Quick Suite を使用して、すべてのアカウントの Systems Manager パッチおよび関連付けのコンプライアンスデータを管理および表示する方法を教えてください。

所要時間4分

Amazon Quick Suite を使用して、AWS Systems Manager のパッチおよび関連付けのコンプライアンスデータを管理および表示したいと考えています。

解決策

前提条件となるサービスを設定する

Quick Suite を使用してコンプライアンスデータを管理および表示する前に、AWS アカウントで、AWS Systems Manager の機能である Inventory、およびリソースデータの同期を設定します。

複数のアカウントと AWS リージョンでリソースデータの同期設定を使用して、中央の Amazon Simple Storage Service (Amazon S3) バケットにデータを同期できます。

Systems Manager Inventory は AWS Glue を使用して Amazon S3 バケットにあるインベントリデータを集約します。AWS Glue は Amazon-GlueServiceRoleForSSM ロールを使用してデータを集約します。S3 バケットが AWS Key Management Service (AWS KMS) キーで暗号化されている場合は、AWS KMS キーを使用するように Amazon-GlueServiceRoleForSSM ロールのアクセス許可を編集してください。AWS Identity and Access Management (IAM) ユーザーも AWS KMS 暗号化用の設定が必要です。

デフォルトでは、AWS Glue クローラーは中央の S3 バケットのインベントリデータを毎日 2 回集約します。AWS Glue クローラーは、このスケジュールに基づいてデータを更新します。頻度を変更するには、AWS Glue クローラースケジュールを編集します。

Amazon Athena は、Systems Manager コンソールの詳細ビューページに表示されるデータをクエリします。このデータは Amazon Athena が利用可能なリージョンでのみアクセスできます。複数の Amazon Athena テーブルを結合するには、Quick Sight で結合されたデータセットを作成します。

Systems Manager インベントリ、リソースデータの同期、AWS Glue、Amazon Athena アクセスを設定したら、Quick Suite アカウントをセットアップできます。

Quick Suite アカウントをセットアップする

Quick Suite アカウントをお持ちでない場合は、次の手順を実行します。

Quick Suite のアクセス許可を持つ IAM ID を使用して AWS マネジメントコンソールにサインインします。
ナビゲーションペインで [Amazon Quick Suite] を選択し、次に [Amazon Quick Suite にサインアップ] を選択します。
[エンタープライズ版] または [エンタープライズ版 + Q] を選択します。
または、
[スタンダード版にサインアップ] を選択します。
次の情報を入力します。
アカウントの名前を入力します。
通知を受信するメールアドレスを入力します。
初期データストレージ用のリージョンを選択します。
[アカウントを作成] を選択します。
[Quick Suite の管理] を選択します。
該当する IAM ID を選択します。
Quick Suite メニューの [アクセス許可] で、[AWS リソース] を選択します。
[これらのリソースへのアクセスと自動検出を許可] で、[Amazon Athena] と [Amazon S3] の両方を選択します。
[Amazon S3 バケットを選択] で、インベントリデータを含むターゲット S3 バケットを選択します。Athena Workgroup に書き込みアクセス許可を付与するには、[Athena Workgroup の書き込みアクセス許可] を選択します。
[完了] を選択し、[保存] を選択します。

既存の Quick Suite アカウントをお持ちの場合は、次の手順を実行してください。

Quick Suite コンソールを開きます。
[Quick Suite の管理] を選択します。
Quick Suite メニューの [アクセス許可] で、[AWS リソース] オプションを選択します。
[これらのリソースへのアクセスと自動検出を許可] で [Amazon Athena] と [Amazon S3] を選択します。
[Amazon S3 バケットを選択] で、インベントリデータを含むターゲット S3 バケットを選択します。Athena Workgroup に書き込みアクセス許可を付与するには、[Athena Workgroup の書き込みアクセス許可] を選択します。
[完了] を選択し、[保存] を選択します。

Quick Sight でデータセットを作成する

Quick Sight でデータセットを作成するには、Amazon Athena テーブルをソースとして使用します。各インベントリメタデータには、AWS Glue によって作成された、対応する Amazon Athena テーブルがあります。データセットを作成してデータを分析するには、aws_compliancesummary テーブルと aws_complianceitem テーブルを使用します。

次の手順を実行します。

Quick Suite コンソールを開きます。
ナビゲーションペインで [データセット] を選択します。
[データセット] ページで、[データセットの作成] を選択します。
[データセットの作成] ポップアップウィンドウから、[データソースの作成] を選択します。次に、[データセットの作成] ポップアップウィンドウから、データソースとして Athena を選択し、[次へ] を選択します。
データソース名と Athena ワークグループを入力します。
[データソースを作成] を選択します。
データベースのドロップダウンリストから S3 バケットを選択します。
注: データベース名は S3_bucket_name-region-database 形式です。
テーブルのリストから aws_compliancesummary を選択します。
[選択] を選択します。
[データクエリを直接実行] を選択します。
[データの編集/プレビュー] を選択します。
[保存して公開] を選択します。

前述の手順を繰り返して、aws_complianceitem テーブル用の別のデータセットを作成します。

データセットを分析する

データ分析に aws_compliancesummary および aws_complianceitem データセットを使用するには、次の手順を実行します。

Quick Suite コンソールを開きます。
[分析を作成] を選択します。
[分析を作成] ポップアップウィンドウで、[aws_compliancesummary] を選択し、[選択] を選択します。
同じ分析に複数のデータセットを追加するには、[データ] を選択します。
ドロップダウンリストで、[データセットの追加] を選択します。
ポップアップウィンドウから、[aws_complianceitem] を選択します。
[選択] を選択します。

注: 同じ分析に他のデータセットを追加してビジュアルを作成することもできます。

ビジュアルを追加する

Amazon Quick Sight データセットに基づいて、Quick Sight の分析にビジュアルを追加できます。このデータセットには、コンプライアンス情報を伴う Systems Manager インベントリデータを持つ Amazon Athena のテーブルが含まれています。

aws_compliancesummary 用のビジュアル

パッチのコンプライアンスステータスに基づいてリソースの数を表示するには、次の手順を実行します。

Quick Suite コンソールを開きます。
ビジュアルを追加したい分析を選択します。
[分析] ページで、使用するデータセットを選択します。
[視覚化] を選択します。
[視覚化] ペインで [追加] を選択し、[ビジュアルの追加] を選択します。
[ビジュアルタイプ] を選択します。
[ビジュアルタイプ] ペインで、[ドーナツグラフ] を選択します。
[フィールドリスト] から [ステータス] を選択し、それを [グループ/色] ディメンションに追加します。
[Resourceid] を [値] の下にドラッグアンドドロップします。
個別の値の数をカウントするには、[resourceid] フィールドの横にある矢印を選択します。
[集約: カウント] を選択します。
[個別の値をカウント] を選択します。
グラフを選択します。
[ビジュアルのフォーマット] アイコンを選択します。
[データラベル] で [メトリクスを表示] を選択します。

準拠インスタンスまたは非準拠インスタンスをリージョン別に表示するには、次の手順を実行します。

前述のビジュアルを選択します。
チャートの [その他のオプション] アイコンを選択します。
[ビジュアルの複製] を選択します。
[フィールドウェル] の [グループ/色] ディメンションのドロップダウンリストで、[リージョン] を選択します。
[フィルター] を選択します。
[ADD FILTER] を選択します。
[ステータス] を選択します。
[COMPLIANT] または [NON-COMPLIANT] を選択します。
[適用] を選択します。

マルチアカウント設定ですべてのアカウントのアカウント情報を表示するには、前述のビジュアルを使用します。[フィールドウェル] の [グループ/色] ディメンションで、[accountid] を選択します。

aws_complianceitem データセット用のビジュアル

未適用のパッチのリストをインスタンスごとに表示するには、次の手順を実行します。

Quick Suite コンソールを開きます。
[視覚化] を選択します。
[視覚化] ペインで、[ビジュアルタイプ] を選択します。
[ビジュアルタイプ] ペインで、[ドーナツグラフ] を選択します。
[ビジュアルタイプ] で、[ピボットテーブル] を選択します。
[行] に次の値を追加します。
Region
resourceid
patchstate
id
title
[値] に id を追加します。
個別の値の数をカウントするには、id の横にある矢印を選択します。
[集約: カウント] を選択します。
[個別の値をカウント] を選択します。
[フィルター] を選択します。
[フィルター] で、[フィルターを追加] を選択します。
[Patchstate] を選択します。
[Missing] を選択します。
[適用] を選択します。

コンプライアンスステータス別にインスタンスのリストを表示するには、次の手順を実行します。

Quick Suite コンソールを開きます。
[分析を作成] を選択します。
[分析を作成] ポップアップウィンドウで、[aws_complianceitem] を選択し、次に [選択] を選択します。
[追加] を選択します。
[ビジュアルの追加] を選択します。
[ビジュアルタイプ] で、[ピボットテーブル] を選択します。
[行] に次の値を追加します。
Region
resourceid
patchstate
id
title
[値] に id を追加します。
個別の値の数をカウントするには、id の横にある矢印を選択します。
[集約: カウント] を選択します。
[個別の値をカウント] を選択します。

すべてのアカウントに関する情報を取得するには、[行] に accountid を追加します。

フィルターを追加する

パッチのコンプライアンスや関連付けのコンプライアンスなど、コンプライアンスタイプを基準にしてデータをフィルタリングするフィルターを追加することもできます。

フィルターを追加するには、次の手順を実行します。

Quick Suite コンソールを開きます。
ナビゲーションペインで [フィルター] を選択します。
[フィルター] で [フィルターを追加] を選択します。
[コンプライアンスタイプ] を選択します。
パッチのコンプライアンスのみを含めるには、リストから [パッチ] を選択します。
[適用先:] オプションリストから、[単一のシート] と [すべてのビジュアル] を選択します。
[適用] を選択します。

ダッシュボードを公開する

すべてのビジュアルを追加したら、すべてのビジュアルをダッシュボードとして公開し、他のユーザーと共有します。