Google の必要なアクセス許可

Google Workspace と GCP プロジェクト/組織を Tenable One Cloud Exposure に接続するには、次のアクセス許可が必要です。

Google Workspace のアクセス許可

Tenable のサービスアカウントを作成する必要があります。Google Workspace の接続際、次の 2 つの方法のいずれかで、サービスアカウントにアクセス許可を付与できます。

どちらの方法でも、JIT アクセスを含むすべてのコア製品機能がサポートされます。

必要なアクセス許可

ステップ アクセス許可 説明
1. サービスアカウントの作成 resourcemanager.projects.get プロジェクト名、ID、関連ラベルを含むプロジェクトメタデータへの読み取りアクセスを許可します。
serviceusage.services.enable
serviceusage.services.list		 Google Cloud プロジェクト内でサービス (API) を表示および有効化できます。これは、クラウドサイバーエクスポージャー が依存する特定の API をアクティブ化する場合に必要です。
Service Account Token Creator Tenable に API と通信するためのアクセストークンの生成を許可します。このアクセス許可が必要な理由の詳細については、サービスアカウントトークン作成者ロールを参照してください。
2a.カスタムロール (推奨) Manage customer: Read customer (すべて) プライマリドメイン名を取得する読み取りアクセスを許可します。このプロパティは、GCP アクセス許可の評価に使用されます。
Groups: Read グループへの読み取りアクセスを許可します。
Organization Units: Read 組織単位への読み取りアクセスを許可します。
Users: Read ユーザーへの読み取りアクセスを許可します。
(オプション) Groups: Update ジャストインタイムアクセスを活用して、Google Workspace グループにユーザーを一時的に追加できます。
2b.ドメイン全体の委任 (アドバンス) OAuth スコープ
cloud-identity.groups.readonly admin.directory.customer.readonly
admin.directory.domain.readonly
admin.directory.group.readonly
admin.directory.orgunit.readonly
admin.directory.rolemanagement.readonly
admin.directory.user.readonly
admin.reports.audit.readonly
cloud-identity.inboundsso.readonly		 組織単位、グループ、ユーザー、および管理者ロールや SSO プロファイルなどの高度な IAM 機能への読み取りアクセスを許可します。詳細については、ドメイン全体の委任による追加の IAM 機能を参照してください。

GCP プロジェクトと組織のアクセス許可

機能 GCP ロール 注記
モニタリング (読み取り専用)
  • App Engine Viewer
  • Artifact Registry Reader
  • BigQuery Metadata Viewer
  • Cloud Asset Viewer
  • Compute Network Viewer
  • Compute Viewer
  • Kubernetes Engine Viewer
  • Organization Policy Viewer
  • Organization Viewer
  • Security Reviewer
GCP 組織の接続場合、これらのアクセス許可は組織レベルで付与される必要があります。


プロジェクトを含め、組織レベルで Organization Viewer を割り当てます。
データ保護

カスタムロール (以下のアクセス許可を使用)

  • bigquery.datasets.get
  • bigquery.datasets.getIamPolicy
  • bigquery.models.export
  • bigquery.models.getData
  • bigquery.models.getMetadata
  • bigquery.models.list
  • bigquery.routines.get
  • bigquery.routines.list
  • bigquery.tables.createSnapshot
  • bigquery.tables.export
  • bigquery.tables.get
  • bigquery.tables.getData
  • bigquery.tables.getIamPolicy
  • bigquery.tables.list
  • bigquery.tables.replicateData
  • cloudsql.backupRuns.create
  • cloudsql.backupRuns.delete
  • cloudsql.backupRuns.get
  • cloudsql.backupRuns.list
  • cloudsql.instances.get
  • dataplex.projects.search
  • resourcemanager.projects.get
  • resourcemanager.projects.list
  • storage.folders.get
  • storage.folders.list
  • storage.managedFolders.get
  • storage.managedFolders.list
  • storage.objects.get
  • storage.objects.list
詳細については、データ保護を参照してください。
ワークロード保護

カスタムロール (以下のアクセス許可を使用)

  • compute.disks.createSnapshot
  • compute.disks.use
  • compute.snapshots.create
  • compute.snapshots.delete
  • compute.snapshots.setIamPolicy
  • compute.snapshots.setLabels
  • compute.snapshots.useReadOnly
この機能を使用するには Standard または Enterprise のライセンスが必要です。詳細については、ワークロード保護を参照してください。
修正 (読み取りと書き込み)
  • BigQuery Data Owner
  • Security Admin
  • Service Account Admin
ジャストインタイムアクセス (ユーザーアクセス管理者) Security Admin
監査ログ Pub/Sub Subscriber 具体的な手順については、プロジェクトまたは組織の監査ログを設定する手順を参照してください。

単一プロジェクト接続用の組織レベルのカスタムロール

親組織を接続せずに個々の GCP プロジェクトを接続する場合も、クラウドサイバーエクスポージャー では、以下のアクセス許可を持つカスタムロールを介して、組織レベルで付与される基本的なアクセス許可セットが必要です。

  • `cloudasset.assets.searchAllIamPolicies`
  • `compute.firewallPolicies.list`
  • `iam.roles.get`
  • `iam.roles.list`
  • `iam.workforcePools.list`
  • `iam.workforcePoolProviderKeys.list`
  • `iam.workforcePoolProviders.list`
  • `recommender.iamPolicyInsights.list`
  • `recommender.iamPolicyRecommendations.list`
  • `resourcemanager.folders.getIamPolicy`
  • `resourcemanager.folders.list`
  • `resourcemanager.organizations.get`
  • `resourcemanager.organizations.getIamPolicy`
  • `resourcemanager.projects.list`

このロールを作成する手順については組織レベルのアクセス許可を持つカスタムロールを作成するを、必要な理由については GCP の FAQ を参照してください。