AWS監視におけるディスカバリーイシュー機能
Site24x7のAWS監視におけるディスカバリーイシューは、権限関連の問題でクラウドのリソースがディスカバリー、監視できない場合に、その原因特定をサポートする機能です。
AWS監視に関連付けられたIAMロールに必要な権限がない場合、特定のサービスやリージョンが表示されないことがあります。ディスカバリーイシューは、これらのギャップを明確な理由とエラー詳細とともにハイライト表示するため、迅速に対応できます。
目次
- ユースケース
- ディスカバリーイシューのメリット
- ディスカバリーイシューの重要性
- ディスカバリーイシューが解決する問題
- ディスカバリーイシューへのアクセス方法
- 表示される情報
- 一般的なイシューの種類
- フィルターと検索オプション
- レポートのエクスポートと共有
- ディスカバリーイシューの解決方法
- よくある質問
- 関連ドキュメント
ユースケース
実際のAWS環境では、オンボーディング、ガバナンスの変更、トラブルシューティングの際にディスカバリーイシューが不可欠です。
- 新しいAWSアカウントが限定的なIAMロールで統合された場合、S3やRDSなどの一部のサービスが監視に表示されないことがあります。ディスカバリーイシューは、listやdescribeアクションなどの特定の権限が不足していることを特定するのに役立ち、チームはロールを迅速に修正できます。
- サービスコントロールポリシー（SCP）を使用している組織では、アクセス制限がIAM権限を上書きすることがあります。ロールが正しく設定されているように見えても、ディスカバリーが失敗することがあります。ディスカバリーイシューは、その制限がSCPに起因することを明確に示し、混乱を減らし、解決を早めます。
- クラウドの監査や移行時にも役立ちます。チームがアカウントを再構築したり、より厳格なセキュリティーポリシーを適用したり、権限の境界を導入したりすると、監視にギャップが生じることがあります。各サービスを手動で検証する代わりに、ディスカバリーイシューは、必要なすべての権限が設定されているかどうかを確認するための一元的なビューを提供します。
ディスカバリーイシューのメリット
ディスカバリーイシューには、以下のメリットがあります。
- 権限関連のギャップに対する明確な可視性を提供し、AWSリソースのディスカバリー失敗に対する可視性を向上させます。
- 正確な権限の問題とブロックされたAPIアクションを特定します。
- トラブルシューティングとデバッグにかかる時間を短縮します。
- サービスとリージョン全体で完全な監視カバレッジを確保します。
- ポリシーの制限をハイライト表示することで、ガバナンスとコンプライアンスをサポートします。
ディスカバリーイシューの重要性
正確なクラウド監視は、適切な権限に依存します。アクセスが制限されている場合、リソースのディスカバリーが不完全になり、監視の死角につながります。
ディスカバリーイシューは、アクセスが失敗している場所と理由を正確に把握できるようにし、AWS環境全体で完全な可視性を維持するのに役立ちます。
ディスカバリーイシューが解決する問題
Site24x7は、EC2インスタンス、RDSデータベース、S3バケットなどのAWSリソースをディスカバリーするためにIAMロールに依存しています。
多くの環境では、IAMポリシー、サービスコントロールポリシー、権限の境界、VPCエンドポイントポリシー、またはリソースベースの制約によりアクセスが制限されています。これらの制限は、ディスカバリーに必要なAPIコールをサイレントにブロックすることがあります。
ディスカバリーイシューは、これらの失敗を表面化させ、ブロックされたアクションとそれを引き起こしているポリシーに関する正確な詳細を提供します。
Site24x7でのディスカバリーイシューへのアクセス方法
ディスカバリーイシューには、以下のいずれかの方法でアクセスできます。
サービスビューページから：
- クラウド > AWS > サービスビュー に移動します。
- 警告インジケーターのあるサービスを確認します。
- ディスカバリーイシュー をクリックして、すべてのサービスとリージョンにわたるすべての問題を表示します。
特定のAWSサービスから：
- クラウド > AWS > 設定済みのAWS監視のいずれかを選択します。
- ディスカバリーイシュー をクリックします。
- そのサービスに限定された問題を分析します。
表示される情報
ディスカバリーイシュー をクリックすると、選択したAWS監視で特定された設定イシューの詳細ビューが開きます。各イシューは、リソースのディスカバリーに影響を与えている特定の権限またはポリシーの制限をハイライト表示します。
各イシューには、問題を迅速に理解し、修正するのに役立つ以下の詳細が表示されます。
- サービス：ディスカバリーまたは完全な監視ができなかったAWSサービス。これにより、どのサービスが影響を受けているかを正確に特定できます。
- リージョン：イシューが発生したAWSリージョン。これにより、イシューが特定のリージョンに限定されているか、複数のリージョンにわたって存在するかを判断できます。
- 理由：アクセスをブロックしているものの簡単な説明。これは、権限の不足やポリシーベースの拒否など、制限の種類を示します。
- エラー詳細：失敗した正確なAWS APIコールと返されたエラーメッセージ。これにより、どの権限が必要で、何を更新する必要があるかについての明確な洞察が得られます。
一般的なイシューの種類
ディスカバリーイシューは、権限の失敗を明確なカテゴリーにグループ化するため、ポリシーを手動で調べることなく根本原因を特定できます。
- IAMポリシー権限の不足：IAMロールに必要なアクションが含まれていません。たとえば、リソースのディスカバリーに必要なDescribeまたはList権限が不足している場合などです。
- サービスコントロールポリシー（SCP）によるブロック：IAMロールが許可していても、組織レベルのポリシーがアクセスを制限しています。これは、AWS Organizations下のマルチアカウント設定で一般的です。
- IAMポリシーでの明示的な拒否：IAMロールに、許可されている権限を上書きする拒否ルールが含まれています。明示的な拒否は常に優先されます。
- リソースベースのポリシーによるブロック：S3バケットやLambda関数などのリソース自体に、監視ロールからのアクセスを制限するポリシーがあります。
- 権限の境界による制限：権限の境界がIAMロールが持つことができる最大権限を制限し、他の場所で許可されていても特定のアクションを防ぎます。
- VPCエンドポイントポリシーによるブロック：VPCエンドポイントポリシーがAWSサービスへのアクセスを制限しており、ディスカバリー中に実行されるAPIコールをブロックすることがあります。
フィルターと検索オプション
組み込みのフィルターを使用してイシューを絞り込むことができます。
- 選択したAWSサービスを表示するためのサービスフィルター。
- 特定のAWSリージョンに焦点を当てるためのリージョンフィルター。
- サービス名、リージョン、理由、またはエラー詳細でフィルターするための検索バー。
リージョンが選択されると、そのリージョンでイシューがある関連サービスのみが表示されます。
レポートのエクスポートと共有
「共有」オプションを使用すると、ディスカバリーイシューをエクスポートまたは共有できます。
- レポート用にPDFとしてダウンロード。
- 分析用にCSVとしてエクスポート。
- 電子メールでレポートを送信。
エクスポートには現在フィルターされているデータのみが含まれるため、焦点を絞ったインサイトを簡単に共有できます。
ディスカバリーイシューの解決方法
- 「理由」カラムを確認して、制限を理解します。
- 失敗したAWSアクションについては、「エラー詳細」を確認します。
- IAMロール、SCP、または関連ポリシーで必要な権限を更新します。
- ディスカバリーを再実行するか、次回のディスカバリーを待ちます。
- 不要な場合は、ディスカバリーからサービスを無効にします。
権限が修正されると、イシューは自動的にクリアされます。
よくある質問
1. AWSで権限を付与した後も、なぜイシューが解決されない。
必要なAWS権限を更新した後、次のディスカバリーと検証サイクルが権限を再チェックし、変更を反映するまでに1〜6時間かかる場合があります。
再チェックをすぐに開始したい場合は、次のいずれかを実行してください。
- Amazon監視で今すぐポーリングをクリックします。
- または、Amazon監視を編集し、何も変更せずに保存をクリックします。
これにより、次のスケジュールされたディスカバリーサイクルを待たずに、即時の再チェックがトリガーされます。
2. 「サービスコントロールポリシー（SCP）によるブロック」エラーが表示される。
デフォルトでは、認証はus-east-1リージョンを使用して実行されます。このリージョンがSCPによって制限されている場合、ディスカバリーが失敗することがあります。
これを修正するには：
- 「タグに基づいてAWSリソースを含める」フィルターで、許可されたリージョンまたはリソースが存在するリージョンを指定します。
- 次のディスカバリーサイクルが完了するのを待ちます。
これにより、SCPで許可されているリージョンを使用してディスカバリーが実行されるようになります。
3. 権限を付与した後も、AWS HealthとTrusted Advisorのリソースがディスカバリーされない。
権限が付与されていても、これらのサービスにはAWSビジネスまたはエンタープライズサポートプランが必要です。それがないとAPIにアクセスできないため、リソースのディスカバリーは機能しません。
4. ディスカバリーからサービスを無効にしたい。
必要な統合AWS監視の編集ページに移動します。ディスカバリー対象のサービスフィールドから、ディスカバリーしたくないサービスの選択を解除します。
5. 各サービスの権限を確認したい。
サポートされている各サービスに必要な権限は、ポリシーと権限ページに記載されています。
6. 「認証に失敗しました：無効なロールARN」エラーが表示される。
このエラーは、IAMロールARNまたはその信頼関係の設定が正しくないため、Site24x7がAWSアカウントで認証できなかったことを示します。
この問題を解決するには、以下を確認してください。
- 統合されたAWSアカウントで設定されているロールARNが正しいこと。
- Site24x7で設定されている外部IDが、IAMロールの信頼関係で指定されている外部IDと一致すること。
- 信頼関係ポリシーのAWSアカウントIDが、Site24x7の統合設定と一致すること。
- IAMロールが存在し、Site24x7が引き受けることができること。
必要な修正を行った後、統合されたAWSアカウントの編集をクリックし、必要に応じて設定を更新して保存をクリックします。Site24x7はAWSアカウントを再認証し、認証が成功すればエラーはクリアされます。