Alibabaクラウド組織の接続

Alibaba Cloud 組織を接続して、現在および将来のすべてのアカウントを個別に追加せずに自動的にオンボーディングします。

前提条件

始める前に

  • Alibaba Cloud アカウントに十分な権限を付与し、Resource Manager ディレクトリをクエリし、ROS スタックとスタックグループを作成し、RAM ロール、ユーザー、ポリシー、ポリシー添付ファイルを作成し、メンバーアカウント全体で RAM アクセスキーを生成します。
  • ROS 展開スクリプトを実行する前に、有効な認証情報を使って Aliyun CLI をインストールし、設定してください。
  • Terraform 固有
    • Terraform CLI v0.13 以上をインストールしていることを確認します。
    • terraform initが既存の設定と競合することなく、クラウドプロバイダー v1.252+ Alibabaダウンロードしてインストールできるようにします。
    • アクセスキーファイルが安全に処理できる場所で Terraform が実行されていることを確認します。

Alibabaクラウド組織の接続

Alibaba Cloud 組織を接続するには:

  1. Tenable One Cloud Exposure コンソールで、[設定] > [統合] の順に移動し、[統合を追加] をクリックします。
  2. 統合ライブラリで、[Alibaba Cloud Organization] をクリックします。[Alibaba Cloud Organization] ウィザードが開きます。
  3. 設定ステップ (ステップ 1/2) で、次の操作を実行します。
    1. 統合の名前を入力します。
    2. 組織に一致する Alibaba Cloud 環境タイプを選択します。
      • Aliyun: Alibaba Cloud China リージョンのアカウント。
      • 国際: Alibaba Cloud 国際リージョンのアカウント。

    3. [機能] で、有効にする機能を選択します。この選択により、必要なアクセス許可が決定され、デプロイメントスクリプトが動的に更新されます。詳細については、「 Alibaba Cloudの必要なアクセス許可を参照してください。

      注意: Tenable では、最も包括的なセキュリティカバレッジを提供するために、利用可能なすべての機能 (近日公開予定と表示されている機能を含む) を有効にすることを推奨しています。これらを有効にすると、デプロイメントスクリプトが最初から必要なアクセス許可を付与するようになりました。後でこれらを有効にする場合は、スクリプトを再デプロイして、 Tenableに付与されているアクセス許可を更新する必要があります。
      • モニタリング (読み取り専用): デフォルトで選択されています。すべてのクラウド資産について完全な可視性を確保します。これにはアクセス許可、コンパートメント使用状況、データとセキュリティの設定に関する情報が含まれます。
      • データリソーススキャン (データ保護): クラウドリソースをスキャンして分類します。
      • ワークロード保護: 仮想マシンインスタンスとコンテナイメージレジストリをスキャンして、脆弱性と設定ミスがないか確認します。(近日公開)

    4. [デプロイメント] で、次のいずれかのデプロイオプションを選択します。

      • ROS。 スクリプトベースのデプロイ。 Aliyun CLI を使用して、Alibaba Cloud 環境のウィザードに表示されているスクリプトを実行します。詳細を見る
      • Terraform - モジュールベースのデプロイメント。 デプロイする前に、 Terraform 固有の前提条件 を参照してください。
        1. クラウドサイバーエクスポージャー ウィザードに表示される最初の呼び出しをコピーし、Terraform 設定に追加して、 terraform apply を実行します。モジュールにより、RAM ユーザーとアクセスキーが作成されます。
        2. Terraform の出力からユーザー ARN を取得し、[User ARN] (ユーザー ARN) フィールドに入力します。
        3. クラウドサイバーエクスポージャー ウィザードに表示される 2 つ目の呼び出しをコピーし、Terraform メンバーアカウント設定に追加して、 terraform applyを実行します。このモジュールは RAM ロールを作成し、環境に接続してスキャンするアクセス許可を Tenable に付与します。
      • 手動 - 手動で、Alibaba Cloud RAMコンソールから。ステップバイステップの手順については、「 Alibaba Cloud 組織を手動でデプロイする を参照してください。
      警告: 手動のデプロイメントが完了したら、ウィザードに戻り、「ポスト・デプロイメント」と「ステップ 2: スコープ」を完了します。
    5. [デプロイメント後] に、次の値を入力します。
      • 値を取得する方法
        • ROS: スタック作成の完了後にスクリプト出力の値をコピーします。
        • Terraform: Terraform 出力から値を取得します。
        • 手動: これらの値を取得する方法については、 Alibaba Cloud 組織を手動でデプロイする を参照してください。
      • 共通の統合値
        • これらの値は、組織およびそのすべてのメンバーアカウントで同一である必要があります。
        • 組織が接続されている場合、これらのフィールドは組織レベルでのみ更新できます。変更はすべてのメンバーアカウントに自動的に反映されます。
      • メインアカウントロール ARN: 管理アカウントで作成された RAM ロールの ARN。
      • アクセスキー ID: Tenable RAM ユーザー用に作成されたアクセスキーの ID。Terraform の場合は、Terraform によって保存されたアクセスキーファイルから ID を取得します。
      • Access Key Secret: Tenable RAM ユーザー用に作成されたアクセスキーのシークレット。Terraform の場合は、Terraform によって保存されたアクセスキーファイルからシークレットを取得します。
    6. 完了したら、[次へ] をクリックします。

  4. 範囲ステップ (ステップ 2/2) で、次の操作を実行します。

    1. (オプション) [コンパートメント構造を自動的に更新] を選択して、コンパートメントの構造を Tenable 内のフォルダーとしてミラーリングし、その階層を維持して、ビューを同期させます。詳細については、アカウント階層とフォルダーを参照してください。
    2. [範囲] で、オンボーディングするコンパートメントを選択します。
    • 現在および将来のすべてのアカウントを同期する (推奨)
    • 特定のフォルダーとアカウントを含める
    • 特定のフォルダーとアカウントを除外する

    注意:

    • フォルダー全体を含めたり除外したりすると、そのフォルダー内の現在および将来のアカウントすべてが含まれるか、または除外されます。
    • フォルダーで特定のアカウントを含めたり除外したりすると、選択したアカウントのみが含まれるか、または除外されます。
  5. [終了] をクリックします。
注意: ROS スタックの作成後、アクセス許可の変更が Alibaba Cloud 組織全体に反映されるまでに数分かかる場合があります。[完了] をクリックしたときにエラーが表示された場合は、数分待ってからもう一度お試しください。

次のステップ

組織が正常に接続されたら次の操作を実行します。

  • 組織は、[Settings > 統合] で確認できます。
  • 組織に属するアカウントは、 Settings > [組織] > [アカウント] > Alibaba クラウドで確認できます。ここから、 アカウント したり、アカウントの詳細を表示したりして、どの機能が有効になっているか、必要なアクセス許可が付与されているか、などを確認できます。

アカウントリソースに関するデータが クラウドサイバーエクスポージャーに表示されるようになります。すべてのデータが表示されるまでにかかる時間は、クラウド環境の規模によって異なります。

Alibaba Cloud 組織を手動でデプロイする

注意: 手動のデプロイメントが完了したら、 ウィザードに戻り、「 ポスト・デプロイメント」と「ステップ 2: スコープ」を完了します。

ROS スクリプトの代わりに、Alibaba Cloud RAM コンソールを使用して Alibaba Cloud 組織を手動でデプロイできます。これらの手順は、Alibaba Cloud組織の接続時にデプロイメントタイプとして 「手動」 を選択した場合に適用されます。

  1. RAM ユーザーとアクセスキーを作成する
  2. Tenable の RAM ロールを作成する
  3. カスタムポリシーの作成
  4. ポリシーの割り当て
  5. メンバーアカウントでロールを設定する

RAM ユーザーとアクセスキーを作成する

専用 RAM ユーザーを作成し、Tenable が認証に使用するアクセスキーを生成します。最初にこのステップを完了してください。RAM ロールを作成するときに、ユーザー ARN が必要になります。

  1. RAM コンソールで、[アイデンティティ] > [ユーザー] に移動します。
  2. [ユーザーの作成] をクリックします。
  3. [ユーザーログイン名] に tenable-user と入力します。
  4. [アクセス設定] セクションで、[永続的なアクセスキー] を選択します。
  5. AccessKey を作成する必要があることを確認します。
  6. [OK] をクリックします。
  7. 確認ページに表示されている AccessKey ID と AccessKey Secret をコピーして保存します。シークレットは後で取得できません。Tenable ウィザードの [Post Deployment] セクションに両方の値を入力します。
  8. [ユーザー] ページで、[ tenable-user ] をクリックして詳細を開きます。
  9. [アクセス許可] タブを選択し、[アクセス許可の付与] をクリックします。
  10. [リソース範囲] で、[アカウント] を選択します。
  11. AliyunSTSAssumeRoleAccess ポリシーを選択し、[OK] をクリックします。

Tenable の RAM ロールを作成する

Tenable が組織へのアクセスと監視に使用する専用の RAM ロールを作成します。ロールの信頼ポリシーにより、 tenable-user ロールを引き受けるアクセス許可が付与されます。

  1. RAM コンソールで、[アイデンティティ] > [ロール] に移動します。
  2. [ロールの作成] をクリックします。
  3. [プリンシパルタイプ] で、[クラウドアカウント] を選択します。
  4. [ポリシーエディターに切り替える] をクリックします。
  5. [クラウドアカウント] で、[編集] をクリックします。
  6. [アイデンティティタイプ] で、[RAM ユーザー] を選択します。
  7. [ユーザー名] に tenable-user と入力します。
  8. [OK] をクリックします。
  9. [アクション] で、 sts:AssumeRole を選択します。
  10. [OK] をクリックします。
  11. [ロール名] に「 tenable-role 」と入力して [OK] をクリックします。
  12. [ロール] ページで、[ tenable-role ] をクリックして詳細を開きます。
  13. ARN をコピーして保存します。この値は、Tenable ウィザードの [デプロイ メント後] セクションにメイン アカウントロール ARN として入力します。

カスタムポリシーの作成

ウィザードで選択した各機能のカスタム RAM ポリシーを作成します。機能ごとの必要なアクセス許可の完全なリストについては、「 Alibaba の必要なアクセス許可」を参照してください。

  1. RAM コンソールで、[アクセス許可] > [ポリシー] に移動します。
  2. 「 ポリシーの作成」 をクリックし、「 JSON エディター」を選択します。
  3. JSON エディターに Alibaba Cloud の必要なアクセス許可 のポリシーを貼り付けて、 モニタリング (読み取り専用) ポリシーを作成します。
  4. [OK] をクリックします。
  5. [ポリシー名] に tenable-monitoring-policy と入力し、[OK] をクリックします。
  6. (オプション)[Policies] (ポリシー ) ページに戻り、 ワークロード保護 ポリシーを作成します。
    1. JSON エディターに Alibaba Cloud の必要なアクセス許可 のポリシーを貼り付けます。
    2. [OK] をクリックします。
    3. [ポリシー名] に tenable-workload-policy と入力し、[OK] をクリックします。
  7. (オプション)[ポリシー] ページに戻り、 データリソーススキャン (データ保護) ポリシーを作成します。
    1. JSON エディターに Alibaba Cloud の必要なアクセス許可 のポリシーを貼り付けます。
    2. [OK] をクリックします。
    3. [ポリシー名] に tenable-data-scanning-policy と入力し、[OK] をクリックします。

ポリシーの割り当て

作成したポリシーを tenable-role に割り当てます。

  1. RAM コンソールで、[アイデンティティ] > [ロール] に移動します。
  2. tenable-roleを開き、[アクセス許可の付与] をクリックします。
  3. [Policy] ( ポリシー ) セクションで、 カスタムポリシーの作成作成したポリシーを選択します。
  4. [OK]、[閉じる] の順にクリックします。

メンバーアカウントでロールを設定する

上記の手順は、管理アカウントでのみ tenable-role と tenable-user をプロビジョニングします。メンバーアカウントを クラウドサイバーエクスポージャー 可視化するには、各メンバーアカウントに tenable-role を複製し、同じポリシーを付与する必要があります。

各メンバーアカウントについて:

  1. RAM コンソールを開き、メンバーアカウントにログインします。
  2. カスタム カスタムポリシーの作成 の手順を繰り返して、そのアカウントに同じポリシーを作成します。
  3. 「Create a RAM Role for Tenable 」の手順を繰り返して、Tenable ロールを作成します。クラウドアカウントを編集する場合は、その他のアカウントを選択し、管理アカウントのアカウント ID を入力します。[ユーザー名] に tenable-user を入力します。
  4. ポリシーの ポリシーの割り当て の手順を繰り返して、同じポリシーをメンバーアカウントの tenable-roleに割り当てます。