OCI テナンシの接続

Tenable One Cloud Exposure で Oracle Cloud テナンシ全体を接続し、テナンシに関連付けられたクラウドアイデンティティとリソースを完全に可視化します。Tenable は Oracle Cloud API からインベントリと設定データを収集します。

テナンシ全体を接続することで、多数のアカウントがあるクラウド環境でのオンボーディングプロセスを迅速化かつ自動化できます。これにより、以下が可能になります。

  • すべてのコンパートメントを同時に Tenable に接続
  • 後の段階で Oracle Cloud に追加された新しいコンパートメントを自動的に接続
  • 全範囲のプラットフォーム機能を可視化

統合が完了すると、Tenable にテナンシステータスとトラブルシューティングが表示されます。これはたとえば、Tenable がテナンシに接続できるかどうかを示すもので、潜在的な問題のトラブルシューティングに役立ちます。

注意:

  • サポートされている OCI リソースの検索可能なリストについては、対応リソースを参照してください。
  • ライセンス付与で請求対象となる OCI リソースのリストについては、請求対象のリソースを参照してください。

前提条件

始める前に

  • ルート権限を確認します。OCI テナンシがルートコンパートメントにオンボーディングされています。
  • ルートコンパートメントにグループ、ユーザー、API キー、ポリシーを作成するアイデンティティに対して、十分なアクセス許可を付与します。
  • ユーザー、グループ、ポリシーを作成するアクセス許可を持つ、関連する Oracle Cloud テナンシへの管理者アクセスがあることを確認します。
  • Terraform 固有
    • Terraform CLI v0.13 以上をインストールしていることを確認します。
    • terraform init が既存の設定と競合することなく、次のプロバイダーをダウンロードしてインストールできることを確認します。
      • OCI プロバイダー v6.0 以上
      • TLS プロバイダー v4.0 以上
      • ローカルプロバイダー v2.2 以上
    • 秘密鍵の PEM ファイルを安全に処理できる場所で Terraform が実行されることを確認します。

テナンシの接続

OCI テナンシの接続方法

  1. クラウドサイバーエクスポージャー コンソールで、[設定] > [統合] の順に移動し、[統合を追加] をクリックします。
  2. 統合ライブラリで、[OCI テナンシ] をクリックします。[OCI テナンシ] ウィザードが開きます。
  3. 設定ステップ (ステップ 1/2) で、次の操作を実行します。
    1. 統合の名前を入力します。
    2. [テナンシ OCID] に、テナンシの ID を入力します。
    3. [機能] で、有効にする機能を選択します。この選択によって、必要なアクセス許可が決まります。
      • モニタリング (読み取り専用): デフォルトで選択されています。すべてのクラウド資産について完全な可視性を確保します。これにはアクセス許可、コンパートメント使用状況、データとセキュリティの設定に関する情報が含まれます。
      • コンピューティングインスタンススキャン (ワークロード保護): コンピューティングインスタンスをスキャンして、脆弱性と設定ミスがないか確認します。必要なアクセス許可については、OCI の必要なアクセス許可を参照してください。
    4. [デプロイメント] で、次のいずれかのデプロイオプションを選択します。
      • Terraform - モジュールベースのデプロイメント。デプロイする前に、Terraform 固有の前提条件を参照してください。
        • クラウドサイバーエクスポージャー ウィザードに表示されるモジュール呼び出しをコピーして Terraform 設定に追加し、terraform apply を実行します。このモジュールはアイデンティティを作成し、環境に接続してスキャンするアクセス許可を Tenable に付与します。
      • 手動 - OCI コンソールを使用し、手動で設定します。詳細な手順については、OCI テナンシの手動デプロイを参照してください。
    5. [デプロイメント後] に、次の値を入力します。
      • Tenable ユーザー OCID (user): Tenable 用に作成したユーザーの OCID
      • フィンガープリント (fingerprint): ユーザーに追加された公開キーのフィンガープリント
      • 秘密鍵: Terraform 出力で指定されたパスから、または手動でユーザー認証情報の作成した場合は Oracle Cloud から、秘密鍵 PEM ファイルをアップロードします。
      • ホームリージョン (region): Oracle Cloud Infrastructure のリージョン。
    6. [次へ] をクリックします。
  4. 範囲ステップ (ステップ 2/2) で、次の操作を実行します。
    1. (オプション) [コンパートメント構造を自動的に更新] を選択して、コンパートメントの構造を Tenable 内のフォルダーとしてミラーリングし、その階層を維持して、ビューを同期させます。詳細については、アカウント階層とフォルダーを参照してください。

    2. [範囲] で、オンボーディングするコンパートメントを選択します。

      • 現在と将来のコンパートメントをすべて同期する (推奨)
      • 特定のコンパートメントを除外する

      注意:

      • コンパートメント全体を除外すると、コンパートメント内の現在と将来のアカウントがすべて除外されます。
      • コンパートメントで特定のアカウントを除外すると、選択したアカウントのみが除外されます。
  5. [終了] をクリックします。

OCI テナンシの手動デプロイ

注意: 手動デプロイメントが完了したら、テナンシの接続デプロイメント後の手順を完了します。

Terraform デプロイメントの代わりに、OCI コンソールを使用して OCI テナンシを手動でデプロイすることもできます。これは、テナンシを接続する際にデプロイメントタイプとして [手動] を選択した場合の手順です。

  1. グループの作成
  2. ポリシーを作成してグループにポリシー割り当て
  3. ユーザーの作成
  4. ユーザー認証情報の作成

グループの作成

OCI で クラウドサイバーエクスポージャー のグループを作成します。

  1. OCI コンソールにログインし、[Identity & Security] > [Identity] > [Domains] の順に移動します。

  2. 左側のメニューの [List scope] > [Compartment] でルートコンパートメントを選択します。

    The OCI List scope compartment picker, with the root compartment selected

  3. ドメインのリストで、[Default] ドメイン名をクリックします。
  4. [グループ] をクリックしてから、[グループの作成] をクリックします。
  5. [ 名前] に TenableCSと入力し、[作成] をクリックします。

ポリシーを作成してグループにポリシー割り当て

クラウドサイバーエクスポージャー に対して作成したグループに、OCI のリソースを読み取るために必要なアクセス許可を付与します。

  1. [アイデンティティとセキュリティ] > [アイデンティティ] > [ポリシー] の順に移動します。
  2. [ポリシーの作成] をクリックし、以下の詳細を入力します。
    1. 名前: 意味のある名前を入力します。
    2. 説明: わかりやすい説明を入力します。
    3. コンパートメント: root コンパートメントを選択します。

  3. ポリシービルダーで [手動エディターの表示] をクリックし、「OCI の必要なアクセス許可」 にリストされているモニタリングステートメントを追加します。

    注意: グループの作成した際にグループ名として TenableCS を使用していない場合は、TenableCS を使用した名前に置き換えます。

    The OCI Create policy form, with a statement that lets the TenableCS group read all resources in the tenancy

  4. [Create] をクリックします。

ユーザーの作成

ユーザーを作成します。このユーザーを使って、この後 OCI への API アクセスを クラウドサイバーエクスポージャー に許可するユーザー認証情報を作成します。

  1. [アイデンティティとセキュリティ] > [アイデンティティ] > [ドメイン] の順に移動します。
  2. ドメインのリストで、[Default] ドメイン名をクリックします。
  3. 左側のメニューで、[ユーザー] をクリックします。

  4. [Create user] をクリックし、以下の詳細を入力します。

    1. 名、姓、ユーザー名、メールアドレス

      注意: メールアドレスが必要な場合は、ここに入力するか、[Settings] > [Domain Settings] に移動して [Primary email address required] チェックボックスのチェックを外すことで、強制的に無効にできます。
    2. グループには、グループの作成を選択します。

    The OCI Create user form, with the TenableCS group selected

  5. [Create] をクリックします。

ユーザー認証情報の作成

ユーザー認証情報を作成して OCI への API アクセスを クラウドサイバーエクスポージャー に許可します。

  1. ユーザーのリストから ([アイデンティティ] > [ドメイン] > [Default ドメイン] > [ユーザー]) でユーザーの作成をクリックします。
  2. 左側のメニューの [リソース] で、[API キー] をクリックします。
  3. [API キーの追加] をクリックします。

  4. [秘密キーのダウンロード] をクリックしてから [追加] をクリックします。

    注意: このファイルは、クラウドサイバーエクスポージャー が OCI サーバーに対して認証を行うために必要です。このキーは、Oracle Cloud の統合を完了するために必要になります。

    The OCI Add API key dialog, with Download private key and Add highlighted

  5. [Copy] をクリックして、設定ファイルのコンテンツをコピーします。

    注意: Tenable が認証を完了するには、設定ファイルに含まれている基本認証情報が必要です。この情報を クラウドサイバーエクスポージャー コンソールに入力する必要があります。

    The OCI Configuration file preview, with the Copy link highlighted

  6. ファイル (oci_config.txt など) にコピーしたコンテンツを貼り付けて、ファイルを保存します。