AWS EC2 KMS（Key Management Service）サポート

EC2インスタンスの暗号化に AWS Customer Managed Keys（CMK）を使用する場合、Aikido のスキャン用ロールにこれらのキーへのアクセスを付与する必要があります。このガイドでは、必要な手順を案内します。

前提条件

• CMK で暗号化された EC2 インスタンスがあります。
• AWS KMS で EBS 暗号化に使用されるキーへのアクセス権があります。
• あなたは Aikido で EC2 スキャンを有効化しました。ロール ARN が必要になります。

アクセスを付与する手順

1. 移動先: AWS KMS → 顧客管理キー
2. EC2 暗号化に使用している CMK を見つけてクリックします
3. キー詳細ページで、 キー利用者 セクション
4. クリック 追加 までスクロールして新しいキー利用者を追加します
5. Aikido VM スキャン用ロールを検索して選択します
6. 変更を保存します

設定、キーポリシー、割り当て済みのキー利用者を示す AWS KMS キーの詳細。

JSON ポリシー

または、KMS キーを Infrastructure as Code で管理している場合は、EBS 暗号化に使用するキーの JSON ポリシーに次のステートメントを追加し、 arn:aws:iam::112233445566:role/aikido-security-ec2 を Aikido VM スキャン用ロールの ARN に置き換えてください:

{
  "Sid": "キーの使用を許可",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::112233445566:role/aikido-security-ec2" // これを置き換えてください
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*",
    "kms:DescribeKey"
  ],
  "Resource": "*"
},
{
  "Sid": "永続的リソースのアタッチを許可",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::112233445566:role/aikido-security-ec2" // これを置き換えてください
  },
  "Action": ["kms:CreateGrant", "kms:ListGrants", "kms:RevokeGrant"],
  "Resource": "*",
  "Condition": {
    "Bool": {
      "kms:GrantIsForAWSResource": "true"
    }
  }
}

確認

✅ Aikido ロールをキー利用者として追加すると、Aikido は CMK で暗号化された EC2 インスタンスをスキャンできるはずです。

重要な注意事項

• ⚠️ これらの権限がないと、Aikido は CMK で暗号化された EC2 インスタンスをスキャンできません。
• 🔒 この権限は、スキャン目的に必要なアクセスのみに限定して付与されています。
• ✋ 後でこれらの権限を削除すると、スキャン機能に影響します。

トラブルシューティング

CMK で暗号化されたインスタンスのスキャンに問題がある場合は、以下を確認してください:

• 正しい CMK が選択されている
• Aikido ロールが適切にキー利用者として追加されている
• キーの権限を削除するようポリシーが変更されていない

どの VM をスキャンするかの管理

Aikido は VM スキャンの包含・除外モデルをサポートしています.

スキャン頻度

毎日、スキャン対象として有効化された全VMの10%が再スキャンされるため、平均すると各VMは10日に1回スキャンされます。