スナップショット公開

スナップショット（EBS、RDS、DocumentDB、Neptune）が他の AWS アカウントからパブリックに復元可能な状態になっていないかをチェックするコントロール群。

対象コントロール（5 件）

関連する宣言型ポリシー属性: EBS Snapshot Block Public Access（EBS のみ。RDS / DocumentDB / Neptune には対応する宣言型ポリシーがない）

デフォルト保護は API のデフォルト値（CLI でオプションを省略した場合の値）に基づく。マネジメントコンソールではより安全な値がプリセットされている場合がある。5 件のうち 4 件（EC2.1 / RDS.1 / DocumentDB.3 / Neptune.3）はスナップショット自体がデフォルトでプライベートになるため保護されており、唯一 EC2.182（EBS Snapshot BPA）のみがアカウントレベルの設定であり、デフォルトで未保護である。

EC2.1 と EC2.182 の違い

2 件のコントロールはどちらも EBS スナップショットのパブリック共有に関するが、チェックしている対象が異なる。

EC2.1 はスナップショット単位の評価だが、BPA が有効であれば実際にパブリック復元が不可能なため、パブリック共有スナップショットが存在しても PASSED になる。つまり BPA を block-all-sharing に設定すれば EC2.1 と EC2.182 の両方が PASSED となる。

RDS.1 / DocumentDB.3 / Neptune.3 の共通点と差異

3 件はいずれも「スナップショットの restore 属性に all が含まれるか」（= 任意の AWS アカウントからスナップショットを復元可能か）をチェックする。

予防手段との対応

EBS スナップショット（EC2.1 / EC2.182）には 2 つの予防手段がある。RDS.1 / DocumentDB.3 / Neptune.3 には対応する予防手段（宣言型ポリシーや SCP）がない。

「―」は対応する予防手段がないことを示す。RDS.1 / DocumentDB.3 / Neptune.3 については、対応する API（rds:ModifyDBSnapshotAttribute / rds:ModifyDBClusterSnapshotAttribute）に属性値を制御する条件キーが提供されていないため、SCP による予防は不可。Config + 自動修復による検知・是正が現実解。

• CT.EC2.PV.3（SCP）: パブリック共有の操作（ModifySnapshotAttribute で group=all を追加）を API レベルで拒否する。メンバーアカウントのユーザーは新規にパブリック共有を設定できない。ただし SCP は有効化前にパブリック共有されていたスナップショットには影響しないため、既存のパブリック共有はそのまま残り、EC2.1 は FAILED のまま。BPA 設定にも影響しないため EC2.182 にも効果がない。スナップショットはデフォルトでプライベートなので、SCP を有効にすればデフォルト状態からのパブリック化を防げる（検証済み）
• CT.EC2.PV.7（宣言型ポリシー）: アカウントレベルの BPA を block-all-sharing に強制する。メンバーアカウントのユーザーは BPA を無効化できない（DeclarativePolicyViolation）。BPA が有効であれば既存のパブリック共有スナップショットも実質的にアクセス不可となるため、EC2.1 / EC2.182 の両方が PASSED に変化する（検証済み）

いずれもメンバーアカウント側で予防を突破することはできない。ただし「パブリック共有の予防」と「Security Hub finding の COMPLIANT 化」は別物である点に注意。CT.EC2.PV.3 はパブリック共有を防ぐが finding は変化しない。

Config ルールの評価トリガーについて

EC2.1 と EC2.182 は異なる種類の Config ルール評価トリガーを使用しており、宣言型ポリシー適用後の確認方法に影響する。