Azure サブスクリプションの接続

この手順を使用して個別のサブスクリプションを接続します。または、組織全体を接続することもできます。ウィザードに従って有効にする機能を選択し、Azure にロールの割り当てを追加して、Tenable One Cloud Exposure アプリケーションにサブスクリプションへのアクセス許可を付与します。

前提条件

始める前に

  • 接続する Azure サブスクリプションへアクセスできることを確認します。
  • Azure API に対する認証のために Microsoft Entra ID のアプリケーションアイデンティティを作成または使用するアクセス許可があることを確認します。
  • (パブリック環境のみ) テナントアクセスを検証するために、テナント組織のメンバー、またはグローバル管理者 ロールを持つゲストユーザーであることを確認します。
注意: Tenable では、Microsoft Entra ID テナントの接続を設定してアイデンティティ関連の可視性とリスク分析を有効にすることを推奨しています。

サブスクリプションの接続

Azure サブスクリプションの接続方法

  1. クラウドサイバーエクスポージャー コンソールで、[設定] > [統合] の順に移動し、[統合を追加] をクリックします。
  2. [統合ライブラリ] で、[Azure サブスクリプション] を選択します。[Azure サブスクリプション] ウィザードが開きます。
  3. ウィザードで次の操作を実行します。
    1. 関連するサブスクリプション ID を入力します。サブスクリプション ID は、Azure ポータルの [Subscriptions] で確認できます。
    2. 対象の Azure クラウド環境として、[パブリック] または [中国] を選択します。
      • パブリック: デプロイメントスクリプトにより、テナント内に、Tenable のマルチテナントアプリに関連付けられたサービスプリンシパルが作成されます。これは、Microsoft Graph API 経由でデータを抽出するために使用されます。
      • 中国: このウィザードの [アプリケーション] セクションで説明されているように、Microsoft Entra ID に専用のアプリ登録を手動で作成する必要があります。デプロイメントスクリプトにより、アプリ登録に関連付けられたサービスプリンシパルが作成されます。これは、Microsoft Graph API 経由でデータを抽出するために使用されます。
    3. [Microsoft Entra ID] で、既存の Entra ID 統合を使用するかどうかを選択します。統合が存在しない場合は、[作成] をクリックして作成できます。
      • [Microsoft Entra ID 統合を使用しない] を選択していない場合は、対象の Azure サブスクリプションに関連付けられているテナント ID を入力し、Tenable がそのサブスクリプションを持つ組織を識別できるようにします。
    4. [アクセスの検証] で [検証] をクリックします。Microsoft Entra ID テナントのサインインにリダイレクトされます。この手順により、統合を作成するユーザーがターゲットテナントのメンバーであるか、前提条件を持つゲストユーザーであることが確認されます。このステップは、パブリック環境でのみ必要です。
    5. (中国環境のみ) [アプリケーション] で、手動のアプリ登録 (中国のみ) Microsoft Entra ID で専用のアプリ登録を作成し、説明に沿って対象の値をコピーして保存します。このステップは、前述の手順で既存の Entra ID 統合を使用しないことを選択した場合にのみ必要です。
      • アプリ登録を作成したら、アプリケーション (クライアント) ID とクライアントシークレットを入力します。
    6. [機能] で、有効にする機能を選択します。この選択により、必要なアクセス許可が決定され、デプロイメントスクリプトが動的に更新されます。Tenable では、最も包括的なセキュリティカバレッジを提供するために、すべての機能を有効にすることを推奨しています。詳細については、Azure アクセス許可を参照してください。
    7. [デプロイメント] で、次のいずれかのデプロイオプションを選択します。
      • PowerShell - スクリプトベースのデプロイメント。ウィザードに表示されるスクリプトをコピーし、Azure CLI または Azure Cloud Shell で実行して、必要なアクセス許可を クラウドサイバーエクスポージャー に付与します。
        • ロールを割り当てるには、Azure のルート管理グループ範囲に対する Microsoft.Authorization/roleAssignments/* アクセス許可が必要です。このアクセス許可は、Owner または User Access Administrator ロールによって付与されます。
        • このアクセス許可/ロールを持っていないが、Microsoft Entra ID で Global Administrator ロールを持っている場合は、アクセスを一時的に昇格して、すべての Azure サブスクリプションと管理グループに対する管理アクセス許可を取得することができます。
      • 手動 - Azure ポータルを使用して、手動で設定します。カスタムロールを作成し、アクセス許可を割り当てる詳細な手順については、Azure サブスクリプションの手動デプロイを参照してください。

    8. [デプロイメント後] で、プライマリドメイン名とサービスプリンシパル ID を入力します。

      値を取得する方法 - PowerShell: スクリプトの出力から値をコピーして貼り付けます。 - 手動: これらの値を取得する方法については、Azure サブスクリプションの手動デプロイを参照してください。 共通の統合値 - これらの値は、組織およびそのすべてのメンバーサブスクリプションで同一である必要があります。 - 関連するすべてのサブスクリプション統合を更新してこれらの値を変更し、環境全体でそれらが同一に保たれるようにするには、 クラウドサイバーエクスポージャー のアクセス権限が必要です。 - 組織が接続されている場合、これらのフィールドは組織レベルでのみ更新できます。変更は、すべてのメンバーサブスクリプションに自動的に適用されます。

    9. 完了したら、[終了] をクリックします。

Azure サブスクリプションの手動デプロイ

Azure ポータルを使用して、Azure 組織を手動でデプロイします。これは、Azure サブスクリプションを接続する際にデプロイメントタイプとして手動を選択した場合の手順です。

  1. 接続するサブスクリプションの Azure ポータルにログインします。
  2. (組織の接続際に、前述の手順で Microsoft Entra ID 統合を使用しないことを選択した場合にのみ該当) 次の手順を実行します。
    • サービスプリンシパル ID を取得します。
      • Azure CLI または Azure Shell を使用して次のコマンドを実行します。 az ad sp create --id 2608e51d-866a-43c9-99ab-3e44347ccb38 --query id
        2. サービスプリンシパル ID をコピーして保存します。この値は、Azure サブスクリプションを接続する際に クラウドサイバーエクスポージャー コンソールに入力する必要があります。
    • プライマリドメイン名を取得します。
      1. [Microsoft Entra ID] に移動します。
      2. [Overview] > [Basic information] に移動し、プライマリドメインを見つけます。値をコピーして保存します。この値は、Azure サブスクリプションを接続する際に クラウドサイバーエクスポージャー コンソールに入力する必要があります。
  3. Tenable データスキャンという名前のカスタムロールを作成して、次のアクセス許可を追加します。
    • Microsoft.Storage/storageAccounts/privateEndpointConnections/write
    • Microsoft.Sql/servers/databases/write
  4. 使用する機能に関連するすべてのロールに対して、以下の手順を繰り返し、クラウドサイバーエクスポージャー コネクタアプリにロールを割り当てます。
    1. [アクセス制御 (IAM)] に移動し、[追加] -> [ロール割り当てを追加] の順にクリックします

    2. ウィザードのリストからロールを検索して選択し、[Next] をクリックします。

      注意: アクセス管理者 (JIT 用) ロールは [Privileged administrator roles] タブにあります。 ユーザーアクセス管理者 (JIT 用) ロールは [Privileged administrator roles] タブにあります。
    3. [+Select members] をクリックします。[クラウドサイバーエクスポージャー Connector] を検索して [Select] をクリックします。
    4. クラウドサイバーエクスポージャー コネクタ を検索して選択し、**[Select] **をクリックします。
    5. [Next] をクリックし、[Review + assign] をクリックして終了します。追加するすべてのロールに対してこのステップを繰り返します。
  5. クラウドサイバーエクスポージャー コンソールに移動し、サブスクリプションの接続の [デプロイメント後] セクションを完了します。

次のステップ

  • Azure リソースのデータは クラウドサイバーエクスポージャー に表示されるようになります。所要時間は、環境の規模と複雑さによって異なります。
  • 以下のルールに従い、有効化された機能とアプリケーションの詳細を後から更新できます。
    • サブスクリプションが Azure 組織の一部として接続されている場合、更新は組織レベルで行う必要があります。
    • サブスクリプションのみが接続されている場合、更新は関連するすべてのサブスクリプションに適用されるため、すべてのサブスクリプションを更新するためのアクセス許可が必要です。
  • Microsoft Entra ID なしで Azure を接続した場合、Microsoft Entra ID が接続されるまでアイデンティティ関連の分析情報 (アクセス許可の分析やジャストインタイムアクセスなど) は利用できません。アイデンティティ関連の可視性、アクセス許可分析、ジャストインタイムのアクセス情報を有効にするには、Microsoft Entra ID テナントの接続を設定します。