QuickSight を使用してすべてのアカウントの Systems Manager パッチおよびアソシエーションのコンプライアンスデータを管理・表示するにはどうすればよいですか?

所要時間3分

Amazon QuickSight を使用して AWS Systems Manager のコンプライアンスデータを管理・表示したいと考えています。

解決策

Amazon QuickSight を使用すると、Systems Manager のインベントリデータをクエリ、分析、視覚化できます。また、インタラクティブなダッシュボードを公開することもできます。Amazon QuickSight を Amazon Athena テーブルデータセットと併用すると、コンプライアンス情報を表示するためのダッシュボードとウィジェットを作成できます。

前提条件を確認する

アカウントで [Systems Manager インベントリ] と [リソースデータの同期] を設定します。この設定により、次のことが可能になります。

Systems Manager がインベントリ情報を収集します。
[リソースデータの同期] により、インベントリが Amazon Simple Storage Service (Amazon S3) バケットに同期されます。

マルチアカウントのマルチリージョンのユースケース向けにこの設定を作成することで、データを中央の S3 バケットに同期できます。Amazon Athena 統合でリソースデータの同期を使用すると、すべてのマネージドノードのインベントリデータをインベントリデータの [詳細ビュー] ページに表示できます。詳細については、「複数のリージョンとアカウントからのインベントリデータをクエリする」を参照してください。

[Systems Manager インベントリ]、[リソースデータの同期]、および Athena アクセス設定値を設定したら、QuickSight アカウントの設定に進むことができます。

QuickSight アカウントをセットアップする

Amazon QuickSight アカウントをお持ちでない場合は、該当する QuickSight アクセス許可を付与された AWS Identity and Access Management (IAM) ユーザーまたはロールを使用して AWS マネジメントコンソールにログインします。Amazon QuickSight にアクセスして、新しいアカウントを作成します。

[エンタープライズ版] または [エンタープライズ版 + Q] を選択します。
- または -
下にスクロールして、[スタンダード版にサインアップ] を選択します。
該当する IAM ID を選択します。
[QuickSight の AWS のサービスへのアクセス] で、[Amazon Athena] と [Amazon S3] を選択します。
[Amazon S3 バケットを選択] で、インベントリデータが保存されているターゲット S3 バケットを選択します。選択した S3 バケットに対して [Athena ワークグループの書き込みアクセス許可] を選択して、Athena ワークグループへの書き込みアクセス許可を付与します。
[完了] を選択します。

QuickSight アカウントをお持ちの場合は、QuickSight プロファイルで次の操作を行います。

ユーザープロファイルを選択し、[QuickSight の管理] を選択します。
[セキュリティとアクセス許可] を選択します。
QuickSight の AWS のサービスへのアクセス] で [追加] または [削除] を選択します。
Athena と S3 のアクセス権限を許可するには、前のセクションのステップ 2 と 3 を実行してください。

QuickSight でデータセットを作成する

QuickSight では、Athena テーブルをソースとして使用してデータセットを作成できます。AWS Glue クローラーは S3 バケット内のインベントリデータをクロールし、AWS Glue データカタログのテーブルを更新します。その後、これらのテーブルは AWS Glue クローラーによって Athena で利用可能とされます。各インベントリメタデータには、AWS Glue によって作成された対応する Athena テーブルがあります。データセットを作成してデータを分析するには、aws_compliancesummary テーブルと aws_complianceitem テーブルを使用します。

QuickSight の開始ページで、ナビゲーションペインから [データセット] を選択して、[新しいデータセット] を選択します。
[データセットを作成] で、データソースとして [Athena] を選択します。
データソース名を入力します。
[データソースを作成] を選択します。
データベースのドロップダウンリストから、インベントリデータを含む S3 バケットを選択します。
データベース名の形式は次のとおりです: S3_bucket_name-<region>-database。
テーブルのリストから aws_compliancesummary を選択し、[選択] を選択します。
[データクエリを直接実行] を選択します。
[データの編集/プレビュー] を選択します。
[保存して公開] を選択します。

直前の手順を使用して、aws_complianceitem テーブルに関する別のデータセットを作成します。

データセットを分析する

データを視覚化して分析するには、QuickSight 分析を使用します。データ分析に aws_compliancesummary および aws_complianceitem データセットを使用する場合、以下を実行します。

Amazon QuickSight の開始ページで [新しい分析] を選択します。
[データセット] ページで [aws_compliancesummary] データセットを選択し、次に [分析で使用] を選択します。
同じ分析に複数のデータセットを追加するには、[データセット] の横にある**[編集]** (鉛筆アイコン) を選択します。
表示されるポップアップページで、[データセットを追加] を選択し、リストから [aws_complianceitem] を選択します。[選択] を選択します。
これら 2 つのデータセットが、データセットのドロップダウンリストに分析対象として表示されます。

注: 同じ分析に他の複数のデータセットを追加してビジュアルを作成することもできます。

ビジュアルを追加する

注: ビジュアルを追加する手順は一例です。これらはグラフであり、ユースケースや要件に応じて作成できます。

Amazon QuickSight データセットをソースとした QuickSight 分析には、ビジュアルを追加できます。このデータセットに含まれる Athena のテーブルには、Systems Manager インベントリデータとコンプライアンス情報が含まれています。

aws_compliancesummary データセットに関するビジュアル

aws_compliancesummary データセットに関するビジュアルを追加するには、「Amazon QuickSight 分析へのビジュアルの追加」に記載されている手順を実行します。

また、パッチコンプライアンスやアソシエーションの準拠などのコンプライアンスタイプを基準にしてデータをフィルタリングするフィルタを追加することもできます。

左側のナビゲーションペインから [フィルタ] を選択します。
[フィルタの追加] を選択し、次に [コンプライアンスタイプ] を選択します。
値のリストで [パッチ] を選択することで、パッチコンプライアンスのみを表示させます。
[適用先] ドロップダウンで、適用可能なすべてのビジュアルを選択します。
[適用] を選択します。

パッチコンプライアンスステータスに一致するリソースの数を確認するには、以下の手順を実行します。

[ビジュアルタイプ] で [ドーナツグラフ] を選択します。
[フィールドリスト] から [ステータス] を選択し、それを [グループ/色] ディメンションに追加します。
Resourceid を [値] の下にドラッグアンドドロップします。
異なる値の数をカウントするには、[resourceid] の横にある矢印を選択します。
次のフィールドを選択します: [Aggregate: Count]。次に、[個別の値をカウント] を選択します。
グラフを選択します。次に、[ビジュアルのフォーマット] アイコン (鉛筆アイコン) を選択します。
[データラベル] で [メトリクスを表示] を選択します。
グラフに実際の値とパーセンテージが表示されます。

準拠インスタンスをリージョン別に表示するには、以下を実行します。

前述のビジュアルを選択してから、グラフ上の 3 つの点を選択します。
[ビジュアルの複製] を選択します。
[フィールドウェル] の [グループ/色] ディメンションのドロップダウンで、[リージョン] を選択します。
[フィルタ]、[フィルタの追加]、[ステータス]、[準拠] の順に選択します。
[適用] を選択します。
リージョン別の準拠インスタンスのグラフが表示されます。

リージョン別に非準拠インスタンスを表示する場合は、以下を実行します。

直前のビジュアルのグラフから 3 つの点を選択します。
[ビジュアルの複製] を選択します。
[フィルタ] を選択します。[ステータス] フィルタを選択し、[NON_COMPLIANT] を選択します。
[適用] を選択します。
リージョン別の非準拠インスタンスのグラフが表示されます。

マルチアカウント設定内の全アカウントのアカウント情報を表示するには、前述のビジュアルを使用します。[フィールドウェル] の [グループ/色] ディメンションで、[Accountid] を選択します。アカウント ID 別のグラフが表示されます。

aws_complianceItem データセットに対するビジュアル

aws_complianceitem データセットに関するビジュアルを追加するには、「ビジュアルを追加する」に記載されている手順を実行します。

また、パッチコンプライアンスやアソシエーションの準拠などのコンプライアンスタイプを基準にしてデータをフィルタリングするフィルタを追加することもできます。それを行うには、直前のセクション内の対応する手順を使用します。

未適用のパッチのリストをインスタンス別に表示するには、以下を実行します。

[ビジュアルタイプ] で、[ピボットテーブル] を選択します。
[行] で [リージョン]、[resourceid]、[patchstate]、[ID]、[タイトル] を、[値] で [ID] を追加します。
異なる値の数をカウントするには、まず、ID の横にある矢印を選択します。
次のフィールドを選択します: [Aggregate: Count]。次に、[個別の値をカウント] を選択します。
[フィルタ] を選択します。[フィルタの追加]、[Patchstate]、[見つかりません。] の順に選択します。
[適用] を選択します。

コンプライアンスステータス別にインスタンスのリストを表示するには、以下を実行します。

aws_complianceitem データセットを選択します。
[追加] を選択し、[ビジュアルを追加] を選択します。
[ビジュアルタイプ] で、[ピボットテーブル] を選択します。
[行] で [リージョン]、[resourceid]、[patchstate]、[ID]、[タイトル] を、[値] で [ID] を追加します。
異なる値の数をカウントするには、まず、ID の横にある矢印を選択します。
次のフィールドを選択します: [Aggregate: Count]。次に、[個別の値をカウント] を選択します。

すべてのアカウントに関する情報を表示するには、前述のビジュアルで、[行] の最初のフィールドとして [accountid] を追加します。これにより、アカウント ID を基準としてピボットテーブルがフィルタリングされます。

ダッシュボードを公開する

ダッシュボードとして作成されたすべてのビジュアルを公開し、他のユーザーと共有できます。

すべてのビジュアルを追加したら、[テーマ] をクリックし、適切なテーマを選択します。
ページの右上にある [共有] を選択します。
[ダッシュボードの公開] を選択します。
ダッシュボードの名前を入力し、[ダッシュボードの公開] を選択します。

考慮事項

AWS Glue クローラーは、デフォルトで中央の S3 バケットのインベントリデータを毎日 2 回クロールします。そのため、データはこのスケジュールに基づいて更新されます。更新の頻度を要件に応じて変更するには、AWS Glue クローラーのスケジュールを編集します。
QuickSight で複数の Athena テーブルを結合した結合データセットを作成することで、統合データセットを作成できます。このシナリオのユースケースは、aws_compliancesummary テーブルと aws_instanceinformation テーブルを結合したデータセットを作成して、プラットフォーム (Linux/Windows) に合うようにデータを視覚化することです。プラットフォーム情報は aws_instanceinformation テーブルにのみキャプチャされます。また、この情報を使用して、終了したインスタンスのデータをフィルタで除外することもできます。このデータは Systems Manager インベントリに 30 日間保存されます。詳細については、「データを結合する」を参照してください。

トピック

管理とガバナンス

タグ

AWS Systems Manager

言語

日本語