Alibaba Cloud アカウントの接続

個々の Alibaba Cloud アカウントを接続して、そのリソース、構成、セキュリティ体制を可視化します。

注意: 複数のアカウントを個別に追加せずに接続するには、「 Alibaba Cloud 組織の接続」を参照してください。

前提条件

始める前に

ロール、ユーザー、アクセスキー、ROSスタックを作成するAlibaba Cloudアカウントに十分な権限を付与します。
ROS 展開スクリプトを実行する前に、有効な認証情報を使って Aliyun CLI をインストールし、設定してください。
Terraform 固有
- Terraform CLI v0.13 以上をインストールしていることを確認します。
- terraform initが既存の設定と競合することなく、クラウドプロバイダー v1.252+ Alibabaダウンロードしてインストールできるようにします。
- アクセスキーファイルが安全に処理できる場所で Terraform が実行されていることを確認します。

Alibaba Cloud アカウントの接続

Alibaba Cloud アカウントを接続するには:

Tenable One Cloud Exposure コンソールで、[設定] > [統合] の順に移動し、[統合を追加] をクリックします。
統合ライブラリで、[Alibaba Cloud Account] をクリックします。Alibaba Cloud アカウントウィザードが開きます。
ウィザードで次の操作を実行します。
1. 統合の名前を入力します。
2. 組織に一致する Alibaba Cloud 環境タイプを選択します。
  - Aliyun: Alibaba Cloud China リージョンのアカウント。
  - 国際: Alibaba Cloud 国際リージョンのアカウント。
3. [機能] で、有効にする機能を選択します。この選択により、必要なアクセス許可が決定され、デプロイメントスクリプトが動的に更新されます。詳細については、「 Alibaba Cloudの必要なアクセス許可を参照してください。
  注意: Tenable では、最も包括的なセキュリティカバレッジを提供するために、利用可能なすべての機能 (近日公開予定と表示されている機能を含む) を有効にすることを推奨しています。これらを有効にすると、デプロイメントスクリプトが最初から必要なアクセス許可を付与するようになりました。後でこれらを有効にする場合は、スクリプトを再デプロイして、 Tenableに付与されているアクセス許可を更新する必要があります。
  - モニタリング (読み取り専用): デフォルトで選択されています。すべてのクラウド資産について完全な可視性を確保します。これにはアクセス許可、コンパートメント使用状況、データとセキュリティの設定に関する情報が含まれます。
  - データリソーススキャン (データ保護): クラウドリソースをスキャンして分類します。
  - ワークロード保護: 仮想マシンインスタンスとコンテナイメージレジストリをスキャンして、脆弱性と設定ミスがないか確認します。(近日公開)
4. [デプロイメント] で、次のいずれかのデプロイオプションを選択します。
  - ROS。 スクリプトベースのデプロイ。Aliyun CLI を使用して、Alibaba Cloud 環境のウィザードに表示されているスクリプトを実行します。詳細を見る
  - Terraform - モジュールベースのデプロイメント。デプロイする前に、 Terraform 固有の前提条件を参照してください。
    1. クラウドサイバーエクスポージャーウィザードに表示される最初の呼び出しをコピーし、Terraform 設定に追加して、 terraform apply を実行します。モジュールにより、RAM ユーザーとアクセスキーが作成されます。
    2. Terraform の出力からユーザー ARN を取得し、[User ARN] (ユーザー ARN) フィールドに入力します。
    3. クラウドサイバーエクスポージャーウィザードに表示される 2 つ目の呼び出しをコピーし、Terraform メンバーアカウント設定に追加して、 terraform applyを実行します。このモジュールは RAM ロールを作成し、環境に接続してスキャンするアクセス許可を Tenable に付与します。
  - 手動 - 手動で、Alibaba Cloud RAMコンソールから。ステップバイステップの手順については、「 Alibaba Cloud アカウントを手動でデプロイするを参照してください。
  警告: 手動のデプロイメントが終了したら、ウィザードに戻ってポスト・デプロイメントを完了し、「 完了」 をクリックします。
5. [デプロイメント後] に、次の値を入力します。
  注意:
  - ROS: スタック作成の完了後にスクリプト出力の値をコピーします。
  - Terraform: Terraform 出力から値を取得します。
  - 手動: これらの値を取得する方法については、 Alibaba Cloud アカウントを手動でデプロイするを参照してください。
  - ロール ARN: アカウントで作成された RAM ロールの ARN。
  - アクセスキー ID: Tenable RAM ユーザー用に作成されたアクセスキーの ID。Terraform の場合は、Terraform によって保存されたアクセスキーファイルから ID を取得します。
  - Access Key Secret: Tenable RAM ユーザー用に作成されたアクセスキーのシークレット。Terraform の場合は、Terraform によって保存されたアクセスキーファイルから ID を取得します。
[終了] をクリックします。

注意: アクセス許可の変更が Alibaba Cloud アカウントに反映されるまで、数分かかる場合があります。[完了] をクリックしたときにエラーが表示された場合は、数分待ってからもう一度お試しください。

次のステップ

アカウントが正常に接続されると、そのアカウントは Alibaba Cloud Settings> > [組織] > [アカウント] に表示されます。ここから、アカウントしたり、アカウントの詳細を表示したりして、どの機能が有効になっているか、必要なアクセス許可が付与されているかなどを確認できます。

アカウントリソースに関するデータがクラウドサイバーエクスポージャーに表示されるようになります。すべてのデータが表示されるまでにかかる時間は、クラウド環境の規模によって異なります。

Alibaba Cloud アカウントを手動でデプロイする

注意: 手動のデプロイメントが終了したら、ウィザードに戻り、「デプロイメント後のデプロイメント」セクションを完了します。

ROS スクリプトの代わりに、Alibaba Cloud RAM コンソールから Alibaba Cloud アカウントを手動でデプロイできます。これらの手順は、Alibaba Cloud アカウントの接続時にデプロイメントタイプとして [手動] を選択した場合に適用されます。

RAM ユーザーとアクセスキーを作成する
Tenable の RAM ロールを作成する
カスタムポリシーの作成
ポリシーの割り当て

RAM ユーザーとアクセスキーを作成する

専用 RAM ユーザーを作成し、Tenable が認証に使用するアクセスキーを生成します。最初にこのステップを完了してください。RAM ロールを作成するときに、ユーザー ARN が必要になります。

RAM コンソールで、[アイデンティティ] > [ユーザー] に移動します。
[ユーザーの作成] をクリックします。
[ユーザーログイン名] に tenable-user と入力します。
[アクセス設定] セクションで、[永続的なアクセスキー] を選択します。
AccessKey を作成する必要があることを確認します。
[OK] をクリックします。
確認ページに表示されている AccessKey ID と AccessKey Secret をコピーして保存します。シークレットは後で取得できません。Tenable ウィザードの [Post Deployment] セクションに両方の値を入力します。
[ユーザー] ページで、[ tenable-user ] をクリックして詳細を開きます。
[アクセス許可] タブを選択し、[アクセス許可の付与] をクリックします。
[リソース範囲] で、[アカウント] を選択します。
AliyunSTSAssumeRoleAccess ポリシーを選択し、[OK] をクリックします。

Tenable の RAM ロールを作成する

アカウントへのアクセスと監視のために Tenable が使用する専用の RAM ロールを作成します。ロールの信頼ポリシーにより、 tenable-user ロールを引き受けるアクセス許可が付与されます。

始める前に、Alibaba Cloud アカウント ID を見つけます。Alibaba Cloud コンソールの右上隅にあります。

RAM コンソールで、[アイデンティティ] > [ロール] に移動します。
[ロールの作成] をクリックします。
[プリンシパルタイプ] で、[クラウドアカウント] を選択します。
[ポリシーエディターに切り替える] をクリックします。
[クラウドアカウント] で、[編集] をクリックします。
[アイデンティティタイプ] で、[RAM ユーザー] を選択します。
[ユーザー名] に tenable-user と入力します。
[OK] をクリックします。
[アクション] で、 sts:AssumeRole を選択します。
[OK] をクリックします。
[ロール名] に「 tenable-role 」と入力して [OK] をクリックします。
[ロール] ページで、[ tenable-role ] をクリックして詳細を開きます。
ARN をコピーして保存します。この値は、Tenable ウィザードの [デプロイ メント後] セクションにメイン アカウントロール ARN として入力します。

カスタムポリシーの作成

ウィザードで選択した各機能のカスタム RAM ポリシーを作成します。機能ごとの必要なアクセス許可の完全なリストについては、「 Alibaba Cloudの必要なアクセス許可を参照してください。

RAM コンソールで、[アクセス許可] > [ポリシー] に移動します。
「 ポリシーの作成」 をクリックし、「 JSON エディター」を選択します。
JSON エディターに Alibaba Cloud の必要なアクセス許可のポリシーを貼り付けて、 モニタリング (読み取り専用) ポリシーを作成します。
[OK] をクリックします。
[ポリシー名] に tenable-monitoring-policy と入力し、[OK] をクリックします。
(オプション)[Policies] (ポリシー ) ページに戻り、 ワークロード保護 ポリシーを作成します。
1. JSON エディターに Alibaba Cloud の必要なアクセス許可のポリシーを貼り付けます。
2. [OK] をクリックします。
3. [ポリシー名] に tenable-workload-policy と入力し、[OK] をクリックします。
(オプション)[ポリシー] ページに戻り、 データリソーススキャン (データ保護) ポリシーを作成します。
1. JSON エディターに Alibaba Cloud の必要なアクセス許可のポリシーを貼り付けます。
2. [OK] をクリックします。
3. [ポリシー名] に tenable-data-scanning-policy と入力し、[OK] をクリックします。

ポリシーの割り当て

作成したポリシーを tenable-role にアタッチします。

ポリシーの割り当て

作成したポリシーを tenable-role に割り当てます。

RAM コンソールで、[アイデンティティ] > [ロール] に移動します。
tenable-roleを開き、[アクセス許可の付与] をクリックします。
[Policy] ( ポリシー ) セクションで、カスタムポリシーの作成作成したポリシーを選択します。
[OK]、[閉じる] の順にクリックします。