スキャン対象のAWSリージョンを制御する

このページでは、CSPM、ECR、EC2のスキャンの一部として対象に含めるAWSリージョンを制限する方法を説明します。

Aikido によるスキャン対象から特定のリージョンを除外したい場合は、Aikido IAM ロールに関連付けられている IAM ポリシーを調整できます。AWS アカウント ID とリージョンを状況に応じて調整し、以下の例を参照してください:

ECR コンテナスキャン

特定のリージョンからのみイメージをスキャンする

標準ポリシーでは、すべてのリージョンの ECR リポジトリへのアクセスが許可されます。この例では、アクセスを次に制限します us-east-2 と eu-west-1。なお、 ecr:GetAuthorizationToken は引き続きすべてのリージョンに対して付与する必要があります。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowECRActions",
      "Effect": "Allow",
      "Action": [
        "ecr:BatchCheckLayerAvailability",
        "ecr:BatchGetImage",
        "ecr:DescribeImages",
        "ecr:DescribeRegistry",
        "ecr:DescribeRepositories",
        "ecr:GetDownloadUrlForLayer",
        "ecr:ListImages",
        "ecr:GetAuthorizationToken",
        "ecr:ListTagsForResource"
      ],
      "Resource": "*"
    },
    {
      "Sid": "DenyAllRegionsExcept",
      "Effect": "Deny",
      "Action": [
        "ecr:BatchCheckLayerAvailability",
        "ecr:BatchGetImage",
        "ecr:DescribeImages",
        "ecr:DescribeRegistry",
        "ecr:DescribeRepositories",
        "ecr:GetDownloadUrlForLayer",
        "ecr:ListImages",
        "ecr:ListTagsForResource"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:RequestedRegion": ["us-east-2", "eu-west-1"]
        }
      }
    }
  ]
}