> ## Documentation Index
> Fetch the complete documentation index at: https://docs.enclave.ai/llms.txt
> Use this file to discover all available pages before exploring further.

> ## Agent Instructions
> Enclave in these docs is the code and cloud security platform at enclave.ai. It is not Open Enclave, Intel SGX or other hardware enclaves, or enclave.gg.
> People use Enclave in the web app at https://app.enclave.ai or the desktop app. These docs describe no public Enclave API or CLI, so don't invent endpoints, commands, or config files.
> Connecting an integration needs a person to sign in and approve access in a browser. Tell the user the exact step to take instead of saying you completed it.

# AWS

> 読み取り専用の IAM ロールで AWS アカウントを接続し、Enclave がクラウドをマッピングして検出結果が到達可能かを確認できるようにします。

AWS アカウントを接続すると、Enclave はリソースと ID をマッピングし、どの検出結果が到達可能かを判断できます。アクセスは読み取り専用です。

## Enclave に必要なもの

**読み取り専用** の権限を持つ、 `EnclaveScanner` という名前のクロスアカウント IAM ロールです。このロールは CloudFormation テンプレートで作成されます。ロールの信頼ポリシーでは、Enclave のプリンシパルだけが、組織ごとに生成された外部 ID を使う場合に限り、このロールを引き受けられます。

ロールの `EnclaveScannerReadOnly` ポリシーでは、次のサービスに対する `Describe`、 `List`、 `Get` アクションを許可します。

* **コンピューティング** ：EC2、ECS、EKS、Lambda、Batch、Step Functions。
* **ネットワーク** ：EC2 経由の VPC リソース、Elastic Load Balancing、Route 53、CloudFront、API Gateway。
* **データ** ：RDS、DynamoDB、ElastiCache、および SQS キュー、SNS トピック、Kinesis ストリーム、MSK クラスターの名前。
* **ストレージ** ：S3 バケットの設定、ポリシー、ACL、パブリックアクセス設定。オブジェクトは読み取りません。
* **コンテナ** ：ECR リポジトリ。
* **ID** ：IAM ロール、ユーザー、グループ、インスタンスプロファイル、およびそれらのポリシー。

変更を伴うアクションはなく、メタデータ以外のデータにはアクセスしません。

## 始める前に

* Enclave で **Owner** または **Admin** ロールが必要です。
* AWS では、接続するアカウントで CloudFormation スタック **と IAM ロール** を作成する権限が必要です。

> [!WARNING]
>
> スタックは IAM ロールを作成するため、CloudFormation から IAM リソースの作成について承認を求められます。AWS ユーザーが IAM ロールを作成できない場合、スタックの作成は失敗します。 **Copy link** をクリックし、作成できる人にリンクを送ってください。

## AWS アカウントを接続する

**Settings → Integrations** を開き、 **Amazon Web Services** の横にある **Connect** をクリックします。

**1. CloudFormation を開く**

**Open CloudFormation** をクリックします。AWS で、 `us-east-1` の `EnclaveScanner` スタックのクイック作成ページが開きます。組織の外部 ID と Enclave のプリンシパル ARN は入力済みです。スタックの内容を確認して作成します。

他の人に実行してもらう場合は、 **Copy link** をクリックしてリンクを送ります。

**2. Outputs から RoleArn をコピーする**

スタックの作成が完了したら、 **CloudFormation → Stacks → EnclaveScanner → Outputs** を開きます。 **Key** が `RoleArn` の行の **Value** をコピーします。

**3. ロールを検証する**

ARN を **RoleArn output** に貼り付け、 **Validate role** をクリックします。Enclave はロールを引き受けて、信頼関係が機能することを確認します。成功するとアカウントが接続され、Enclave がスキャンを開始します。

> [!TIP]
>
> **Finish later** をクリックすると、進捗を保存できます。スタックの準備ができたら、 **Settings → Integrations → Amazon Web Services** からセットアップを完了します。

## アカウントを追加する

`prod` と `staging` のように、複数の AWS アカウントを接続できます。 **Add account** をクリックし、もう一方のアカウントで `EnclaveScanner` スタックを起動して、その `RoleArn` を検証します。

接続したアカウントはすべて、組織全体で利用できます。

## 接続を管理する

**Settings → Integrations → Amazon Web Services** でアカウントをクリックすると、アカウント ID、ロール ARN、リージョンを確認できます。

* **Re-validate** は、Enclave がまだロールを引き受けられるかを確認します。
* **Delete** は、接続から 1 つのアカウントを削除します。
* **Disconnect AWS** は、接続全体を削除します。Enclave はこれらのアカウントの使用を停止します。

**CloudTrail notifications** では、任意で CloudTrail の証跡を接続できます。接続すると、Enclave は毎日のスキャンを待たずに、リソースが変更されたときにアカウントのインベントリを更新します。

AWS 側からアクセスを取り消すには、 `EnclaveScanner` スタックまたはロールを削除します。Enclave はそのアカウントをスキャンできなくなります。

## Enclave が行うこと・行わないこと

* **行うこと** ： `EnclaveScannerReadOnly` ポリシーにある読み取り専用のアクションを呼び出します。
* **行わないこと** ：何かを変更すること、データの中身を読み取ること、長期間有効な認証情報を保持すること、アカウント内でエージェントを実行すること。

Enclave は、設定したロールと外部 ID に限定された、有効期間の短い STS 認証情報でロールを引き受けます。ロールは、AWS アカウントからいつでも取り消せます。

## トラブルシューティング

* **AWS STS could not assume the role** ：スタックが存在しないか、その外部 ID がこの Enclave の接続と一致していません。もう一度 **Open CloudFormation** をクリックします。 `EnclaveScanner` スタックが削除されている場合は再作成し、存在する場合は更新します。その後、新しい `RoleArn` をコピーして、もう一度検証します。
* **"That ARN is the Enclave principal"** ：ロールの ARN ではなく、Enclave のプリンシパル ARN を貼り付けています。スタックの **Outputs** タブにある `RoleArn` の値を貼り付けてください。
* **Coverage にアセットが表示されない** ：Enclave は、アカウントを接続したときと、その後は 1 日 1 回スキャンします。すぐにスキャンするには、 [Coverage](https://docs.enclave.ai/ja/onboarding/coverage.md) で **Analyze Environment** をクリックします。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.