ある企業が、多数のアカウントにまたがるすべてのAmazon EC2インスタンスに対して脆弱性スキャンを実施している。アカウントはAWS Organizationsの1つの組織に属している。各アカウントのVPCは、共有トランジットゲートウェイに接続されている。VPCは、中央のイグレスVPCを介してインターネットにトラフィックを送信する。同社は、委任された管理者アカウントでAmazon Inspectorを有効にし、すべてのメンバーアカウントのスキャンを有効にしています。DevOpsエンジニアが、一部のEC2インスタンスがAmazon Inspectorの「not scanning」タブに表示されていることを発見した。
A. Amazon InspectorがスキャンしていないEC2インスタンスにAWS Systems Manager Agentがインストールされ、実行されていることを確認します。
B. 対象のEC2インスタンスに、AWS Systems Managerサービスのエンドポイントへのポート443でのアウトバウンド通信を許可するセキュリティグループを関連付ける。
C. DevOpsエンジニアが使用しているIAMロールに、inspector:StartAssessmentRun権限を付与する。
D. Amazon InspectorがスキャンしていないEC2インスタンスに対して、EC2 Instance Connectを構成する。
E. 対象のEC2インスタンスに、AWS Systems Managerとの通信を許可するインスタンスプロファイルを関連付ける。
F. アクティベーションコードとアクティベーションIDを使用して、EC2インスタンスを登録する。