AWS 組織の接続

AWS 組織の接続

AWS 組織全体を接続することで、多数のアカウントがあるクラウド環境での接続プロセスを迅速化かつ自動化できます。これにより、以下が可能になります。

  • すべてのアカウントを同時に Tenable に接続できる。
  • 後の段階で AWS に追加された新しいアカウントを自動的に接続できる。
  • プラットフォーム機能の全範囲に関連する可視性を確保できる (組織と個人のアカウントの接続に関する考慮事項を参照してください)

前提条件

AWS アカウントの接続手順で、組織の管理アカウントを Tenable One Cloud Exposure にオンボーディングします。

組織の接続

AWS 組織を接続する方法

ウィザードの実行中は、クラウドサイバーエクスポージャー コンソールと AWS マネジメントコンソールの両方を操作する必要があります。

  1. クラウドサイバーエクスポージャー コンソールで、[設定] > [統合] の順に移動し、[統合を追加] をクリックします。
  2. [統合ライブラリ] で、[AWS 組織] を選択します。

  3. [管理アカウントを選択] で、すでにオンボーディングされている管理アカウントを選択します。前提条件を参照してください。

    組織の管理アカウントをオンボーディングしていない場合は、ドロップダウンに表示されません。

  4. [組織の詳細] で、次の手順を実行します。

    1. 組織名とロール名が正しいことを確認します。

      注意:

      • 組織名とは組織の ID です。AWS Organizations コンソールで確認できます。
      • 過去に個別のアカウントを クラウドサイバーエクスポージャー に接続したことがある場合は、ここで選択する IAM ロールの名前が、それらのアカウントに使用されているロール名とは異なることを確認してください。使用されていた他のロールは、このウィザードで StackSets をデプロイした後に安全に削除できます。

    2. メンバーアカウントにデフォルト名を使用している場合、すべてのメンバーアカウントで使用される CloudTrail の名前を選択します。すべてのメンバーアカウントで CloudTrail のデフォルト名を使用していない場合でも、組織の接続後に個別のアカウントに対して CloudTrail を設定できます。このフィールドにはワイルドカード文字 (*) を入力できます (例: Organization-Trail-* は Organization-Trail-1234 を選択します)。

      重要: 組織の接続が完了した後、証跡を含む S3 バケットへのアクセス権を Tenable に付与する必要があります。そのためには、クラウドサイバーエクスポージャー で、バケットが配置されている対象アカウントを編集し、IAM ロールを介して Tenable に CloudTrail のアクセス許可を付与します。バケットが管理アカウントにある場合は、アカウントの接続時にすでにアクセス許可を付与してある可能性があります。

    3. リソースをデプロイしているアクティブなリージョンをすべて選択します。

      組織で使用している特定のリージョンのみが選択されていることを確認してください。選択されていないリージョンは無視されます。SCP や RCP によって無効化されていない、またはブロックされていないリージョンすべてをスキャン用に有効化します。後の段階でデプロイメントを他のリージョンに拡張する場合は、クラウドサイバーエクスポージャー でアカウントを編集し、それらのリージョンを追加する必要があります。

    4. フォルダー構造を自動的に更新するかどうかを選択します。

      AWS 組織単位のフォルダー構造をプラットフォームにコピーし、アカウント階層は維持したままで、継続的に同期します。詳細は、アカウント階層とフォルダーを参照してください。

  5. [次へ] をクリックします。
  6. [アクセス許可] で、各種機能を有効にするために必要なアクセス許可を Tenable に付与します。詳細については、必要なアクセス許可を参照してください。
    • モニタリング (読み取り専用): すべてのクラウド資産について完全な可視性を確保します。これにはアクセス許可、アカウント使用状況、セキュリティ設定に関する情報が含まれます。オンボーディングアカウントの CloudTrail を読み取るためにアクセス許可の追加が必要になる場合があります。

    • データ保護: 機密データを保護するために、クラウドリソースのスキャンと分類を行います。

      注意: この機能は、クラウドサイバーエクスポージャー データ保護を使用しているユーザーを対象としています。詳細については、データ保護を参照してください。JSON 形式のポリシーについては、データリソーススキャンポリシー (データ保護)を参照してください。

    • EC2 インスタンスと AMI スキャン (ワークロード保護とデータ保護)。EC2 インスタンスと AMI (プライベートマシンイメージとパブリックマシンイメージ) をスキャンして、脆弱性、設定ミス、シークレットや機密データがないか確認します。必要なアクセス許可の詳細については、こちらのドキュメントを参照してください。

      重要: 重要な注意点

      • この機能は、クラウドサイバーエクスポージャー ワークロード保護を使用しているユーザーを対象としています。詳細については、ワークロード保護を参照してください。JSON 形式のポリシーについては、付録を参照してください。
      • Tenable は、タグに基づいてバックアップ AMI として識別される AMI のスキャンを防止するために、デフォルトで除外ルールを追加しました。

    • ECR スキャン (ワークロード保護): コンテナレジストリをスキャンして、脆弱性と設定ミスがないか確認します。

      クラウドサイバーエクスポージャー ワークロード保護 (Standard または Enterprise のライセンスが必要) を使用しているユーザーを対象としています。詳細については、ワークロード保護を参照してください。JSON 形式のポリシーについては、付録を参照してください。

    • 修正 (読み取りと書き込み): Tenable が環境に変更を加えることを許可します。この許可により、検出結果をワンクリックで自動修正できるようになります。必要なアクセス許可の詳細については、こちらのドキュメントを参照してください。
  7. [次へ] をクリックします。
  8. CloudFormation (AWS コンソールまたは AWS CLI 経由) を使用して IAM ロールを作成します。
    • CloudFormation (AWS コンソール)
      1. 組織の AWS 管理アカウントにログインします。
      2. [CloudFormation] > [StackSets] の順に移動します。
      3. [StackSets の作成] をクリックします。
      4. ステップ 1 (テンプレートの選択) で、[アクセス許可] セクションと [前提条件 - テンプレートの準備] セクションのデフォルト値はそのままにして、[テンプレートの指定] セクションでデプロイメントタイプに応じて以下のいずれかを入力します。両方のタイプで、次の S3 URL/テンプレートを使用します。 https://tenable-utilities.s3.us-east-2.amazonaws.com/Onboarding/AWS/CloudFormation/Template.json
        • 標準 AWS 企業 (商用): Amazon S3 の URL を選択し、上記の URL を入力します。
        • AWS GovCloud (米国) 組織: [テンプレートファイルをアップロード] を選択します。上記のテンプレートを JSON ファイルとしてダウンロードし、ここにアップロードします。
      5. [次へ] をクリックします。
      6. ステップ 2 (StackSets の詳細を指定) で、StackSets 名と、必要に応じて説明を入力します。
      7. クラウドサイバーエクスポージャー コンソールの [AWS 組織を追加] ウィザードに記載されているパラメーター値を入力します。
      8. [次へ] をクリックします。
      9. ステップ 3 (StackSets オプションの設定) では、デフォルト値をそのまま変えずに [次へ] をクリックします。
      10. ステップ 4 (デプロイメントオプションの設定) で、[組織へのデプロイ] か [組織単位 (OU) へのデプロイ] のいずれかを選択します。他のデフォルト値はそのままにします。
      11. [リージョンの指定] セクションで単一のリージョンを選択します (IAM ロールはリージョンを特定するものではありません)。
      12. [次へ] をクリックします。
      13. ステップ 5 (レビュー) で StackSets の設定を確認します。[AWS CloudFormation によって IAM リソースがカスタム名で作成される場合があることを承認します] を選択して、[送信] をクリックします。
      14. スタックの作成が完了するまで待ちます。[更新] ボタンをクリックすると進捗状況を追跡できます。
      15. [クラウドサイバーエクスポージャー コンソール] [次へ] をクリックします。
    • CloudFormation (AWS CLI)
      1. 組織の AWS 管理アカウントにログインします。
      2. AWS CLI の最新バージョンで新しいシェルセッションを開きます。CloudFormation スタックを作成するには、管理者権限が必要です。
      3. クラウドサイバーエクスポージャー コンソールに表示されるコマンドをコピーし、お使いのシェルで実行します。
    1. AWS マネジメントコンソールで、[CloudFormation] > [StackSets] の順に移動し、新しく作成した StackSets を開きます。
    2. スタックの作成が完了するまで待ちます。[更新] ボタンをクリックすると進捗状況を追跡できます。
    3. [クラウドサイバーエクスポージャー コンソール] [次へ] をクリックします。

  9. [範囲を設定] で、オンボーディングする組織単位 (OU) とアカウントを選択します。

    • すべてのアカウントを同期する (推奨)
    • 特定の OU とアカウントを含める
    • 特定の OU とアカウントを除外する

    注意:

    • OU 全体を含めると OU 内の現在および将来的なアカウントがすべて含まれ、OU 全体を除外するとすべて除外されます。
    • 特定のアカウントを含めるとそのアカウントのみが含まれ、特定のアカウントを除外するとそのアカウントのみが除外されます。
  10. [終了] をクリックします。

次のステップ

組織が正常に追加された後

  • 組織は、[組織] > [アカウント] ページで確認できます。
  • 組織に属するアカウントは、[アカウント] > [AWS] ページで確認できます。ここからアカウントやアカウントの詳細を表示して、どの機能が有効になっているか、必要なアクセス許可が付与されているか、などを確認できます。

アカウントリソースに関するデータが クラウドサイバーエクスポージャー に表示されるようになります。すべてのデータが表示されるまでにかかる時間は、クラウド環境の規模によって異なります。