ビュー:

Cloud Accountsアプリにアカウントを追加すると同時に、AWS CloudFormationを使用してFile Security StorageをAWS Organizationアカウントにデプロイします。

File Security Storageは、AWS CloudFormationを使用した簡単なデプロイメントを提供し、ストレージにファイルをアップロードする際に自動スキャンを統合し、ウイルス、トロイの木馬、スパイウェアなど、あらゆる種類の不正プログラムを簡単に検出します。これを個人アカウントまたは組織アカウントのいずれかに適用できます。
File Security StorageはIAM Permissions Boundaryの使用もサポートしています。CloudFormationテンプレートを設定する際に、この境界ポリシーを適用するためのIamPermissionsBoundaryArnを指定します。
注意
注意
スタック展開時にIamPermissionsBoundaryArnを指定する場合、ARNに関連付けられたIAMポリシーには、有効にする機能に必要な最低限の権限が含まれている必要があります。権限の境界は、AWS CloudTrailのクラウド検出 (Control Towerを含む)、Amazon Security Lakeのクラウド検出、およびFile Security Storageのために作成されたIAMロールに適用されます。境界ポリシーに必要なアクションが含まれていることを確認するためにAWSに必要な権限に記載されている権限を参照してください。
注意
注意
CloudFormationテンプレートにバケットを追加しても、すぐにはFile Securityインベントリに表示されません。インベントリは、TrendAI Vision One™が予定されたアセット同期を実行する際に更新されます。これは、ライセンスを持つTrendAI Vision One™ユーザの場合は毎時間、非ライセンスユーザの場合は1日1回行われます。バケットをリアルタイムで追加するには、リアルタイム状態監視を有効にすることができます。
TrendAI Vision One™にAWS accountを追加する際にFile Security Storageを展開できます。

手順

  1. TrendAI Vision One™コンソールで [Cloud Security] → [File Security] → [Cloud Accounts] → [インベントリ] → [AWS] の順に選択します。
  2. [クラウドアカウントを追加]をクリックします。
  3. [AWS組織] をクリックし、[次へ] をクリックします。
  4. [アカウント名] フィールドに AWS 組織アカウントの名前を入力します。
  5. CloudFormation テンプレートをデプロイするリージョンを選択し、[次へ] をクリックしてください。
  6. アカウントを識別するために[説明]を追加できます。
  7. [すべての機能]リストでスクロールダウンし、[File Security Storage]を有効にします。
  8. [File Security Storage] セクションを開きます。
  9. [デプロイメント]リストから、少なくとも1つのリージョンを選択します。これは、File Securityスキャナーを展開するリージョンです。
  10. ブラウザの新しいタブで、AWSアカウントにログインします。
  11. TrendAI Vision One™コンソールに戻り、[スタックを起動] をクリックします。
    [スタックを起動]をクリックすると、前の手順で開いたブラウザタブのAWSアカウントで[Quick create stack]画面が開きます。
  12. [File Security Storage]セクションまでスクロールし、次のパラメーターを入力してください。

    File Security Storage CloudFormationパラメーター

    パラメータ
    説明
    OrganizationID
    AWS Organizationsページでデプロイしたい組織単位のIDを提供してください。
    OrganizationExcludedAccounts
    (オプション) スタック展開から除外したいAWS accountsのID。アカウントIDをカンマで区切ったリストで、各エントリの間にスペースを入れずに提供してください。
    FileSecurityStorageEnableQuarantine
    機能を有効にするには「true」を選択し、無効にするには「false」を選択してください。機能を有効にして隔離バケットを指定しない場合、File Security Storageは隔離バケットを作成します。機能を有効にして隔離バケットを指定した場合、File Security Storageは指定されたバケットを使用します。
    FileSecurityStorageEnablePromote
    「true」を選択すると機能が有効になり、「false」を選択すると機能が無効になります。機能を有効にしてプロモートバケットを指定しない場合、File Security Storageはプロモートバケットを作成します。機能を有効にしてプロモートバケットを指定した場合、File Security Storageは指定されたバケットを使用します。
    FileSecurityStorageEnableIsolate
    機能を有効にするには「true」を選択し、無効にするには「false」を選択してください。機能を有効にして隔離バケットを指定しない場合、File Security Storageは隔離バケットを作成します。機能を有効にして隔離バケットを指定した場合、File Security Storageは指定されたバケットを使用します。
    SyncBucketEventBridge
    「true」を選択すると機能が有効になり、「false」を選択すると機能が無効になります。この機能を有効にすると、File Security StorageはデフォルトでEventBridgeの設定を自動的に同期します。この機能を有効にしない場合は、個々のバケットを有効にする必要があります。
  13. [Quick create stack]画面の一番下までスクロールし、確認オプションを選択して、[Create stack.]をクリックしてください
  14. TrendAI Vision One™コンソールで[終了]をクリックします。

次のステップ

次に、テンプレートで有効にした各リージョンのバケットに対してスキャナーを有効にする必要があります。File Security StorageコンソールでEventBridgeが有効になっているバケットのみがスキャンされます。AWSコンソールでEventBridgeが有効になっているバケットはスキャンされません。
注意
注意
スキャンを有効にしても、File Security Storageは現在バケット内にあるファイルを検索しません。既存のファイルを検索するには、手動検索を実行する必要があります。詳細については、AWSバケットの手動検索を参照してください。
初めてFile Security Storageスタックをデプロイすると、EventBridgeが有効になっているすべてのS3 Bucketsを監視します。監視バケットを追加または削除すると、File Security Storageはその構成に監視バケットのリストを保存し、その構成に基づいてバケットをスキャンします。この動作は後方互換性のために存在します。古いFile Security Storageテンプレート (監視バケットがEventBridgeの有効化に基づいていた) を、コンソールでの選択に基づく強化版に更新しても、監視バケットを再構成することなく保護が維持されます。
  • スタックバージョン1.2.0以前では、スキャンを有効にするかどうかを制御するためにEventBridgeをオンまたはオフにする必要があります。
  • スタックバージョン1.2.0以上では、File Security Storageは環境内にS3構成バケットを作成します。この構成バケットの情報を使用して、特定のバケットを検索するかどうかを判断します。検索をオンにするたびに、File Security StorageはEventBridgeを有効にします。ただし、検索をオフにした場合、File Security StorageはEventBridgeを無効にせず、現在の検索ステータスを構成バケットに保存します。
  • 既に拡張版をインストールしており、新機能を取得するためにテンプレートを更新した場合、監視バケットの設定はそのまま残るため、以前の監視設定が引き続き保護します。しかし、既存のスタックを削除して新しいスタックをインストールする場合、スタックを更新するのではなく、File Security Storageはこれを新しいインストールと見なし、以前の設定が失われます。