Azure の必要なアクセス許可

Microsoft Entra ID および Azure サブスクリプション/組織を Tenable One Cloud Exposureに接続するには、次のアクセス許可が必要です。

Microsoft Entra ID のアクセス許可

Microsoft Entra ID の クラウドサイバーエクスポージャー コネクタアプリケーションに必要な設定をデプロイすると、 Tenable に以下のアクセス許可が付与されます。

  • ユーザーの基本プロファイルの表示 (profile)。ユーザーの基本プロファイル (名前、写真、ユーザー名、メールアドレスなど) をアプリで表示できるようにします。
  • すべての監査ログデータの読み取り (AuditLog.Read.All)。サインインしたユーザーがいなくても、アプリで監査ログアクティビティを読み取り、クエリできるようにします。
  • ディレクトリデータの読み取り (Directory.Read.All)。サインインしたユーザーがいなくても、アプリで組織のディレクトリ内のデータ (ユーザー、グループ、アプリなど) を読み取ることができるようにします。
  • 組織のポリシーの読み取り (Policy.Read.All)。サインインしたユーザーがいなくても、アプリが組織のポリシーをすべて読み取ることができます。
  • Azure AD グループへのアクセスに関する割り当てスケジュールの読み取り (PrivilegedAssignmentSchedule.Read.AzureADGroup)。サインインしたユーザーがいなくても、アプリで Microsoft Entra ID グループへのアクセスに関する時間ベースの割り当てスケジュールを読み取ることができます。
  • Azure AD グループへのアクセスに関する資格スケジュールの読み取り (PrivilegedEligibilitySchedule.Read.AzureADGroup)。サインインしたユーザーがいなくても、アプリで Microsoft Entra ID グループへのアクセスに関する時間ベースの資格スケジュールを読み取ることができます。
  • すべての RBAC プロバイダーのロール管理データの読み取り (RoleManagement.Read.All)。サインインしたユーザーがいなくても、アプリですべての RBAC プロバイダーのロールベースのアクセス制御 (RBAC) 設定を読み取ることができるようにします。これには、ロールの定義とロールの割り当ての読み取りが含まれます。
  • グループの PIM におけるすべてのポリシーの読み取り (RoleManagementPolicy.Read.AzureADGroup)。サインインしたユーザーがいなくても、アプリでグループの特権アイデンティティ管理のポリシーを読み取ることができます。

これらのアクセス許可は、Tenable が関連の Microsoft Entra ID リソースに関連するデータを収集してレポートを作成するために必要です。

重要: デプロイメントスクリプトを実行すると、テナントでサービスプリンシパルが作成または更新されます。サービスプリンシパルは、ディレクトリ内の クラウドサイバーエクスポージャー コネクタアプリケーションを表し、割り当てられたアクセス許可とロールに基づいて、必要な Microsoft Entra ID および Azure リソースにアクセスできるようにします。

Microsoft Entra ID のアプリケーションおよびサービスプリンシパルオブジェクトの詳細については、Microsoft ドキュメントを参照してください。

Tenable アプリのアクセス許可の更新

Microsoft によって行われた変更に伴い、クラウドサイバーエクスポージャー コネクタアプリのアクセス許可を更新するか、Tenable によって導入された新しいサービスをサポートする必要がある場合があります。クラウドサイバーエクスポージャー は読み取り専用アクセスでエージェントレスに動作するため、これらのアクセス許可は自動的に更新できません。すべての更新は、アクセス許可を更新することによって、Azure アカウント内で手動で行う必要があります。

  1. 関連するテナントの Azure ポータルにログインします。
  2. [Microsoft Entra ID] に移動します。
  3. [管理] で、[エンタープライズアプリケーション] をクリックします。
  4. クラウドサイバーエクスポージャー コネクタアプリを検索して選択します。
  5. [セキュリティ] > [アクセス許可] の順に移動します。
  6. [管理者の同意を付与] をクリックします。
  7. Microsoft アカウントのサインインページで、テナント Tenable が属する管理アカウントを選択します。

Azure アクセス許可

この表は、以下の各 クラウドサイバーエクスポージャー 機能について、Azure を クラウドサイバーエクスポージャー に接続するために必要なアクセス許可 (Azure ロール) を示しています。

機能 説明 Azure ロール 注記
モニタリング (読み取り専用) クラウド資産の可視性を確保します。これにはサブスクリプション使用状況、セキュリティ設定が含まれます。
  • Reader
  • Key Vault Reader
  • Azure Kubernetes Service Cluster User Role
  • Azure Kubernetes Service RBAC Reader
  • Cognitive Services Data Reader
  • Key Vault 閲覧者ロールにより、Key Vault のメタデータとその証明書、キー、シークレットへの読み取りアクセスのみが許可されます。シークレットコンテンツやキーマテリアルなど機密性の高い値を読み取るためのアクセス権は付与されません。詳細については、関連する Microsoft のドキュメントを参照してください。
  • 2 つの Kubernetes ロールは、AKS クラスタに関連付けられているクラウドアイデンティティとリソースの可視性とリスク評価を提供します。AKS クラスタの接続と要件の詳細 (1. IAM を完全に可視化するために必要な追加のアクセス許可、2. ネットワークアクセス要件、など) については、Azure AKS クラスタの接続を参照してください。
  • Tenable は Cognitive Services データ閲覧者を使用し、メタデータのみを読み取ることで AI Foundry リソースをリストします。
データリソーススキャン (データ保護) 機密データが含まれていないか、クラウドリソースをスキャンして分類します。詳細については、データ保護を参照してください。
  • Storage Blob Data Reader 組み込みロール
  • Tenable Data Scanning カスタムロール (以下のアクセス許可を使用)
    • Microsoft.Storage/storageAccounts/privateEndpointConnections/write
    • Microsoft.Sql/servers/databases/write
 詳細については、データ保護を参照してください。
ワークロード保護 仮想マシンをスキャンして、脆弱性や設定ミスがないか確認します。
  • Disk Snapshot Contributor 組み込みロール

組み込みロールの代わりに、次のアクセス許可を持つカスタムロールを付与できます。

  • Microsoft.Compute/snapshots/beginGetAccess/action
  • Microsoft.Compute/disks/beginGetAccess/action
  • Microsoft.Compute/snapshots/write
  • Microsoft.Compute/snapshots/endGetAccess/action
  • Microsoft.Compute/snapshots/delete

BitLocker を備えた Windows 仮想マシンまたは DM-Crypt (Ubuntu のみ) ディスク暗号化を備えた Linux 仮想マシンをスキャンするには、以下も付与します。

  • Key Vault Secrets User 組み込みロール、または Microsoft.KeyVault/vaults/secrets/getSecret/action カスタムアクセス許可

Key Vault (KEK) のキーを使用して BitLocker 暗号化シークレットをスキャンするには、以下も付与します。

  • Key Vault Crypto User 組み込みロールまたは Microsoft.KeyVault/vaults/keys/unwrap/action カスタムアクセス許可
 この機能を使用するには Standard または Enterprise のライセンスが必要です。Key Vault アクセス許可は、サブスクリプションごとまたは Key Vault ごとに付与できます。これらのアクセス許可を付与する手順については、ワークロードの接続を参照してください。
修正 (読み取りと書き込み) Tenable が環境に変更を加えることを許可します。これにより、たとえば、ワンクリックで検出結果を自動的に修正できます (これらのアクセス許可がなくても、OTP を経由してワンクリック修正が可能です)。 Owner
ジャストインタイム (JIT) アクセス ユーザーにクラウドアカウントへのアクセスを、あらかじめ決められた期間にわたり必要に応じて許可します。この機能を使用するには、Microsoft Entra ID 統合もオンボードする必要があります。 User Access Administrator
IaC - 問題をコードまでトレース Storage Blob Data Reader このアクセス許可は、正常に接続された後にアカウントを編集しないと有効にできません。

重要: デプロイメントスクリプトを実行すると、テナントでサービスプリンシパルが作成または更新されます。サービスプリンシパルは、ディレクトリ内の クラウドサイバーエクスポージャー コネクタアプリケーションを表し、割り当てられたアクセス許可とロールに基づいて、必要な Microsoft Entra ID および Azure リソースにアクセスできるようにします。

Microsoft Entra ID のアプリケーションおよびサービスプリンシパルオブジェクトの詳細については、Microsoft ドキュメントを参照してください。