Microsoft Entra ID テナントの接続

Microsoft Entra (旧 Azure Active Directory) テナントを Tenable One Cloud Exposure と接続して、アイデンティティ関連の可視化と分析を可能にします。この接続から、Microsoft クラウド環境全体のアイデンティティ、アクセス許可、アクセス関係に関する情報が得られます。

Microsoft Entra ID を接続して、アイデンティティの可視性、アイデンティティポスチャ―管理、権限管理を有効にします。

Microsoft Entra ID 接続により、次の資産が可視化されます。

  • ユーザーとグループ
  • アプリケーションとアプリケーション登録
  • 管理者ロール
  • ロールの割り当てとアクセス関係
  • Microsoft Entra ID を接続しても、Azure サブスクリプションまたはリソースへのアクセスは クラウドサイバーエクスポージャー に付与されません。Azure サブスクリプションと組織は別々に接続されています。
  • このセクションで取り上げるのは、SSO 経由での クラウドサイバーエクスポージャー コンソールのログインを目的にしたアイデンティティプロバイダーの統合ではありません。コンソールアクセス用に SSO を設定するには、シングルサインオンを参照してください。
  • この接続は CIEM で必須ですが、セキュリティポスチャーを最大化する上ですべてのライセンスタイプに推奨されます。

Microsoft Entra ID テナントの接続

注意: パブリッククラウドの場合、デプロイメントスクリプトによって、Tenable のマルチテナントアプリが Graph API からデータを取得できるようにするサービスプリンシパルが作成されます。中国のクラウドでは、データを取得するために手動でアプリを登録する必要があります。

Microsoft Entra ID テナントの接続方法

  1. クラウドサイバーエクスポージャー コンソールで、[設定] > [統合] の順に移動し、[統合を追加] をクリックします。
  2. Microsoft Entra ID を選択します。
  3. 統合の名前を入力します。
  4. Microsoft Entra ID テナント ID を入力します。
  5. Azure クラウド環境を選択します。
    • パブリック: グローバルな Microsoft Entra ID クラウドでホストされているテナントに使用します。デプロイメントスクリプトによって、Tenable のマルチテナントアプリが Graph API からデータを取得できるようにするサービスプリンシパルが作成されます。選択したら、次の操作を実行します。

      1. [テナントアクセスの検証] をクリックします。アクセスを検証するため、Microsoft Entra ID テナントのサインインにリダイレクトされます。

        注意: テナント組織のメンバー、またはグローバル管理者 ロールを持つゲストユーザーである必要があります。
      2. 終了したら、このウィザードに戻り、手順を完了します。
    • 中国: Azure China クラウド環境でホストされているテナントに使用します。この場合、アプリケーションを手動で登録する必要があります。デプロイメントスクリプトによって、アプリが Graph API からデータを取得できるようにするサービスプリンシパルが作成されます。選択したら、次の操作を実行します。
      1. 専用手動のアプリ登録 (中国のみ)を作成します。
      2. アプリケーション (クライアント) ID をコピーします。
      3. クライアントシークレットを入力します。
  6. [デプロイメント] で、指定の PowerShell スクリプトを Azure CLI または Azure Cloud Shell にコピーし、サービスプリンシパルを作成して必要な Microsoft Graph アクセス許可を付与できるようにします。
  7. [終了] をクリックします。

手動のアプリ登録 (中国のみ)

Azure China は別のクラウド環境で動作しているため、クライアントシークレットを使用して クラウドサイバーエクスポージャー で認証するために専用アプリケーションの登録が必要です。

China Cloud 認証用の専用アプリケーションを登録する方法

  1. Entra ID テナントにログインします。
  2. [Microsoft Entra ID] に移動し、[+ New registration] をクリックします。
  3. アプリケーションの名前を入力します。たとえば クラウドサイバーエクスポージャー China です。
  4. 他のすべての設定はそのままにして、[Register] をクリックします。

  5. 新しく作成されたアプリで、[API permissions] に移動し、[+ Add a permission] をクリックします。

    注意: デフォルトで設定されている User.Read アクセス許可は必要ありません。そのままにしておくことも、削除することもできます。
  6. [Microsoft Graph] をクリックし、[Application permissions] をクリックします。
  7. 以下のアクセス許可を検索して選択し、[Add permissions] をクリックします。
    • AuditLog.Read.All
    • Directory.Read.All
    • Policy.Read.All
    • PrivilegedAssignmentSchedule.Read.AzureADGroup
    • PrivilegedEligibilitySchedule.Read.AzureADGroup
    • RoleManagementPolicy.Read.AzureADGroup
    • RoleManagement.Read.All

  8. [Certificates & Secrets] をクリックし、[Client Secrets] で、[+ New client secret] をクリックします。

    • シークレットの [Client Secrets] を入力します。
    • シークレットの [Expires] を定義します。
    • 完了したら、[Add] をクリックします。
    注意: 組織のポリシーに準拠した有効期限を選択します。シークレットの有効期限が切れたら、新しいシークレットを作成し、Tenable で値を編集して更新します。
  9. シークレットの値をコピーします。この値は、クラウドサイバーエクスポージャー コンソールに入力する必要があります。
  10. [Overview] をクリックし、 [Application (client) ID] の値をコピーします。この値は、クラウドサイバーエクスポージャー コンソールに入力する必要があります。
  11. ポータルの上部にある [Settings] をクリックし、[Directories + subscriptions] で、テナントのディレクトリ ID を検索してコピーします。この値は、クラウドサイバーエクスポージャー コンソールに入力する必要があります。
  12. クラウドサイバーエクスポージャー コンソールに移動し、 Microsoft Entra ID テナントの接続手順を完了します。

次のステップ

Microsoft Entra ID テナントの接続後

  • アイデンティティデータは クラウドサイバーエクスポージャー に表示され始めます。これには、ユーザー、グループ、ロール、アクセス関係が含まれます。
  • アクセス許可分析やジャストインタイムアクセスの可視性など、アイデンティティに関連するリスクと分析情報が利用可能になります。

Azure のリソース、設定、ワークロードを可視化するには、Azure 組織またはサブスクリプションを接続します。