Google GKEクラスターを接続する
注意: この機能は、Cloud Vulnerability Management ライセンスでは使用できません。
Tenable One Cloud Exposure で Google GKE クラスターを接続すると、アクセス許可、サブスクリプション使用率、セキュリティ設定に関する情報を含む、クラスターに関連付けられているすべてのクラウドアイデンティティとリソースの完全な可視性とリスク評価を得ることができます。
統合を完了するまで、クラスターに関連するオブジェクトと構成は、 Tenableで分析されたり、調査に利用されたりすることはありません。各 Kubernetes クラスターについては、関連するインベントリビューで リソース同期ステータス が表示されます。これは、 Tenable がKubernetes API に接続できるかどうかを示し、潜在的な接続の問題のトラブルシューティングに役立ちます。
要件
監視する各クラスターに対して、次の手順を実行します。
- クラスターを含む関連する Google 環境 (組織 / プロジェクト) に正常に接続され、Kubernetes Engine Viewer ロールが指示に従って追加されたことを確認します。
- Tenable へのネットワークアクセスを許可するには、次の手順に従います。
- クラスターコントロールプレーンが公開されない場合、代わりに Helm Chart を介してクラスターを接続します 。 たとえば、プライベートクラスターの場合などです。
注意: Kubernetes 脅威検出、 アドミッションコントローラーの概要 、センサーベースのワークロード保護を有効にするには、Helm チャートを介してクラスタを接続する チャートを使用してセンサーをインストールする必要があります。これは、すべてのクラウドプロバイダーとクラスタタイプに適用されます。
Tenable へのネットワークアクセスを許可する
クラウドサイバーエクスポージャー の場合、クラスターにアクセスするには、クラスターエンドポイントがパブリックアクセス可能である必要があり、関連する 許可が必要な Tenable IP アドレス。
ネットワークアクセスを許可するには
- Google Cloud コンソールで、 Kubernetes Engine に移動し、関連するクラスターの 名前 をクリックします。
-
[ネットワーク] セクションで、 [コントロールプレーンの認証済みネットワーク] 設定が [有効] になっていることを確認します。
ヒント: この設定が無効になっている場合、Tenable はクラスタにアクセスできますが、クラスタにアクセスするためのセキュリティのベストプラクティスには従いません。代わりに、この設定を有効にし、承認済みネットワークを特定の IP アドレス (Tenable に関連付けられているものなど) に制限する必要があります。 - [コントロールプレーン] 認証ネットワーク 設定を編集し、[認証ネットワーク] セクションで [ADD AUTHORIZED NETWORK] をクリックします。
- Tenable 地域に関連するすべての 許可が必要な Tenable IP アドレス 認証済みネットワークとして追加し、各 IP アドレスの後に [DONE] をクリックします。
- [Save Changes] をクリックします。