Multicloud Defense がクラウドアカウントにアクセスし、必要なアクション（EC2 インスタンスの作成、ロードバランサの作成、Route53 エントリの変更など）を実行することを許可するクロスアカウントの IAM ロールです。サービスプリンシパルは、外部 ID が適用された Multicloud Defense-controller-account です。ロールに適用される IAM ポリシーは次のとおりです（たとえば、この例で使用されているコントローラロール名は Multicloud Defense-controller-role です）。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "acm:DescribeCertificate",
        "aacm:ListCertificates",
        "apigateway:Get",
        "ec2:*",
        "elasticloadbalancing:*",
        "events:*",
        "globalaccelerator:*"
        "iam:ListPolicies",
        "iam:ListRoles",
        "iam:ListRoleTags",
        "logs:*",
        "route53resolver:*",
        "servicequotas:GetServiceQuota",
        "3:ListAllMyBuckets",
        "s3:ListBucket",
        "wafv2:Get*",
        "wafv2:List*,
      ],
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "iam:GetRole",
        "iam:ListRolePolicies",
        "iam:GetRolePolicy"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:iam::<ciscomcd-account>:role/ciscomcd-controller-role"
      ]
    },
    {
      "Effect": "Allow",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::<S3Bucket>/*"
    },
    {
      "Action": [
        "iam:GetRole",
        "iam:ListRolePolicies",
        "iam:GetRolePolicy",
        "iam:PassRole"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:iam::<customer- account>:role/ciscomcd_firewall_role"
    },
    {
      "Action": "iam:CreateServiceLinkedRole",
      "Effect": "Allow",
      "Resource": "arn:aws:iam::*:role/aws-service-role/*"
    }
  ]
}

サービスプリンシパル：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:iam::<ciscomcd-account>:root"
        ]
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "ciscomcd-external-id"
        }
      }
    }
  ]
}

Multicloud Defense Gateway（ファイアウォール）EC2 インスタンスに割り当てられているロール。このロールは、ゲートウェイインスタンスに、アプリケーションの秘密キーが保存されているシークレットマネージャにアクセスする機能、キーが KMS に保存されている場合は AWS KMS を使用してキーを復号する機能、および PCAP やテクニカルサポートデータなどのオブジェクトを S3 バケットに保存する機能を付与します。このロールのサービスプリンシパルは ec2.amazonaws.com です。ロールに適用される IAM ポリシーは次のとおりです。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "s3:PutObject",
        "s3:ListBucket"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::*/*"
    },
    {
      "Action": [
        "kms:Decrypt"
      ],
      "Effect": "Allow",
      "Resource": "*"
    },
    {
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

ヒント	CloudFormation テンプレートをダウンロードして編集し、ポリシーをより厳しく制限することができます。たとえば、特定のキーを使用するように復号を制限したり、定義済み/特定の S3 バケットへの PutObject を設定したりすることができます。

これは、ダイナミックインベントリの目的で使用されるロールであり、CloudTrail イベントをコントローラの AWS アカウントに転送する機能を提供します。次の処理を実行します。

• Multicloud Defense Controller が存在する AWS アカウントのイベントバス上にイベントを配置します。

• ルールに一致するイベントを、顧客の AWS アカウントから Multicloud Defense Controller のウェブフックサーバーに直接送信します。

このロールのサービスプリンシパルは events.amazonaws.com です。ロールに適用されるポリシーは次のとおりです。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": "events:PutEvents",
      "Effect": "Allow",
      "Resource": [
        "arn:aws:events:*:<ciscomcd-account>:event-bus/default"
      ]
    }
  ]
}

すべての CloudTrail インベントリの変更を EC2 および API ゲートウェイに配置し、Multicloud Defense Controller が実行されている AWS アカウントのイベントバスにコピーするために、MCDInventoryRole に追加されるルールです。ルールは、顧客の AWS アカウントで発生する特定のイベントパターンと一致する必要があります。一致が発生すると、ルールは、一致したイベントをコントローラのウェブフックサーバー（API ベースの宛先）に送信する必要があることを示します。このルールは、前のセクションで作成した Multicloud Defense MCDInventoryRole を使用して実行されます。

カスタムイベントパターン：

{
  "detail-type": [
    "AWS API Call via CloudTrail",
    "EC2 Instance State-change Notification"
  ],
  "source": [
    "aws.ec2",
    "aws.elasticloadbalancing",
    "aws.apigateway"
  ]
}

Target:

Event Bus in another AWS Account (mcd-account) using the MCDInventoryRole