Alibaba Cloudの概要

Alibaba Cloud 組織または Tenable One Cloud Exposure の個別のアカウントを接続して、アクセス許可、アカウントの使用状況、セキュリティ設定に関する情報など、すべてのクラウドアイデンティティとリソースに対する完全な可視性とリスク評価を取得します。 Tenable は、Alibaba Cloud API からインベントリと設定データを収集します。

接続が完了すると、クラウドサイバーエクスポージャーに各アカウントのステータスが表示されます。これは Tenable アカウントに接続できるかどうかを示し、潜在的な問題のトラブルシューティングに役立ちます。アカウントのステータス情報とよくある質問については、 Alibaba Cloud の FAQ とトラブルシューティング。

組織と個人のアカウントの接続に関する考慮事項

Alibaba Cloud 組織を接続すると、個別に追加することなく、現在および将来のすべてのメンバーアカウントが自動的にオンボーディングされます。 Tenable は、組織全体を接続して、Alibaba Cloud 環境全体を完全かつ継続的に可視化することを推奨しています。

組織ではなく個別のアカウントを接続する場合は、環境の拡大に合わせてアカウントごとに個別に追加し、戻って新しいアカウントを追加する必要があります。

アカウントアーキテクチャ

次に、Alibaba Cloud 環境とクラウドサイバーエクスポージャーの間に確立される信頼関係について説明します。

Tenable アカウントで次の 2 つの RAM リソースを使用します。

tenable-user - Tenable が API 呼び出しの認証に使用するアクセスキーを保持する RAM ユーザー。
tenable-role - クラウドリソースにアクセスするために Tenable が使用するアクセス許可を保持する RAM ロール。ロールの信頼ポリシーにより、 tenable-user ロールを引き受けるアクセス許可が付与されます。

クラウドサイバーエクスポージャーは環境にアクセスする際、tenable-user からのアクセスキーを使用して Cloud STS Alibaba呼び出し、tenable-roleを引き受けます。結果として生成される一時的な認証情報の有効範囲は、ロールのポリシーで定義されたアクセス許可に限定されます。認証 (tenable-user) と承認 (tenable-role) の分離は、クラウドセキュリティAlibabaベストプラクティスに従っており、アクセスキーを変更せずにロールのポリシーを更新することでアクセス許可を変更できます。

組織アーキテクチャ

組織接続の場合、 tenable-user と tenable-role は管理アカウントでプロビジョニングされます。メンバーアカウントごとに個別の tenable-role が作成され、その信頼ポリシーは管理アカウントの tenable-user ARN を参照します。これにより、1 式の認証情報で Tenable に組織内のすべてのアカウントへのアクセス権を与えることができます。

設定手順については、「 Alibaba Cloud 組織の接続」を参照してください。

アリユンと国際環境

Alibaba Cloudは、2つの別々の環境を運用しています。組織またはアカウントを接続する場合は、デプロイメントに一致する環境タイプを選択します。

Aliyun — Alibaba Cloud China リージョンのアカウント。
国際 — Alibaba Cloud 国際リージョンのアカウント。

同じ統合内で Aliyun と国際アカウントを接続することはできません。組織が両方の環境にまたがっている場合は、別々の統合として接続します。