Inspector は組織ポリシー配下だと新規アカウントへの反映が即時ではない

Organizations に INSPECTOR_POLICY が Root アタッチされていると、新規アカウントの Inspector は作成直後 DISABLED のまま。これは反映待ちで、障害ではない。

実測した時間の推移。

• アカウント作成の 2 秒後: ポリシー適用済み（LastUpdatedTimestamp）
• 3 時間半後: 全スキャンタイプ DISABLED
• 翌朝: 全スキャンタイプ ENABLED

この間にコンソールから手動で有効化しようとすると拒否される。ポリシーが管理しているスキャンタイプは、委任管理者からもメンバーアカウントからも個別に有効化できない。

Account has resources managed by organization policy: ECR, LAMBDA, LAMBDA_CODE, EC2, CODE_REPOSITORY

切り分けは、状態より先にポリシーを見る。

# 1. ポリシーが届いているか（届いていれば DISABLED は反映待ち）
aws organizations describe-effective-policy \
  --policy-type INSPECTOR_POLICY --target-id <account-id>

# 2. スキャンの状態（当日は DISABLED でよい。翌日も残るなら調べる）
aws inspector2 batch-get-account-status \
  --region ap-northeast-1 --account-ids <account-id>

同じ DISABLED の裏に「反映待ち」と「設定漏れ」が入っている。当日の 1 回では区別できないので、作成日と翌日の 2 回叩く。

GuardDuty は組織設定の AutoEnable=true で自動加入、CloudTrail は組織証跡でカバーされる。Security Hub は AutoEnable=false だと入らず、こちらは待っても変わらない。