AWS アカウントの接続

この手順を使用して、個別のアカウントをオンボーディングします。AWS 組織の接続する場合、組織のオンボーディングを続行する前に、まずこの手順に従って管理アカウントを個別にオンボーディングする必要があります。

AWS アカウントをオンボーディングする方法

注意: ウィザードの実行中は、Tenable One Cloud Exposure コンソールと AWS マネジメントコンソールの両方を操作する必要があります。

[設定] > [統合] の順に移動し、[統合を追加] をクリックします。
[統合ライブラリ] で、[AWS アカウント] を選択します。
[アカウントの詳細] で、次の手順を実行します。
1. クラウドサイバーエクスポージャーコンソールに表示するアカウントの名前を入力します。
  注意: AWS マネジメントコンソールとクラウドサイバーエクスポージャーコンソールの両方で同じ命名規則を使用するかどうかを選択できます。別の名前を使用する場合は、必ずコンソール間でアカウント名をマッピングできるようにしておきます。
2. 適切な AWS パーティションが選択されていることを確認します (AWS グローバルまたは AWS 中国)。AWS アカウントが属するパーティション。パーティションは AWS リージョンのグループです。詳細については、AWS ドキュメントを参照してください。
3. リソースをデプロイしているアクティブなリージョンをすべて選択します。
  注意: 組織で使用している特定のリージョンのみが選択されていることを確認してください。選択されていないリージョンは無視されます。SCP や RCP によって無効化されていない、またはブロックされていないリージョンすべてをスキャン用に有効化します。後の段階でデプロイメントを他のリージョンに拡張する場合は、クラウドサイバーエクスポージャーでアカウントを編集し、それらのリージョンを追加する必要があります。
4. [次へ] をクリックします。
[アクセス許可] で、各種機能を有効にするために必要なアクセス許可を Tenable に付与します。

注意: この選択は、最初のオンボーディングの後でも変更できます。Tenable にアクセス許可を付与する必要がある理由の詳細については、必要なアクセス許可を参照してください。
- モニタリング (読み取り専用): すべてのクラウド資産について完全な可視性を確保します。これにはアクセス許可、アカウント使用状況、セキュリティ設定に関する情報が含まれます。オンボーディングアカウントの CloudTrail を読み取るためにアクセス許可の追加が必要になる場合があります。必要なアクセス許可の詳細については、こちらのドキュメントを参照してください。
- データ保護: 機密データを保護するために、クラウドリソースのスキャンと分類を行います。
  
  注意: この機能は、クラウドサイバーエクスポージャーデータ保護を使用しているユーザーを対象としています。詳細については、データ保護を参照してください。JSON 形式のポリシーについては、データリソーススキャンポリシー (データ保護)を参照してください。
- EC2 インスタンスと AMI スキャン (ワークロード保護とデータ保護): EC2 インスタンスと AMI (プライベートマシンイメージとパブリックマシンイメージ) をスキャンして、脆弱性、設定ミス、シークレットや機密データがないか確認します。必要なアクセス許可の詳細については、こちらのドキュメントを参照してください。
  重要: 重要な注意点
  - この機能は、クラウドサイバーエクスポージャーワークロード保護を使用しているユーザーを対象としています。詳細については、ワークロード保護を参照してください。JSON 形式のポリシーについては、付録を参照してください。
  - Tenable は、タグに基づいてバックアップ AMI として識別される AMI のスキャンを防止するために、デフォルトで除外ルールを追加しました。
- ECR スキャン (ワークロード保護): コンテナレジストリをスキャンして、脆弱性と設定ミスがないか確認します。
  
  注意: クラウドサイバーエクスポージャーワークロード保護 (Standard または Enterprise のライセンスが必要) を使用しているユーザーを対象としています。詳細については、ワークロード保護を参照してください。JSON 形式のポリシーについては、付録を参照してください。
- 修正 (読み取りと書き込み): Tenable が環境に変更を加えることを許可します。これにより、たとえば、ワンクリックで検出結果を自動的に修正できます (これらのアクセス許可がなくても、OTP を経由してワンクリック修正が可能です)。必要なアクセス許可の詳細については、こちらのドキュメントを参照してください。
- アカウント割り当てのジャストインタイムアクセス (AWS Identity Center): ユーザーにアカウントへのアクセスを、あらかじめ決められた期間、かつ必要に応じて許可します。オンボーディングを行っているアカウントが管理アカウントである場合、またはそのアカウントに AWS Identity Center を管理するアクセス許可がある場合、追加のアクセス許可が必要になります。必要なアクセス許可の詳細については、こちらのドキュメントを参照してください。
- アプリケーション割り当てのジャストインタイムアクセス (AWS Identity Center): ユーザーに AWS Identity Center によって管理されるアプリケーションへの一時的なアクセスを、あらかじめ決められた期間、かつ必要に応じて許可します。オンボーディングを行っているアカウントが管理アカウントである場合、またはそのアカウントに AWS Identity Center を管理するアクセス許可がある場合、追加のアクセス許可が必要になります。必要なアクセス許可の詳細については、こちらのドキュメントを参照してください。
- CloudTrail (S3): クラウドアクティビティログを分析するには、CloudTrail データを保存する S3 バケットから読み取るアクセス許可が必要です。バケットが現在オンボーディングしているアカウントに属している場合は、このオプションを選択します。詳細については、CloudTrail を参照してください。
  1. 証跡データが保存されているバケットの名前を入力します。
  2. 証跡バケットが AWS KMS で暗号化されているかどうかを示し、暗号化されている場合は KMS キー ARN を入力します。
  
  バケットが別のアカウントに属している場合は、このウィザードの完了後に次のいずれかを行う必要があります。
  1. 個別のアカウント のオンボーディングのみの場合は、他方のアカウントを個別にオンボーディングし、IAM ロール経由で Tenable CloudTrail のアクセス許可を付与します。
  2. 組織全体 のオンボーディングの場合は、組織のオンボーディングを完了してから関連するアカウントを編集し、IAM ロール経由で Tenable CloudTrail のアクセス許可を付与します。
- Amazon Bedrock モデル呼び出しログ (S3): Amazon Bedrock で AI アクティビティをモニタリングするには、モデル呼び出しログを保存する S3 バケットから読み取るアクセス許可が必要です。Amazon Bedrock で AI アクティビティをモニタリングするには、モデル呼び出しログを保存している S3 バケットから読み取るアクセス許可が必要です。詳細については、Amazon Bedrock アクティビティモニタリングの有効化を参照してください。
  
  注意: この機能を使用する前に、Amazon Bedrock でモデル呼び出しログをオンにします。ステップ 1: Amazon Bedrock モデル呼び出しログの有効化を参照してください。
  
  注意: Amazon Bedrock アクティビティのモニタリングは、Tenable One AI Exposure の Amazon Bedrock と Bedrock 資産の AI セキュリティポスチャー管理 (AI-SPM) のカバレッジを完了するランタイム機能です。Amazon Bedrock アクティビティのモニタリングは現在、AI ガバナンスアドオンライセンスで追加料金なしで利用できます。
[次へ] をクリックします。
新しい IAM ロールを作成します。これには、CloudFormation (AWS コンソールまたは AWS CLI 経由) を使用するか、AWS コンソールで手動で作成します。
- CloudFormation (AWS コンソール)
  1. オンボーディングする AWS アカウントにログインします。
  2. ここをクリックしてスタックを作成し、AWS のスタックの作成ウィザードで以下の手順を実行します。
    重要: ここに表示されているリンク、またはウィザードのリンクを使用できます。ただし、ここに表示されているリンクを使用する場合は、Tenable の各ポリシーの true 値や false 値がウィザードのステップ 2 で選択したアクセス許可を反映していることを確認してください。
  3. (オプション) RoleName パラメーターを変更して、IAM ロールに別の名前を選択します。
  4. [I acknowledge that AWS CloudFormation might create IAM resources with custom names] を選択して、[Create Stack] をクリックします。
  5. スタックの作成が完了するまで待ちます。[更新] ボタンをクリックすると進捗状況を追跡できます。
  6. [出力] タブに移動し、TenableRoleArn キーに対応する値をコピーします。
  7. IAM ロール ARN をウィザードに貼り付け、[次へ] をクリックします。
- CloudFormation (AWS CLI)
  1. AWS CLI の最新バージョンで新しいシェルセッションを開きます。CloudFormation スタックを作成するには、管理者権限が必要です。
  2. ウィザードのステップ B に表示されるコマンドをコピーし、お使いのシェルで実行します。
    重要: 以下はコマンドの例ですが、パラメーターと値は選択したアクセス許可によって異なる場合があることに注意してください。
    コピー
    Bash
    aws cloudformation create-stack --stack-name TenableStack --template-url https://tenable- utilities.s3.us-east-2.amazonaws.com/Onboarding/AWS/CloudFormation/Template.json -- capabilities CAPABILITY_NAMED_IAM --parameters ParameterKey=RoleName,ParameterValue=TenableRole ParameterKey=RoleExternalId,ParameterValue=ba2edce3-d9e1-4ae4-8b33-ecd3961aed8c ParameterKey=RoleTrustedPrincipalId,ParameterValue=<aws_account_id> ParameterKey=RoleMonitoringPolicy,ParameterValue=true ParameterKey=RoleRemediationPolicy,ParameterValue=false ParameterKey=RoleJitPolicy,ParameterValue=false ParameterKey=RoleWorkloadProtectionPolicy,ParameterValue=true ParameterKey=CloudTrailBucketName,ParameterValue=- ParameterKey=CloudTrailKeyArn,ParameterValue=-;aws cloudformation wait stack-create-complete --stack-name TenableStack;aws cloudformation describe-stacks --stack-name TenableStack --query "Stacks[].Outputs"
  3. スタックの作成完了後、TenableRoleArn キーに対応する OutputValue をシェルからコピーします。
  4. IAM ロール ARN をウィザードに貼り付け、[次へ] をクリックします。
- 手動 (AWS コンソール)
  1. AWS マネジメントコンソールで、[IAM] > [ロール] の順に移動し、[ロールを作成] をクリックします。
  2. [信頼できるエンティティタイプ] については、[AWS アカウント] を選択します。
  3. AWS アカウントについては、別の AWS アカウントを選択し、AWS 環境のタイプに応じて、ウィザードのステップ 1 に表示される値を反映した、以下のいずれかの数字をアカウント ID として入力します。
    - パブリッククラウド: 081802104111
    - US Gov クラウド: 757023926892
    これは Tenable のアカウント ID です。この ID は 12 桁です。余分なスペースが含まれないようにしてください。
  4. [Options] にある [Require external ID] にチェックを入れます。
  5. アカウントの追加ウィザードのステップ 3 で提供されたロールの外部 ID を入力します。
    注意: ロールの外部 ID は、クラウドサイバーエクスポージャーが顧客アカウントに割り当てる一意の識別子です。この ID は組織用に作成する各アカウントの ID と同一になります。詳細については、https://docs.aws.amazon.com/IAM/latest/UserGuide/confused-deputy.html を参照してください。
  6. ポリシーのリストにある SecurityAudit アクセス許可 ポリシーを検索して選択し、ロールの作成を完了します。Tenable にアクセス許可を付与する必要がある理由の詳細については、必要なアクセス許可を参照してください。
    g. 新しく作成したロールを開きます。
    9.クラウドサイバーエクスポージャーコンソールでウィザードのステップ 3 (IAM ロール) に表示されるポリシーごとに、次の手順を実行してインラインポリシーを作成します。
    1. [アクセス許可の追加] > [インラインポリシーの作成] の順にクリックします。
    2. ウィザードに表示されるポリシーをコピーして、JSON エディターに貼り付けます。以下に例を挙げます。
    3. [次へ] をクリックしてポリシーの作成を完了します。
- IAM ロール ARN をウィザードに貼り付け、[次へ] をクリックします。
CloudTrail を選択します。管理イベント (必須) および S3/Lambda データイベントの CloudTrail を選択します (ウィザードのステップ 5)。Tenable に証跡へのアクセス許可を付与することに関する重要な情報とベストプラクティスについては、CloudTrail を参照してください。
1. [管理イベント] で、クラウドサイバーエクスポージャーがアクティビティログを読み取れるように、管理イベントが有効になっているプライマリ CloudTrail を選択します。
  注意: ここには有効な証跡のみが表示されます。詳細については、CloudTrail を参照してください。
  - 管理イベントとデータイベント (S3、Lambda、またはその両方) のいずれも有効にして単一の CloudTrail を使用する場合は、ドロップダウンからその証跡を選択します。[S3 データイベント] や [Lambda データイベント] フィールドには、ここで選択した CloudTrail 情報が自動的に入力されます。
  - 管理イベントとデータイベント (S3、Lambda、またはその両方) に別々の証跡を使用する場合は、ここで有効にした管理イベントのある CloudTrail を選択し、それぞれのフィールドでデータイベント証跡を選択します。
2. (オプション) [S3 データイベント] や [Lambda データイベント] で、関連する CloudTrail を選択します。詳細については、データイベントに基づく詳細な推奨事項の有効化を参照してください。
3. 証跡ログが保存されている S3 バケットへのアクセス許可をまだ付与していない場合は、画面の指示に従って付与します。
4. CloudTrail の KMS キーが S3 バケットを含むアカウントとは別の AWS アカウントにある場合は、キーへのアクセス権をクラウドサイバーエクスポージャーに付与する必要があります。
[終了] をクリックします。

次のステップ
アカウントが正常に追加されると、そのアカウントは [アカウント] > [AWS] のテーブルに表示されます。ここからアカウントやアカウントの詳細を表示して、どの機能が有効になっているか、必要なアクセス許可が付与されているか、などを確認できます。

アカウントリソースに関するデータがクラウドサイバーエクスポージャーに表示されるようになります。すべてのデータが表示されるまでにかかる時間は、クラウド環境の規模によって異なります。

AWS 中国アカウントのオンボーディング

個別の AWS 中国アカウントをクラウドサイバーエクスポージャーにオンボーディングします。アカウントをオンボーディングする際に、クラウドサイバーエクスポージャーがアカウントからデータをコピーすることはありません。Tenable は、設定メタデータと CloudTrail イベントログ (オプション) のみをコピーします。この情報は、クラウドサイバーエクスポージャーをデプロイしたリージョンに保存されます。

オンボーディングは個別アカウントでのみ利用可能です。組織では利用できません。
AWS 中国アカウントは、次の特徴と機能をサポートしています。
- CIEM/CSPM
- アカウント内スキャンの設定 (Enterprise ライセンス)
- アカウント内スキャンの設定 (Enterprise ライセンス)
Tenable は AWS 中国にサーバーを展開していません。代わりに、資産設定 (およびオプションでイベントログ) は、AWS 中国から Tenable ホストリージョン別の地域 (米国など) にコピーされます。このデータは、中国以外のアカウントから同期されたデータと一緒に保存されます。

AWS 中国アカウントをオンボーディングする方法

IAM ユーザーの作成
1. お使いの中国アカウントの AWS マネジメントコンソールで、[IAM] > [ユーザー] の順に移動します。
  
  注意: 中国アカウントを複数お持ちの場合、どのアカウントでもユーザーを作成できます。どれでも構いません。
2. [ユーザーの作成] をクリックします。
3. 意味のあるユーザー名を入力します。
4. [AWS マネジメントコンソールへのユーザーアクセスを提供する] チェックボックスが選択されていないことを確認します。
5. [次へ] をクリックします。
6. [許可を設定] ページで、設定を変更せずに [次へ] をクリックします。
7. ユーザーの詳細を確認し、[ユーザーの作成] をクリックします。
インラインポリシーを追加します。
1. [ユーザー] テーブルで、作成したばかりのユーザーをクリックします。
2. [アクセス許可] で、[アクセス許可を追加] > [インラインポリシーを作成] の順にクリックします。
3. ポリシーエディターで JSON をクリックし、以下のコードをエディターに貼り付けます。
  コピー
  
  JSON
```
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": "arn:aws-cn:iam::*:role/tenable-cs-role"
    }
  ]
}
```
  注意:
  - tenable-cs-role は上記のポリシーでロール名として使用されていますが、必要に応じて名前を変更できます。
  - この後アカウントのオンボーディング中に必要となるため、このロール名を保存します (デフォルト: tenable-cs-role)。
4. [次へ] をクリックします。
5. 意味のあるポリシー名を入力してから [ポリシーの作成] をクリックします。
アクセスキーを作成します。

注意: 複数のアカウントに対して 1 つのアクセスキーを作成できます。アカウントを追加するたびにこの手順を繰り返す必要はありません。
1. 作成したユーザーについて、[セキュリティ認証情報] で [アクセスキーを作成] をクリックします。
2. [サードパーティーサービス] を選択し、[次へ] をクリックします (チェックボックスを選択して確定します)。
3. [アクセスキーを作成] をクリックします。
4. [アクセスキーを取得] ページでアクセスキーとシークレットアクセスキーの値を安全に保存し、[完了] をクリックします。
サポートへの問い合わせ。し、作成した IAM ロールのアクセスキーとシークレットを安全に提供してください。
サポートはこの情報を使用して、アカウントのオンボーディング中に AWS 中国をパーティションとして使用できるようにします。
AWS 中国アカウントを接続し、次のことに留意してください。
- オンボーディングウィザードのステップ 1 で、[AWS パーティション] から [中国] を選択します。
- オンボーディングウィザードのステップ 3 で、作成する IAM ロールに、以前作成したポリシーのロールと同じ名前が付けられていることを確認してください (デフォルト: tenable-cs-role)。