Log Shipper 用 AWS S3 イベントおよびアラートプラグイン

前提条件

この設定を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• TenantプラグインとLog Shipperプラグインがすでに構成されているNetskope Cloud Exchangeテナント。
• IAMユーザーに対するAmazon S3バケットのアクセス許可。
  • ListBucket
  • CreateBucket
  • GetBucketLocation 
  • PutObject
• 外部プロビジョニングバケットについては、「Configure Externally Provisioned Bucket」で提供されているように、両方のアカウントでポリシーを構成する必要があります。
• 以下のホストへの接続：AWS S3バケットへのアクセス。

AWS S3イベント、アラートプラグインのサポート

このプラグインは、Netskopeアラート(DLP、マルウェア、ポリシー、侵害されたクレデンシャル、Malsite、隔離、修復、セキュリティ評価、ウォッチリスト、UBA、CTEP、デバイス、コンテンツ)およびイベント(ページ、アプリケーション、監査、インフラストラクチャ、ネットワーク、インシデント、エンドポイント、クライアントステータス)ログを指定されたAWS S3バケットに送信するために使用されます。注:このプラグインはJson形式のデータのみをS3バケットに送信するよう設計されています。

権限

Amazon S3バケットにイベントおよびアラートデータを送信するためのIAMユーザーへのアクセス許可。

• ListBucket
• CreateBucket
• GetBucketLocation 
• PutObject

s3_client = boto3.client(
               "s3",
               aws_access_key_id=self.aws_public_key,
               aws_secret_access_key=self.aws_private_key,
               aws_session_token=self.aws_session_token,
               region_name=self.configuration.get("region_name",   "").strip(),
               config=Config(proxies=self.proxy, user_agent=self.useragent),
           )

sts_client = boto3.client(
    "sts",
    aws_access_key_id=self.aws_public_key,
    aws_secret_access_key=self.aws_private_key,
    aws_session_token=self.aws_session_token,
    region_name=self.configuration.get("region_name", "").strip(),
    config=Config(proxies=self.proxy, user_agent=self.useragent),
)

s3_client.create_bucket(
    Bucket=bucket_name,
    CreateBucketConfiguration={"LocationConstraint": region_name},
)

s3_client.upload_file(
               file_name,
               bucket_name,
               object_name,
           )

s3_resource = boto3.resource(
               "s3",
               aws_access_key_id=self.aws_public_key,
               aws_secret_access_key=self.aws_private_key,
               region_name=self.region_name,
               config=Config(proxies=self.proxy, user_agent=self. user-agent),
           )

s3_client.head_bucket(Bucket=bucket_name)

s3_client.head_bucket(
    Bucket=bucket_name, ExpectedBucketOwner=own_account_id
)

sts_client.get_caller_identity()

location = s3_client.get_bucket_location(Bucket=bucket_name)

パフォーマンスマトリックス

このパフォーマンス測定値は、これらのVM仕様に基づいてテストされた大規模スタックCEに関するものです。これらの測定値は、約10KBのファイルを30秒で取り込むことを考慮に入れて追加されています。

ユーザーエージェント

ユーザーエージェント: APN/1.1 (ahq9d89xj9gspapczzdb59goq)

ワークフロー

動画を見る

再生ボタンをクリックして動画をご覧ください。

AWS S3ソースバケットを作成する

このバケットは プラグインの設定時に、AWS S3 ソースバケット設定パラメータで指定されます。

1. バケットを作成し、必要なポリシーを設定するには、AWSコンソールにログインしてください。

   

2. All ServicesからS3 を選択するか、検索バーでS3 を検索してください。

   

3. Create Bucketをクリックしてください。

   

4. Enter Bucket Name, scroll down, and click Create Bucket. Example: netskope-ce-source-bucket.

5. バケットを検索し、バケット名をクリックして開きます。

   

6. Permissions をクリックして権限タブを開き、ポリシーを設定してください。

   

7. 「パブリックアクセスをブロックする（バケット設定）」セクションでEditをクリックします。すべてのチェックボックスのチェックを外し、 Save Changesをクリックします。確認を求められます。確認してConfirmをクリックしてください。

   

8. Under the Permissions tab in the bucket, click Edit in the Bucket Policy section.

   

9. Policy generatorをクリックしてください。

   

10. S3 Bucket policyタイプとしてSelect 、ステートメントの詳細を追加して、
    を生成します。 <user-arn>をユーザー ARN に置き換えます。 ソース バケットにアクセスするための<bucket-name>を上記で作成したソース バケットに置き換えます。 サンプル<user-arn>: arn:aws:iam::7111xxxxxxxx:user/xxxxxxxx, and <bucket-name>: netskope-ce-source-bucket
    • ポリシーの種類Select : S3 バケット ポリシー
    • 効果：許可する
    • Principal: <user-arn>
    • アクション:
      1. GetBucketAcl
      2. GetBucketPolicy
    • ARN: arn:aws:s3:::<bucket-name>
    • Add Statementをクリックしてください。

    

• 上にスクロールして、別の文を追加してください。
  • ポリシーの種類Select : S3 バケット ポリシー
  • 効果：許可する
  • Principal: <user-arn>
  • アクション:
    1. PutObject
    2. PutObjectAcl
  • ARN: arn:aws:s3:::<bucket-name>/*
  • Add Statementをクリックしてください。

  

  

11. Generate Policyをクリックしてください。必ず このステップで生成されたものをコピーしてください。 次のステップでソースバケットに添付するために使用します。

    

12. このポリシーをテキストボックスに追加してください。一番下までスクロールしてSave Changesをクリックしてください。

    

バケットポリシーを作成する

1. 検索ボックスに「IAM」と入力して検索し、左側のパネルでPoliciesをクリックします。
2. Create Policyをクリックしてください。

   

2. On the JSON tab, enter this policy. Click Next: Tags, and click Next: Review.

   

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": [
                   "s3:GetBucketPublicAccessBlock",
                   "s3:PutEncryptionConfiguration",
                   "s3:PutBucketPublicAccessBlock",
                   "s3:ListAllMyBuckets",
                   "s3:PutBucketPolicy",
                   "s3:CreateBucket",
                   "s3:ListBucket",
                   "s3:GetBucketPolicy",
                   "s3:GetBucketLocation"
                   "s3:PutObject"
               ],
               "Resource": "*"
           }
       ]
   }

3. 名前を入力してCreate Policyをクリックしてください。

   

4. このポリシーをユーザーに紐付けてください。IAM > Usersに移動し、ポリシーを適用するユーザーを選択してください。Add permissionsをクリックし、もう一度Add permissionsをクリックしてください。

   

5. 「権限」でAttach policies directly Select 、次に、前の手順でソースキュー用に作成した を検索して選択します。

   

6. NextをクリックしてからAdd permissionsをクリックしてください。ユーザーにはポリシーが紐付けられます。

   

プラグイン認証方法

IAMロールAnywhereの設定

前提条件

プラグインを認証するには、 AWS Certificate Managerサービスを有効にする必要があります。 AWS IAM Roles Anywhere認証方法。

IAM ポリシーを作成する

これは プライベート CA 証明書を作成するために必要な権限 (トラスト アンカーとプロファイルを作成するための権限を含む) と IAM ロール Anywhere が含まれています。

1. ポリシージェネレーターにアクセスし、Add Statementをクリックしてポリシーを生成してください。
2. ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス: AWSプライベート認証局
   • アクション:
     • 証明書認証局を作成する
     • 認証局について説明します
     • 証明書を取得する
     • 認証局証明書を取得する
     • GetCertificateAuthorityCsr
     • 輸入証明書認証局証明書
     • 証明書の発行
     • 認証局一覧
   • ARN: *
   • Add Statementをクリックしてください。

   

3. ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス：AWS Identity and Access Management（IAM）
   • アクション:
     • 役割ポリシーを添付する
     • CreateAccessKey
     • ロールの作成
     • 役割を削除
     • パスロール
   • ARN: *
   • Add Statementをクリックしてください。

   

4. ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス: AWS証明書マネージャー
   • アクション:
     • 証明書の説明
     • 輸出証明書
     • 証明書を取得する
     • 証明書一覧
     • 証明書のタグ一覧
     • 証明書のリクエスト
   • ARN: *
   • Add Statementをクリックしてください。

   

5. ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWS サービス: AWS Identity and Access Management ロールをどこでも
   • アクション:
     • プロフィールの作成
     • CreateTrustAnchor
     • プロフィールを取得する
     • GetTrustAnchor
     • プロフィール一覧
     • リストトラストアンカー
   • ARN: *
   • Add Statementをクリックしてください。

   

6. Generate Policyをクリックしてください。

   

7. ポリシーをそのままコピーし、プライベート CA 証明書の作成に必要なポリシーを作成する次の手順で使用します。
8. AWSコンソールにアクセスし、「すべてのサービス」からIAM を選択してください。左側のパネルからPoliciesをクリックし、 Create Policyをクリックします。

   

8. ポリシーを JSON タブにコピーし、 Next: Tags とNext: Review.をクリックします。

   

9. Enter a name, like netskope-ce-rolesAnywhere-policy, and click Save Changes.

   

プライベート認証局を作成する

1. AWSコンソールにログインしてください。
2. Certificate Managerを検索します。

   

3. AWS Private CAをクリックしてください。
4. Create a private CAをクリックしてください。

   

5. モードオプションにはGeneral-purpose Select 。
6. CAタイプオプションにはRoot Select 。

   

7. 組織名（O）を入力してください。

   

8. キーアルゴリズムオプションにはRSA 2048 Select 。

   

   

9. Add tags if any (optional).
10. Enable the checkbox in the CA permissions options section.
11. Enable the checkbox in the Pricing section.
12. CA証明書を作成するには、 Createをクリックしてください。

    

    

13. ActionsからInstallを選択します。

    

14. Confirm and Installをクリックしてください。

    

    

信頼の基盤を築く

1. IAM サービスを検索し、アクセス管理の下にあるRolesに移動します。「Roles Anywhere」までスクロールダウンして、 Manageを選択します。

   

2. Create a Trust anchorをクリックしてください。

   

3. Enter the Trust anchor name, like netskope-ce-trust-anchor.

   

4. 認証局（CA）ソースとして、（前の手順で作成した） AWS Certificate Manager Private CA Select 。
5. 必要に応じてタグを追加してください。
6. Create a trust anchorをクリックしてください。

   

   

7. 作成されたトラストアンカーをクリックし、トラストアンカーのARNをコピーします。

   

IAMロールを作成する

1. AWSコンソールでIAMサービスに移動してください。
2. Click Role under Access management.
3. Create Roleをクリックしてください。

   

4. 信頼できるエンティティタイプには、 Custom Trust Policyを選択してください。

   

4. カスタム信頼ポリシーを以下の信頼ポリシーに置き換えてください。このポリシーには、Roles Anywhereサービスを使用するための権限が含まれています：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "rolesanywhere.amazonaws.com"
                   ]
               },
               "Action": [
                   "sts:AssumeRole",
                   "sts:TagSession",
                   "sts:SetSourceIdentity"
               ]
           }
       ]
   }

   

5. Nextをクリックしてください。
6. [アクセス許可ポリシー] で、以前に作成したバケット ポリシーを選択します。

   

7. Nextをクリックしてください。
8. Netskope -ce-roleAnywhereのようなロール名を指定し、そのロールのデスクリプションを追加します。
9. Create roleをクリックしてください。

   

10. Role ARN をメモしておいてください。これは、認証方法 AWS IAM Roles Anywhere のロール ARNであるプラグイン構成パラメータで必要になります。

    

プロフィールを作成する

1. Select Roles under Access management.
2. 「Roles Anywhere」までスクロールダウンして、 Manageをクリックします。

   

3. セットアップ手順を展開してください。
4.  Step 2: Configure rolesをクリックしてください。
5. Configure a profileをクリックしてください。

   

6. Enter a Profile name, like netskope-ce-profile.
7. Create IAM Role セクションで作成されたロールSelect ( Netskope -ce-roleAnywhere )。

   

8. Inline Policyを削除します。
9. Create profileをクリックしてください。

   

   

   

10. 作成されたプロファイルをクリックし、プロファイルARNをコピーします。

    

プライベート証明書をリクエストする

1. AWS Certificate Manager > Request certificateへ移動してください。
2. Request a private certificate Select 。

   

3. Nextをクリックしてください。
4. 前の手順で作成した認証局Select 。

   

5. 「完全修飾ドメイン名」フィールドに、 Netskopeのようにドメイン名を入力してください。
6. キーアルゴリズムにはRSA 2048 Select 。

   

7. 必要に応じてタグを追加してください。
8. 証明書の更新権限を承認してください。
9. Requestをクリックしてください。

   

10. AWS Certificate Manager のナビゲーション ペインからList certificatesに移動します。
11. 以前に作成した証明書Select 。

    

12. Exportをクリックしてください。

    

13. passphrase. を入力してください。パスフレーズはAWS S3プラグインの設定に必要となるため、メモしておいてください。 AWS IAM Roles Anywhere認証方式。
14.  Generate PEM Encodingをクリックしてください。

    

15. Certificates はすべてダウンロードしてください。二度と表示されなくなります。新しい証明書の場合は再度エクスポートする必要があります。詳細については、 AWS IAM Role Anywhereを参照してください。

    

AWSにデプロイされた構成

役割を作成する

1. AWSコンソールでIAMサービスに移動します。
2. Create roleをクリックしてください。

   

3. AWS ServiceをSelect 。
4. 使うケースには、 EC2を選択します。
5. Nextをクリックしてください。

   

6. バケット ポリシーで作成された権限ポリシーSelect 。
7. Nextをクリックしてください。

   

6. Netskope -ce-instance-roleのようなロール名を入力し、デスクリプションを追加します。 
7. Create Roleをクリックしてください。

   

   

EC2インスタンスにロールを割り当てる

1. EC2インスタンスのコンソールを開きます。
2. Click Instances under Instances.

   

   

3. Action > Security > Modify IAM Roleへ移動してください。

   

4. 以前作成したRole(例:Netskope-ce-instance-role)をSelectしてください。
5. Update IAM Roleをクリックしてください。

   

Fargateインスタンスにロールを割り当てる

1. CFNスクリプトを開きます。
2. Get the ExistingECSTaskRole Parameter value if present.

   

3. IAM > Rolesへ移動してください。
4. Search for the ExistingECSTaskRole parameter value. Otherwise, search for NetskopeCloudExchangeTaskRole-<CFN name> and select the role.

   

5. 以前作成したバケット作成ポリシーをこのロールに添付します。
6. Add permission > Attach policiesをクリックしてください。

   

7. 以前に作成したバケット ポリシー ( Netskope -ce-s3-ポリシー) を検索して選択します。
8. Add permissionsをクリックしてください。

   

K8sインスタンスにロールを割り当てる

1. K8sインスタンスを作成する際に、ServiceAccount用に作成されたロールを開きます。
2. 以前作成したバケットポリシーを添付します。

外部でプロビジョニングされたバケットの構成

外部プロビジョニングされたバケットの場合、2つの異なるアカウントが必要になります：

• Account A (Plugin Account)：CE インスタンスを実行します（IAM Roles Anywhere を使用した EC2 / Ubuntu VM）
• Account B (Core Account)：外部プロビジョニングされたS3バケットを所有

外部でプロビジョニングされたバケットでプラグインを動作させるために実行した手順を以下に示します。

On Account A (Plugin Account — CE instance)

IAM > Roles > <CE_ROLE_NAME>（EC2インスタンスにアタッチされたロール、またはIAM Roles Anywhereプロファイルで構成されたロール）> Add permissions > Create inline policyに移動し、以下を追加します：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:GetBucketLocation"
      ],
      "Resource": "arn:aws:s3:::<external bucket name>"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject"
      ],
      "Resource": "arn:aws:s3:::<external bucket namme>/*"
    }
  ]
}

On Account B (Core Account — bucket owner)

1. S3 > Bucket > Permissions > Bucket Policyに移動し、アカウントAのCEロールにアクセス権を付与するために以下のポリシーを追加しました：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowCECrossAccountAccess",
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::<ACCOUNT_A_ID>:role/<CE_Account_A_ROLE_NAME>"
         },
         "Action": [
           "s3:ListBucket",
           "s3:GetBucketLocation",
           "s3:PutObject"
         ],
         "Resource": [
           "arn:aws:s3:::<bucket name>",
           "arn:aws:s3:::<bucket name>/*"
         ]
       }
     ]
   }

2. S3 > Bucket > Permissions > Object Ownership > Edit に移動し、Bucket owner enforced（バケット所有者強制）に設定します。これにより、アカウントAによってアップロードされたオブジェクトがアカウントBによって所有されるようになります。

AWS S3イベント、アラートプラグインを設定する

1. Cloud Exchange にログインし、Settings > Plugin Store に移動します。AWS S3 Events, Alerts v1.3.0 (CLS) プラグインを検索して選択します。

   

2. プラグイン構成名を入力し、AWS S3 Events, Alerts Default Mappings が選択されていることを確認してください。 

   

3. Nextをクリックして、設定パラメータを入力してください。

   • Authentication Method: AWS クライアント認証方法を選択します。Select Deployed on AWS を使用してアンビエント AWS クレデンシャルチェーンを使用するか、証明書ベースの認証を使用するには AWS IAM Roles Anywhere を選択してください。
   • Externally Provisioned Bucket：ターゲットの S3 バケットが外部の AWS アカウントにある場合は、Yes を選択します。Select No を選択して、アカウントにバケットがまだ存在しない場合にプラグインで自動作成します。
   • AWS S3 Bucket Region Name: 対象のS3バケットが存在するAWSリージョン。
   • AWS S3 Bucket Name: Netskopeのアラート/イベントデータが保存されるターゲットAWS S3バケットの名前。
   • Private Key: IAM Roles Anywhere CreateSession リクエストの署名に使用される PEM エンコード済みの秘密鍵。認証方法として AWS IAM Roles Anywhere が選択されている場合にのみ適用されます。
   • Certificate Body: AWS Private CA または Public CA によって発行された PEM エンコード済みの X.509 証明書。認証方法として AWS IAM Roles Anywhere が選択されている場合にのみ適用されます。
   • Password Phrase: 秘密鍵が暗号化されている場合に、その復号に使用するパスフレーズ。認証方法として AWS IAM Roles Anywhere が選択されている場合にのみ適用されます。
   • Profile ARN: IAM Roles AnywhereプロファイルのARN。認証方法としてAWS IAM Roles Anywhereが選択されている場合にのみ適用されます。
   • Role ARN: 引き受けるIAMロールのARN。認証方法としてAWS IAM Roles Anywhereが選択されている場合にのみ適用されます。
   • Trust Anchor ARN: IAM Roles AnywhereトラストアンカーのARN。AWS IAM Roles Anywhereを認証方法として選択した場合にのみ適用されます。

   

   「Externally Provisioned Bucket（外部プロビジョニングされたバケット）」がYesに設定されている場合、ターゲットバケットは外部のAWSアカウント内に既に存在している必要があります。プラグインは作成を試みません。バケットが存在しない、またはアクセスできない場合、検証結果が返されます。

4. Saveをクリックしてください。

   

AWS S3 イベント、アラート用のログシッパービジネスルールを設定する

1. Log Shipperで、 Business Rulesに移動します。 
2. デフォルトでは、すべてのアラートとイベントをフィルタリングするビジネスルールが設定されています。特定の種類のアラートやイベントを除外したい場合は、 Create New Ruleをクリックして、ルール名とフィルターを追加して新しいビジネスルールを設定します。
3. Saveをクリックしてください。

   

AWS S3 イベントおよびアラートのログ配信を設定

1. Log Deliveryに移動してAdd Log Delivery Configurationをクリックしてください。 
2. ソースプラグイン（ Netskope CLS）、宛先プラグイン（AWS S3 Events、Alerts）、ビジネスルールSelect 、 Saveをクリックします。
3. ログ配信のマッピングが追加されると、Netskopeテナントからデータがプルされ、変換された後、AWSプラットフォームに取り込まれ始めます。

   

AWS S3イベント、アラートプラグインを検証する

プルを検証する

Netskopeテナントから指標を取得することを検証する。

Cloud Exchange のLoggingに移動し、取得したログを検索してください。

プッシュ通知を検証する

Netskope Cloud Exchangeでプラグインワークフローを検証するため。

1. Loggingに移動して、フィルター「メッセージに「ingested」が含まれる」を使用して、取り込まれたイベントとアラートを検索します。

   

   

2. AWS S3へのプッシュを検証するには：

   • AWS S3にアクセスしてください。検索バーでBucketsを検索して選択します。
   • プラグインを作成する際に、バケットを検索します。
   • バケット名をクリックしてください。

Example: awsdemobucket/alerts/feedname=マルウェア/year=2023/month=11/day=30/hour=9/1701336881_139977276685128.txt

ファイルをダウンロードした後、アラート／イベントは次のようになります。

選択されたフィールドのみを使ったカスタムマッピングを用いたJSON形式の取り込みデータのサンプル:

AWS S3イベント、アラートプラグインのトラブルシューティング

プラグインのアップデート後、既存のプラグイン設定で問題が発生しています。

最近AWS S3プラグインを更新した場合、既存のプラグイン設定を編集するとCloud Exchangeのインターフェースが空白になる問題があるかもしれません。この問題は、アップデート後にプラグイン設定を変更しようとして設定パラメータページにアクセスすると、Cloud Exchange バージョン4.2.0および5.0.0で発生する可能性があります。

Cloud Exchange バージョンでできることは以下のとおりです。

バージョン4.2.0、5.0.0の場合：唯一の解決策は、現在のプラグイン設定を削除し、最初から新しい設定を行うことです。

新しいプラグインの設定中に問題が発生しています 

AWS IAM Roles Anywhereを使用して新しいプラグインを作成し、400エラーが発生した場合、プラグインを保存できない根本原因は、ログを展開したときのログセクションにあります。

What to do:
ログを展開すると、トラストアンカー ARN、ロール ARN、プロファイル ARN の少なくとも 1 つに異なるアカウント ID があることが確認できます。そのため、提供されたパラメーターが同じアカウントから生成され、同じリージョンであることを確認する必要があります。

環境内にAWSクレデンシャルが見つかりません

ユーザーが「No AWS Credentials were found in the environment.（環境内にAWSクレデンシャルが見つかりませんでした）」というメッセージに遭遇した場合。「AWS環境へのプラグインの展開」または「AWS IAM Roles Anywhere認証の使用」を行ってください。これは以下のいずれかの理由による可能性があります：

• Deployed on AWS認証方法が選択されていますが、CEホストにインスタンスプロファイルまたはIAMロールがアタッチされていません。
• AWS IAM Roles Anywhereが誤って構成されており、アンビエントクレデンシャルチェーンが意図せず使用されています。

What to do:

1. CEホストに、必要なS3権限が付与されたIAMインスタンスプロファイルがアタッチされていることを確認するか、認証方法を AWS IAM Roles Anywhere に切り替えてください。
2. IAM Roles Anywhereを使用している場合は、Private Key、Certificate Body、Profile ARN、Role ARN、およびTrust Anchor ARNが正しく構成されていることを確認してください。

AWS IAM Roles Anywhereのアクセスが拒否されました

ユーザーが「Access Denied（アクセス拒否）」というメッセージに遭遇した場合。構成パラメーターで提供された Profile ARN、Role ARN、Trust Anchor ARN、およびロールにアタッチされたポリシーを確認してください」。これは、以下のいずれかの理由による可能性があります：

• 設定ファイルで指定されたARNが一致していないか、間違っています。
• IAM ロールの信頼ポリシーが Roles Anywhere サービスプリンシパルを許可していません。

What to do:

1. プロファイルARN、ロールARN、およびトラストアンカーARNが正しく、AWSアカウント内の既存のリソースを参照していることを確認してください。
2. IAMロールの信頼ポリシーがAWSのIAM Roles Anywhereサービスに必要な権限を付与しているか確認してください。

AWS IAM Roles Anywhere のリソースが見つかりません

ユーザーが「Resource not found.」というメッセージに遭遇した場合。構成パラメーターで提供された Profile ARN、Role ARN、および Trust Anchor ARN を確認してください」。これは、以下のいずれかの理由による可能性があります：

• 構成されたARNの1つ以上が、存在しないプロファイル、ロール、またはトラストアンカーを参照しています。
• ARN 形式が正しくありません。

What to do:

1. AWSコンソールにログインし、設定されたARNによって参照されるプロファイル、ロール、およびトラストアンカーが存在し、アクティブであることを確認してください。
2. ARN形式が正しいことを確認してください：arn:aws:rolesanywhere:{region}:{account-id}:profile/{profile-id}。

秘密鍵または証明書ボディが無効です

ユーザーが「Invalid Private Key provided.」というメッセージに遭遇した場合。Private Key should be in a valid PEM format」または「Invalid Certificate Body provided.Certificate Body must be in valid PEM format」。これは、以下のいずれかの理由による可能性があります：

• 秘密鍵フィールドに、有効な PEM エンコードされた秘密鍵が含まれていません。
• 「Certificate Body」フィールドに有効な PEM エンコード済みの X.509 証明書が含まれていません。
• パスワードフレーズが暗号化された秘密鍵に対して正しくありません。

What to do:

1. 秘密鍵が —–BEGIN RSA PRIVATE KEY—– または —–BEGIN PRIVATE KEY—– で始まり、完全であることを確認してください。
2. 証明書ボディが —–BEGIN CERTIFICATE—– で始まり、完全であることを確認してください。
3. パスワードフレーズが秘密鍵生成時に使用されたパスフレーズと一致するか、鍵が暗号化されていない場合は空のままにしてください。

S3バケットにアクセスできません

ユーザーが「AWS S3 Bucket ‘{bucket}’ already exists at a different region or is not accessible（AWS S3バケット「{bucket}」は別のリージョンに既に存在するか、アクセスできません）」や「AWS S3 Bucket ‘{bucket}’ is not accessible（AWS S3バケット「{bucket}」にアクセスできません）」といったメッセージに遭遇した場合。バケットが外部プロビジョニングとして構成されているため、これはバケット名の競合ではなく、クロスアカウントIAM権限の欠落である可能性が最も高いです」。これは、以下のいずれかの理由による可能性があります：

• IAM クレデンシャルには、ターゲットバケットに対する必要な s3:ListBucket、s3:GetBucketLocation、または s3:PutObject 権限が不足しています。
• 外部でプロビジョニングされたバケットの場合、所有アカウントのバケットポリシーに、構成されたIAMロールに対するクロスアカウント許可が不足しています。
• バケット名が、別のAWSアカウントが所有するバケットと競合しています。

What to do：上記の問題を解決するには、以下の手順に従ってください。

1. IAMロールまたはインスタンスプロファイルに、対象バケットに対するs3:ListBucket、s3:GetBucketLocation、およびs3:PutObjectの権限が付与されていることを確認してください。
2. 外部でプロビジョニングされたバケットについては、所有チームに、構成された IAM ロールに必要な権限を付与するクロスアカウントバケットポリシーを追加するよう依頼してください。
3. バケット名が他の AWS アカウントによって既に使用されている場合は、別の固有のバケット名を選択してください。

S3バケットのリージョン不一致

ユーザーが「AWS S3 バケット ‘{bucket}’ は存在しますが、設定されているリージョン ‘{configured}’ ではなく、リージョン ‘{actual}’ にあります」というメッセージに遭遇した場合、以下のいずれかの理由が考えられます。

• プラグインで構成された AWS S3 バケットのリージョン名が、バケットが実際に存在するリージョンと一致しません。

What to do:

1. AWS S3 コンソールにログインし、バケットに移動して、実際のリージョンを確認します。
2. 実際のバケットリージョンに合わせて、プラグイン構成のAWS S3 Bucket Region Nameフィールドを更新します。

既知の動作

• プラグインに渡されたレコードのバッチ全体が空または偽の値で構成されている場合、プッシュは「No log(s) to push to … AWS S3 Bucket …」というメッセージで成功を報告し、S3 にオブジェクトはアップロードされません。これは予期された動作であり、障害ではありません。
• このプラグインは、チャンク化やサイズ分割を行わず、プッシュサイクルごとにバッチ全体を単一のS3オブジェクトとしてアップロードします。CEコアからの非常に大きなバッチは、組み込みのサイズ上限がない、それに応じた大きなS3オブジェクトを生成します。