Azure 組織の接続

Azure 組織全体を接続することで、多数のアカウントがあるクラウド環境での統合プロセスを迅速化かつ自動化できます。これにより、以下が可能になります。

  • Azure 組織で現在および将来のすべてのサブスクリプションを自動的に接続するため、サブスクリプションを個別に追加する必要はありません。
  • Azure 環境全体で一貫した可視性とカバレッジを確保し、潜在的な盲点を排除します。

前提条件

始める前に

  • 接続する Azure 組織 (ルート管理グループ) へアクセスできることを確認します。
  • Azure API に対する認証のために Microsoft Entra ID のアプリケーションアイデンティティを作成または使用するアクセス許可があることを確認します。
  • (パブリック環境のみ) テナントアクセスを検証するために、テナント組織のメンバー、またはグローバル管理者 ロールを持つゲストユーザーであることを確認します。
注意: Tenable では、Microsoft Entra ID テナントの接続を設定してアイデンティティ関連の可視性とリスク分析を有効にすることを推奨しています。

組織の接続

Azure 組織の接続方法

  1. Tenable One Cloud Exposure コンソールで、[設定] > [統合] の順に移動し、[統合を追加] をクリックします。
  2. [統合ライブラリ] で、[Azure 組織] をクリックします。[Azure 組織] ウィザードが開きます。
  3. 設定ステップ (ステップ 1/2) で、次の操作を実行します。
    1. 統合の名前を入力します。
    2. 対象の Azure クラウド環境として、[パブリック] または [中国] を選択します。
      • パブリック: デプロイメントスクリプトにより、テナント内に、Tenable のマルチテナントアプリに関連付けられたサービスプリンシパルが作成されます。これは、Microsoft Graph API 経由でデータを抽出するために使用されます。
      • 中国: ウィザードの [アプリケーション] セクションで説明されているように、Microsoft Entra ID に専用のアプリ登録を手動で作成する必要があります。デプロイメントスクリプトにより、アプリ登録に関連付けられたサービスプリンシパルが作成されます。これは、Microsoft Graph API 経由でデータを抽出するために使用されます。
    3. [Microsoft Entra ID] で、既存の Microsoft Entra ID 統合を使用するかどうかを選択します。Microsoft Entra ID に接続して、アイデンティティを完全に可視化することをおすすめします。
      • 統合が存在しない場合は、ここで [+ 追加] をクリックして追加できます。
      • [Microsoft Entra ID 統合を使用しない] を選択している場合は、対象の Azure 組織に関連付けられているテナント ID を入力し、Tenable が適切な組織を識別できるようにします。
    4. [アクセス検証] で [検証] をクリックします。Microsoft Entra ID テナントのサインインにリダイレクトされます。この手順により、統合を作成するユーザーがターゲットテナントのメンバーであるか、前提条件を持つゲストユーザーであることが確認されます。このステップは、パブリック環境でのみ必要です。
    5. (中国環境のみ) [アプリケーション] で、手動のアプリ登録 (中国のみ) Microsoft Entra ID で専用のアプリ登録を作成し、説明に沿って対象の値をコピーして保存します。このステップは、前述の手順で既存の Entra ID 統合を使用しないことを選択した場合にのみ必要です。
      • アプリ登録を作成したら、アプリケーション (クライアント) ID とクライアントシークレットを入力します。
    6. [機能] で、有効にする機能を選択します。この選択により、必要なアクセス許可が決定され、デプロイメントスクリプトが動的に更新されます。Tenable では、最も包括的なセキュリティカバレッジを提供するために、すべての機能を有効にすることを推奨しています。詳細については、Azure アクセス許可を参照してください。
    7. [デプロイメント] で、次のいずれかのデプロイオプションを選択します。
      • PowerShell - スクリプトベースのデプロイメント。ウィザードに表示されるスクリプトをコピーし、Azure CLI または Azure Cloud Shell で実行して、必要なアクセス許可を クラウドサイバーエクスポージャー に付与します。
        • ロールを割り当てるには、Azure のルート管理グループ範囲に対する Microsoft.Authorization/roleAssignments/* アクセス許可が必要です。このアクセス許可は、Owner または User Access Administrator ロールによって付与されます。
        • このアクセス許可/ロールを持っていないが、Microsoft Entra ID で Global Administrator ロールを持っている場合は、アクセスを一時的に昇格して、すべての Azure サブスクリプションと管理グループに対する管理アクセス許可を取得することができます。
      • 手動 - Azure ポータルを使用して、手動で設定します。カスタムロールを作成し、アクセス許可を割り当てる詳細な手順については、Azure 組織の手動デプロイを参照してください。

    8. [デプロイメント後] で、プライマリドメイン名とサービスプリンシパル ID を入力します。

      注意: 値を取得する方法 - PowerShell: スクリプトの出力から値をコピーして貼り付けます。 - 手動: これらの値を取得する方法については、Azure 組織の手動デプロイを参照してください。 共通の統合値 - これらの値は、組織およびそのすべてのメンバーサブスクリプションで同一である必要があります。 - 組織が接続されている場合、これらのフィールドは組織レベルでのみ更新できます。変更は、すべてのメンバーサブスクリプションに自動的に適用されます。
    9. 完了したら、[次へ] をクリックします。

  4. 範囲ステップ (ステップ 2/2) で、次の操作を実行します。

    1. (オプション) [コンパートメント構造を自動的に更新] を選択して、コンパートメントの構造を Tenable 内のフォルダーとしてミラーリングし、その階層を維持して、ビューを同期させます。詳細については、アカウント階層とフォルダーを参照してください。
    2. [範囲] で、オンボーディングするコンパートメントを選択します。
      • 現在と将来のサブスクリプションをすべて同期する (推奨)
      • 特定のグループとサブスクリプションを含める

      • 特定のグループとサブスクリプションを除外する

        注意:

        • フォルダー全体を含めるとグループ内の現在と将来のプロジェクトのすべてが含まれ、フォルダー全体を除外するとそれらのプロジェクトすべてが除外されます。
        • フォルダーで特定のプロジェクトを含めるとそのプロジェクトのみが含まれ、フォルダーで特定のプロジェクトを除外するとそのプロジェクトのみが除外されます。
    注意: オンボーディング中に、クラウドサイバーエクスポージャー は組織内のすべてのサブスクリプションを検出します。これにはキャンセルされたサブスクリプションや削除されたサブスクリプションが含まれますが、クラウドサイバーエクスポージャー はそれらを自動的にフィルタリングして除外し、オンボーディングを行いません。その結果として、検出されたサブスクリプションの数が、[アカウント] ページに表示される数よりも多くなることがあります。
  5. [終了] をクリックします。

Azure 組織の手動デプロイ

Azure ポータルを使用して、Azure 組織を手動でデプロイします。これは、Azure 組織を追加する際にデプロイメントタイプとして手動を選択した場合の手順です。

  1. 接続する組織の Azure ポータルにログインします。
  2. (組織の接続際に、前述の手順で Microsoft Entra ID 統合を使用しないことを選択した場合にのみ該当) 次の手順を実行します。
    • サービスプリンシパル ID を取得します。
      1. Azure CLI または Azure Shell を使用して次のコマンドを実行します。 az ad sp create --id 2608e51d-866a-43c9-99ab-3e44347ccb38 --query id
      2. サービスプリンシパル ID をコピーして保存します。この値は、組織の接続際に クラウドサイバーエクスポージャー コンソールに入力する必要があります。
    • プライマリドメイン名を取得します。
      1. [Microsoft Entra ID] に移動します。
      2. [Overview] > [Basic information] に移動し、プライマリドメインを見つけます。値をコピーして保存します。この値は、組織の接続際に クラウドサイバーエクスポージャー コンソールに入力する必要があります。
  3. ルート管理グループ内の [Access control (IAM)] タブに移動します。
  4. Tenable Data Scanning というカスタムロールを作成して次のアクセス許可を追加します。
    • Microsoft.Storage/storageAccounts/privateEndpointConnections/write
    • Microsoft.Sql/servers/databases/write
  5. 使用する機能に関連するすべてのロールに対して、以下の手順を繰り返し、クラウドサイバーエクスポージャー コネクタアプリにロールを割り当てます。
    1. [Add] > [Add role assignment] の順にクリックします。
    2. リストからロールを検索して選択し、[Next] をクリックします
    3. [+ Select members] をクリックします。
    4. クラウドサイバーエクスポージャー コネクタ を検索して選択し、[選択] をクリックします。
    5. [次へ] をクリックし、[レビューと割り当て] をクリックして終了します。追加するすべてのロールに対してこのステップを繰り返します。
  6. クラウドサイバーエクスポージャー コンソールに移動し、ウィザードのステップ 1 に次の値を入力します。
    • プライマリドメイン名
    • サービスプリンシパル ID
  7. [次へ] をクリックし、ウィザードのステップ 2 を続行します。

次のステップ

Azure 組織が接続されると、組織に属するサブスクリプションが [アカウント] ページの [Azure] フォルダーに表示されます。ここから、サブスクリプションを管理したり、接続ステータスや有効になっている機能を表示したりできます。

クラウドサイバーエクスポージャー に Azure リソースデータが表示されるまでの所要時間は、環境の規模と複雑さによって異なります。

アイデンティティ関連の可視性、アクセス許可分析、ジャストインタイムのアクセス情報を有効にするには、Microsoft Entra ID テナントの接続を設定します (まだ設定していない場合)。