# AWS EC2 KMS（Key Management Service）のサポート

EC2インスタンスの暗号化にAWSカスタマー管理キー（CMK）を使用している場合、Aikidoのスキャンロールにこれらのキーへのアクセス権を付与する必要があります。このガイドでは、必要な手順を説明します。

## 前提条件 <a href="#prerequisites" id="prerequisites"></a>

* CMKで暗号化されたEC2インスタンスがあること。
* AWS KMSでEBS暗号化に使用しているキーにアクセスできること。
* [AikidoでEC2スキャンを有効化](https://help.aikido.dev/docs/docs-ja/virtual-machine-scanning/aws/aws-ec2-virtual-machine-scanning-setup#getting-started)していること。ロールARNが必要になります。

## アクセス権を付与する手順 <a href="#steps-to-grant-access" id="steps-to-grant-access"></a>

1. **AWS KMS** → **カスタマー管理型のキー** に移動します
2. EC2の暗号化に使用しているCMKを見つけてクリックします
3. キーの詳細ページで、**キーユーザー** セクションまでスクロールします
4. **追加** をクリックして新しいキーユーザーを追加します
5. AikidoのVMスキャンロールを検索して選択します
6. 変更を保存します

![設定、キーポリシー、割り当てられたキーユーザーを表示しているAWS KMSのキー詳細。](https://help.aikido.dev/_assets/e431678b077c/aws-ec2-kms-key-management-service-support_45cb385d-1e41-4be.png)

### JSONポリシー <a href="#json-policy" id="json-policy"></a>

KMSキーをInfrastructure as Codeで管理している場合は、代わりにEBS暗号化に使用しているキーのJSONポリシーに以下のステートメントを追加し、`arn:aws:iam::112233445566:role/aikido-security-ec2` をAikidoのVMスキャンロールARNに置き換えてください：

```json
{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::112233445566:role/aikido-security-ec2" // Replace this
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*",
    "kms:DescribeKey"
  ],
  "Resource": "*"
},
{
  "Sid": "Allow attachment of persistent resources",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::112233445566:role/aikido-security-ec2" // Replace this
  },
  "Action": ["kms:CreateGrant", "kms:ListGrants", "kms:RevokeGrant"],
  "Resource": "*",
  "Condition": {
    "Bool": {
      "kms:GrantIsForAWSResource": "true"
    }
  }
}
```

## 確認 <a href="#verification" id="verification"></a>

Aikidoロールをキーユーザーとして追加すると、AikidoはCMKで暗号化されたEC2インスタンスをスキャンできるようになります。

## 重要な注意事項 <a href="#important-notes" id="important-notes"></a>

* これらの権限がない場合、AikidoはCMKで暗号化されたEC2インスタンスをスキャンできません。
* この権限は、スキャンに必要なアクセスのみを許可するよう範囲が限定されています。
* 後でこれらの権限を削除すると、スキャン機能に影響が出ます。

## トラブルシューティング <a href="#troubleshooting" id="troubleshooting"></a>

CMKで暗号化されたインスタンスのスキャンで問題が発生した場合は、以下を確認してください：

* 正しいCMKが選択されていること
* Aikidoロールがキーユーザーとして正しく追加されていること
* キーポリシーが変更されて権限が削除されていないこと

## スキャン対象のVMの管理 <a href="#managing-which-vms-are-scanned" id="managing-which-vms-are-scanned"></a>

Aikidoは[VMスキャンの包含・除外モデル](https://help.aikido.dev/docs/docs-ja/virtual-machine-scanning/aws/managing-which-vms-are-scanned)をサポートしています。&#x20;

## スキャン頻度

スキャンが有効になっているすべてのVMのうち、毎日10%が再スキャンされるため、平均するとすべてのVMが10日に1回スキャンされます。