組織全体でのGuardDutyの有効化

1つのアカウントでGuardDutyを有効にするのは簡単ですが、実際の環境には多数のアカウントがあります。すべてのアカウントで検出を手作業で有効化・管理すると、ミスが起こりやすく、抜け漏れも生じます。AWSでは、AWS Organizationsと連携する委任された管理者モデルによってこの問題を解決します。

AWS Organizationsを使用すると、複数のアカウントを1つの管理アカウントの下にまとめ、組織単位（OU）として構成できます。これはマルチアカウントガバナンスの基盤です。GuardDutyを含む多くのセキュリティサービスはOrganizationsと統合し、すべてのメンバーアカウントで一元的に運用できます。

強力な管理アカウントからセキュリティを運用するのではなく、通常は専用のセキュリティアカウントなど、別の委任された管理者アカウントをGuardDuty用に指定します。このアカウントで組織全体のGuardDutyを設定・表示します。これは、日常の運用に管理アカウントを使用しないというベストプラクティスに沿った方法です。

Organizationsの管理アカウントは非常に機密性が高いため、AWSは請求とアカウント管理だけに使用することを推奨しています。セキュリティ管理を別のアカウントに委任すると、影響範囲を限定でき、職務分離も適用できます。これはWell-Architectedのベストプラクティスであり、試験でも重視されます。

委任を設定すると、管理者は既存のすべてのメンバーアカウントでGuardDutyを有効にし、1つのコンソールで検出結果を確認できます。管理者がサービスを管理している場合、メンバーはサービスを無効化できません。そのため、各チームが誤って無効化することのない、一貫したカバレッジを確保できます。

重要な機能が自動有効化です。組織に新しいアカウントを追加すると、GuardDutyが自動的に有効になります。これにより、新しく作成したアカウントが監視されないままになる、よくある抜け漏れを防げます。組織の成長に合わせて検出カバレッジを確実に維持できるため、試験でも重視されます。

委任された管理者は、すべてのアカウントの検出結果を1つの画面で確認できます。この一元化されたビューは、組織全体のセキュリティ運用チームが多数のアカウントにログインせずにトリアージと対応を行うために不可欠です。また、Security Hubの一元的な集約にも連携できます。

GuardDutyはリージョナルサービスであるため、組織全体で有効にするにはリージョンごとに設定する必要があります。よくある間違いは、1つのリージョンで有効にしただけで、すべてのリージョンが対象になると思い込むことです。すべてのアクティビティを対象にするには、リソースを配置する予定がないリージョンも含め、利用するすべてのリージョンで有効にします。

この設定を行うには、まずOrganizationsでGuardDutyの信頼されたアクセスを有効にし、その後、委任管理者を登録します。これにより、管理者がメンバーシップと設定を一元管理できるようになります。これは一度だけ行う設定ですが、組織の規模が拡大するほど効果を発揮します。

中央コンソールでの表示に加えて、組織では通常、Security Hubの集約機能を使用するか、共有S3バケットとEventBridgeバスにエクスポートして、すべてのアカウントの検出結果を中央セキュリティアカウントに送ります。これにより、セキュリティ運用チームは、アカウント横断の永続的な記録を1か所で管理できます。この中央集約フローの設計は、マルチアカウントに関する試験で繰り返し扱われるテーマです。

Organizationsとの統合以前は、アカウントを招待によって関連付けていました。管理者が各メンバーを招待し、招待された側が承諾する必要がありました。この方式は現在も利用できますが、規模を拡大しにくく、新しいアカウントを自動的に有効化することもできません。委任管理者を使用する組織方式が推奨されるのは、メンバーシップを一元管理し、新しいアカウントを自動的に有効化できるためです。試験でも、これを現在のベストプラクティスとして扱います。

組織全体に検出機能を適用します。

AWS Organizationsと委任管理者（管理アカウントではなく、専用のセキュリティアカウント）を使用してGuardDutyをスケールさせます。管理者はメンバーアカウント全体でGuardDutyを有効にし、自動有効化を使用して新しいアカウントにも適用し、すべての検出結果を一元的に確認します。GuardDutyはリージョナルサービスであるため、完全なカバレッジを確保するにはリージョンごとに有効化することを忘れないでください。