Security HubをOrganizationsでマルチアカウント/マルチリージョンで有効化する

朝散歩にハマっているCI部2課の山﨑です。

今回はSecurity HubをOrganizationsでマルチアカウント/マルチリージョンに展開してみました。

Organizations組織への展開イメージ
前提
検証
- Management Account から委任先アカウントへSecurity Hubの管理権限を委任
  - delegate-securityhub.sh
- Management Account と Member AccountでSecurity Hubを有効化する
おまけ
- まとめ

Organizations組織への展開イメージ

展開イメージは以下の通りです。

f:id:swx-yamasaki:20210811141253p:plain — 展開イメージ

前提

Security Hubを有効化するためには対象リージョンでAWS Configを有効化しておく必要があります。Organizationsを利用してマルチアカウント/マルチリージョンへのAWS Configを有効化する手順については以下のブログをご覧ください。

blog.serverworks.co.jp

検証

Management Account から委任先アカウントへSecurity Hubの管理権限を委任

Management Account のCloudShellを起動させます

f:id:swx-yamasaki:20210811141749p:plain — CloudShell

CloudShellで以下のスクリプトを作成して実行します。スクリプトではリージョンごとにManagement Account から委任先アカウントにSecurity Hubの管理権限を委任しています。

delegate-securityhub.sh

#!/bin/bash
aws securityhub enable-organization-admin-account --admin-account-id 委任先アカウントID --region ap-northeast-1
aws securityhub enable-organization-admin-account --admin-account-id 委任先アカウントID --region ap-northeast-2
aws securityhub enable-organization-admin-account --admin-account-id 委任先アカウントID --region ap-northeast-3
aws securityhub enable-organization-admin-account --admin-account-id 委任先アカウントID --region ap-south-1
aws securityhub enable-organization-admin-account --admin-account-id 委任先アカウントID --region ap-southeast-1
aws securityhub enable-organization-admin-account --admin-account-id 委任先アカウントID --region ap-southeast-2
aws securityhub enable-organization-admin-account --admin-account-id 委任先アカウントID --region ca-central-1
aws securityhub enable-organization-admin-account --admin-account-id 委任先アカウントID --region eu-central-1
aws securityhub enable-organization-admin-account --admin-account-id 委任先アカウントID --region eu-north-1
aws securityhub enable-organization-admin-account --admin-account-id 委任先アカウントID --region eu-west-1
aws securityhub enable-organization-admin-account --admin-account-id 委任先アカウントID --region eu-west-2
aws securityhub enable-organization-admin-account --admin-account-id 委任先アカウントID --region eu-west-3
aws securityhub enable-organization-admin-account --admin-account-id 委任先アカウントID --region sa-east-1
aws securityhub enable-organization-admin-account --admin-account-id 委任先アカウントID --region us-east-1
aws securityhub enable-organization-admin-account --admin-account-id 委任先アカウントID --region us-east-2
aws securityhub enable-organization-admin-account --admin-account-id 委任先アカウントID --region us-west-1
aws securityhub enable-organization-admin-account --admin-account-id 委任先アカウントID --region us-west-2

awscli.amazonaws.com

スクリプトを実行すると委任先アカウントでは自動的にSecurity Hubが有効化され、OrganizationsのMember Accountもコンソール画面で確認することができます。

f:id:swx-yamasaki:20210811142910p:plain — Security Hubが自動で有効化

f:id:swx-yamasaki:20210811142151p:plain — 委任先アカウントのSecurity Hubコンソール画面

Management Account と Member AccountでSecurity Hubを有効化する

委任先アカウントのSecurity Hubコンソール画面の右上の「Enable」ボタンをクリックすると以下の画面が表示されて1クリックでMember Account のSecurity Hubを有効化してくれます。

f:id:swx-yamasaki:20210811142819p:plain — Member AccountへのSecurity Hub有効化も1クリックで可能

Enableボタン押下後、コンソール画面を確認するとStatusがEnabledになっています。この状態でSecurity Hubのfindingsを確認するとMember Accountの検出結果も合わせて確認することが可能になっており委任先アカウントとMember AccountのSecurity Hubが統合されていることが分かります。また、Auto-EnableもONになっています。これで新しいAWSアカウントがOrganizationsに追加されても自動でSecurity Hub を有効化してくれます。