsonにも含まれます。