c1.1 アカウントのセキュリティ連絡先を割り当てる
すべてのアカウントで代替のセキュリティ連絡先を最新に保ち、AWS が不正利用や検出したセキュリティ問題(例:公開コードリポジトリで見つかった漏洩したアクセスキー)について連絡できるようにします。
実装ガイダンス
セキュリティ問題について AWS が連絡できるようにする
すべてのアカウントに代替のセキュリティ連絡先を設定し、そのメールボックスを監視します。AWS はこれを使って、インフラで検出した不正利用や潜在的なセキュリティインシデント(例:アクセスキーが公開コードリポジトリに露出した場合)について通知します。
連絡先は単一の個人ではなく、2〜3 名の配布リストに向けて、誰かが休暇中でもアラートが見られるようにします。退職者のアドレスは避けてください。古い連絡先は静かな障害です。
AWS Organizations で連絡先を一元管理する
各メンバーアカウントの代替連絡先(セキュリティ、請求、運用)は、各アカウントにサインインせずに管理アカウントから AWS Organizations で一元的に設定・更新でき、Accounts API で自動化できます。
復旧経路を保護する
連絡先メールは「パスワードを忘れた場合」で root パスワードのリセットに使われ得るため、安全なメールドメインを使い、その管理者を制限します。root の MFA を設定すると、MFA の紛失・故障時の復旧経路も強化されます。
CLI でセキュリティ連絡先を設定する
アカウントに代替セキュリティ連絡先を設定します(アカウント内で実行するか、管理アカウントから --account-id を指定):
aws account put-alternate-contact \
--alternate-contact-type SECURITY \
--name "セキュリティ配信リスト" \
--email-address security-alerts@example.com \
--phone-number "+1-555-0100" \
--title "セキュリティチーム"How to validate
- 組織のすべてのアカウントにセキュリティ連絡先が設定されていますか?
- 情報は最新ですか(退職者を指していませんか)?
- 複数人がアラートを受け取れるよう、連絡先は配布リストになっていますか?
Threats addressed
- AWS があなたに連絡できない場合、不正利用の報告や検出された侵害(露出したアクセスキーなど)への対応が遅れ、攻撃者に猶予を与える可能性があります。
AWS サービス
AWS Organizations 料金
追加料金なし
アカウントのセキュリティ連絡先の設定は追加料金なしで提供されます。これは AWS アカウントの機能です。