Amazon GuardDuty、AWS Organizations の宣言型ポリシーを使用した一元管理をサポート
Amazon GuardDuty で AWS Organizations の宣言型ポリシーがサポートされるようになりました。これにより、AWS 組織内のすべてのアカウントとリージョンで GuardDuty の脅威検出を一元的に有効化できます。組織ポリシーを使用すると、一元管理された GuardDuty の有効化設定を適用できます。この設定は既存のアカウントに適用され、新しいアカウントが組織に加わった場合も自動的に維持されます。
関連するすべてのアカウントとリージョンで GuardDuty を有効にすることで、脅威検出を包括的に行えるようになります。これまでは、複数のアカウントやリージョンからなる大規模な環境全体で有効化の状態を統一して維持するには、リージョンごとに GuardDuty の有効化設定を個別に行う必要がありました。そのため、時間の経過とともに設定にずれが生じる可能性がありました。今回、委任された管理者アカウントから一元的な GuardDuty ポリシーを定義し、組織全体 (組織のルート、OU、または個々のアカウント) に有効化のベースラインを設定できるようになりました。このポリシーでは、GuardDuty を利用できるすべてのリージョンに適用するデフォルト設定に加えて、異なる有効化設定が必要なリージョンには、リージョンごとのオーバーライドを設定できます。ポリシーで設定された有効化の状態を、GuardDuty コンソールまたは API からオーバーライドすることはできません。
GuardDuty の宣言型ポリシーは、すべての AWS 商用リージョンおよび AWS GovCloud (米国) リージョンでサポートされています。使用を開始するには、委任された管理者に GuardDuty ポリシーを管理するアクセス許可があることを確認します。次に、GuardDuty コンソールにサインインして [組織ポリシー] を選択するか、AWS Organizations API を使用してプログラムでポリシーを作成します。詳細については、Amazon GuardDuty ユーザーガイドの Managing accounts using organization policies と、AWS Organizations ユーザーガイドの Amazon GuardDuty policies を参照してください。