AWS re:Inforce 2024 Keynote での新発表まとめメモ

AWS re:Inforce 2024 が 2024/6/10 - 12 までペンシルベニア州フィラデルフィアで開催されています。AWS re:Inforce はクラウドセキュリティ、コンプライアンスに特化したテクノロジーカンファレンスです。

現地時間 6/11 の基調講演で新しくアナウンスされた内容をメモしています。

## AWS Private CA Connector for SCEP の発表 (Preview)
* SCEP(Simple Certificate Enrollment Protocol) は、モバイルデバイス管理 (MDM) ソリューションで広く採用されているプロトコル
* Microsoft Intune や Jamf Pro などの MDM ソリューションで AWS Private CA を使用できるように
* SCEP コネクターは追加料金なしで利用可能
* プレビュー期間中はバージニア北部リージョンのみで使用可能

https://aws.amazon.com/jp/about-aws/whats-new/2024/06/aws-private-ca-connector-scep-mobile-devices/

## AWS IAM がパスキーをサポート (GA)
* ルートユーザーおよび IAM ユーザーの多要素認証 (MFA) でパスキーが使用できるように
* Apple の Touch ID や Windows Hello などの生体認証を使用してサインインできる

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/125105/cb89d2ec-e6c4-a7df-5be1-015250bac22d.png)

https://aws.amazon.com/about-aws/whats-new/2024/06/aws-identity-access-management-passkey-authentication-factor/

https://aws.amazon.com/jp/blogs/aws/aws-adds-passkey-multi-factor-authentication-mfa-for-root-and-iam-users/

## AWS IAM Access Analyzer が未使用アクセスを改善するための推奨事項を提供 (GA)
* 「未使用のアクセス」の検出結果のうち、IAM ロール、アクセスキー、およびパスワードについてはそれらを修正 (無効化) する手順が推奨事項として表示される

  ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/125105/d5c99e82-fff0-ace3-24c2-00423db524d9.png)

* IAM ポリシーの場合、未使用の権限を削除した新しいポリシーを推奨し、既存のポリシーと並べてプレビューできる

  ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/125105/32c2b982-42b2-821e-8b9f-c3a8d00404b5.png)
  
* Keynote では Preview となっていたが、ドキュメントやブログ、リリースノート等を確認する限り、一般利用可能なように思われる

https://aws.amazon.com/about-aws/whats-new/2024/06/aws-iam-access-analyzer-refine-unused-access/

https://aws.amazon.com/blogs/aws/iam-access-analyzer-update-extending-custom-policy-checks-guided-revocation/

## Amazon GuardDuty Malware Protection for Amazon S3 の発表 (GA)
* S3 バケットにアップロードされたオブジェクトをスキャンして、マルウェア、ウイルス、その他の疑わしいアップロードを検出する
* アカウント内で GuardDuty のコア機能が有効になっていない場合でも、Malware Protection for Amazon S3 のみを単体で有効化できる
* スキャン結果は EventBridge にパブリッシュされるため、オブジェクトの隔離のようなダウンストリームアクションをユーザー側で実装できる
* スキャンされたオブジェクトに対し、GuardDutyMalwareScanStatus というタグを自動で付与できるため、ステータスによってアクセス制御を行うようなバケットポリシーを定義できる
* スキャンできるファイルの最大サイズは 5GB
* アーカイブファイルも解凍してスキャンしてくれる
    * > including archive files with up to five levels and 1,000 files per level after it is decompressed.
    * これらの制限を超えた場合や、解凍後のファイルサイズが 5GB を超えた場合もスキャンをスキップする 
* スキャンされた容量とオブジェクト数に対しての課金

  ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/125105/cea16641-da38-19fb-ad42-e399f5de1faa.png)


https://aws.amazon.com/about-aws/whats-new/2024/06/detect-malware-object-uploads-amazon-s3-guardduty/

https://aws.amazon.com/blogs/aws/introducing-amazon-guardduty-malware-protection-for-amazon-s3/

## AWS CloudTrail Lake で AI を活用した自然言語クエリ生成を発表 (Preview)
* 自然言語 (英語) で SQL クエリを生成し、AWS アクティビティイベントを簡単に分析可能 
  * e.g., “How many errors were logged during the past week for each service and what was the cause of each error?” 
* プレビュー期間中はバージニア北部リージョンで追加料金なしで利用可能
    * クエリを実行した場合、CloudTrail Lake クエリ料金は通常通り発生する

https://aws.amazon.com/about-aws/whats-new/2024/06/aws-cloudtrail-lake-ai-powered-query-generation-preview/

https://aws.amazon.com/blogs/aws/simplify-aws-cloudtrail-log-analysis-with-natural-language-query-generation-in-cloudtrail-lake-preview/