# CSPM 向け AWS RDS 検査ワークフロー更新のお願い

2026 年 3 月に AWS が導入した [express configuration](https://docs.aws.amazon.com/ja_jp/AmazonRDS/latest/AuroraUserGuide/CHAP_GettingStartedAurora.AuroraPostgreSQL.ExpressConfig.html)（VPC を使用しない Aurora クラスターの作成方式）の影響により、Flatt Security が標準提供しているマネージド検査項目「RDS インスタンスを VPC 内で運用する」（RDS.18）では、この構成のインスタンスを正しく判定できない状況が確認されました。

本問題に対応したワークフローを公開しましたので、更新をお願いいたします。

:::info

本件は CSPM の AWS 向けマネージド検査に関するお知らせです。以下のいずれかに該当する組織では、今回の更新対応は不要です。

- Takumi byGMO のみをご利用の組織
- CSPM で AWS 環境を検査していない組織
- 後述のワークフロー「Prebundle: Review AWS RDS posture (FSBP)」を登録していない組織

:::

## 背景

AWS は 2026 年 3 月、[express configuration](https://docs.aws.amazon.com/ja_jp/AmazonRDS/latest/AuroraUserGuide/CHAP_GettingStartedAurora.AuroraPostgreSQL.ExpressConfig.html) という Aurora クラスターの作成方式を導入しました。

[express configuration](https://docs.aws.amazon.com/ja_jp/AmazonRDS/latest/AuroraUserGuide/CHAP_GettingStartedAurora.AuroraPostgreSQL.ExpressConfig.html) で作成されたクラスターは、従来の Aurora クラスターとは異なり、VPC に関連付けられない構成となっています。

マネージド検査項目「RDS インスタンスを VPC 内で運用する」（RDS.18）は、DB インスタンスが参照する DB サブネットグループから VPC への所属を判定しています。そのため、VPC に関連付けられない [express configuration](https://docs.aws.amazon.com/ja_jp/AmazonRDS/latest/AuroraUserGuide/CHAP_GettingStartedAurora.AuroraPostgreSQL.ExpressConfig.html) の Aurora クラスターは、この検査の前提から外れており、正しく判定できない状況でした。

今後、このような構成の Aurora クラスターが利用されることを想定し、検査結果の誤判定を防ぐため、本検査ワークフローの更新にご協力いただけますと幸いです。

## 更新の対象

更新の対象は、以下のワークフロー内の 1 つのジョブです。

| 対象         | ID                       | 名前                                     |
| ------------ | ------------------------ | ---------------------------------------- |
| ワークフロー | `prebundle-aws-fsbp-rds` | Prebundle: Review AWS RDS posture (FSBP) |
| ジョブ       | `instance-vpc`           | Review instance vpc                      |

## 必要な対応

最新の GraphQL クエリと Rego ポリシーを [shisho-cloud-managed-workflows](https://github.com/flatt-security/shisho-cloud-managed-workflows) リポジトリの [`workflows/csp/aws-fsbp/rds/instance-vpc`](https://github.com/flatt-security/shisho-cloud-managed-workflows/tree/main/workflows/csp/aws-fsbp/rds/instance-vpc) にご用意いたしましたので、置き換えをお願いいたします。

なお、参考情報ですが、「RDS インスタンスを VPC 内で運用する」（RDS.18）は、参照元となっている [AWS FSBP（AWS Foundational Security Best Practices standard）](https://docs.aws.amazon.com/ja_jp/securityhub/latest/userguide/fsbp-standard.html) の検査項目からすでに削除されています。

そのため、運用状況によっては、当該ジョブ自体を削除いただくことも選択肢の一つとなります。

お使いの管理方法に応じて、次のいずれかの方法で更新してください。なお、ワークフローの一覧にこのワークフローが存在しない場合、更新は不要です。

### shishoctl で更新する場合

`shishoctl workflow export` で取得したワークフロー定義をお持ちの場合は、`instance-vpc` ジョブに対応するファイル（Rego ポリシー・GraphQL クエリ・テスト）を最新版の内容に置き換え、`shishoctl workflow apply` で組織に適用してください。

### コンソールで編集する場合

**ワークフロー** から「Prebundle: Review AWS RDS posture (FSBP)」を開き、マニフェスト中の `jobs` 配下にある `id: instance-vpc` のジョブについて、`decide` ブロックの `rego:`（Rego ポリシー）と `input` 配下の `schema:`（GraphQL クエリ）の内容を、公開されている最新版でそれぞれ置き換えて保存してください。

他のジョブやパラメータの変更は不要です。

### GitHub や GitLab のリポジトリで管理している場合

`instance-vpc` ジョブに対応する 3 ファイル（Rego ポリシー・GraphQL クエリ・テスト）を最新版の内容に置き換えて、メインブランチへ push してください。

設定済みのデプロイ用 GitHub Actions ワークフローなどにより、Shisho Cloud へ自動的に反映されます。

## お問い合わせ

ご不明な点や更新作業に不安がある場合は、サポート窓口までご連絡ください。

お客様の状況に応じてサポートいたします。