OCI の必要なアクセス許可

ここでは、Tenable One Cloud Exposure 機能に必要な OCI ポリシーステートメントを説明します。

モニタリング

このステートメントは、クラウド資産、アクセス許可、コンパートメントの使用状況、セキュリティ設定を可視化するため、Tenable にテナンシ内のリソースへの読み取り専用アクセスを付与します。

次のステートメントを、テナンシのオンボーディング中に作成するポリシーに追加します。

コピー

Allow group 'TenableCS' to read all-resources in tenancy

このポリシーを作成する手順については、OCI テナンシの接続を参照してください。

ワークロード保護

この機能を使用するには Standard または Enterprise のライセンスが必要です。これらのアクセス許可を付与する手順については、ワークロードの接続を参照してください。

これらのステートメントは、Tenable のスキャングループにテナンシ内のボリュームを使用するためのアクセス許可を付与します。これにより、ワークロード保護でスキャンされるディスクスナップショットの作成と読み込みが可能になります。

OCI ワークロードをスキャンするためのアクセス許可をクラウドサイバーエクスポージャーに付与するために、統合時に作成した OCI ポリシーに以下のステートメントを追加します。

コピー

define tenancy TenableOutpostTenancy as ocid1.tenancy.oc1..aaaaaaaasv6dlhkapckiivrlno4udf5s5faqc3pnrii5vrycyxwj2qxg7niq
define group CWPVMScanning as ocid1.group.oc1..aaaaaaaay6qcowhmfjzh44kdxzx7ld6z66lkno5qnk4afy7ktlmi7j67b4uq
admit group CWPVMScanning of tenancy TenableOutpostTenancy to use volumes in tenancy

暗号化ボリューム

デフォルトでは、Oracle 暗号化ブートボリュームは、Oracle Cloud によって管理される暗号化キーを使用します。これらの暗号化ボリュームは設計に組み込まれているため、スキャンのためにアクセス許可を追加する必要はありません。

所有し管理するキーで暗号化されたボリュームをスキャンするには、以下のステートメントもワークロード保護ポリシーに追加します。これにより、キーの委任を使用し、キーをテナンシ内のボリュームに関連付けるためのアクセス許可が付与されるため、クラウドサイバーエクスポージャーは暗号化されたスナップショットにアクセスできるようになります。

コピー

admit group CWPVMScanning of tenancy TenableOutpostTenancy to use key-delegate in tenancy
admit group CWPVMScanning of tenancy TenableOutpostTenancy to associate keys in tenancy with volumes in tenancy TenableOutpostTenancy