ワークロードの接続

特定のアカウントでワークロード保護を有効にするには、アカウントをオンボーディングして Tenable One Cloud Exposure し、そのアカウント Tenable ワークロードスキャンのアクセス許可を付与する必要があります。

AWS
Azure: 仮想マシンスキャンのアクセス許可を付与する
GCP: ワークロード保護のアクセス許可を付与する
OCI: ワークロード保護のアクセス許可を付与する
Alibaba Cloud: ワークロード保護のアクセス許可を付与する
オンプレミスワークロードの接続

AWS: EC2 インスタンスおよび内部 AMI スキャン (ワークロード保護)

Tenable IAM ロールに追加されたカスタムのインラインポリシーを使用して、AWSワークロードをスキャンするアクセス許可をクラウドサイバーエクスポージャーに付与します。これらのアクセス許可は、 Tenable ウィザードでの AWS 統合プロセスの一部として (EC2 インスタンススキャンのアクセス許可を通じて) 付与されますが、アカウントをオンボーディングした時期によっては、まだ付与されていない場合もあります。

ワークロードをスキャンする AWS アカウントをすでにオンボーディングしているものの、EC2 インスタンススキャンのアクセス許可がまだ追加されていない場合は、以下の手順に従います。
ワークロードをスキャンする AWS アカウントをまだオンボーディングしていない場合は、「 AWS アカウントの接続」に記載されている手順に従います。

EC2 インスタンススキャンのアクセス許可がすでに追加されているかどうかを確認するには、クラウドサイバーエクスポージャーコンソールで [Settings > Accounts > AWS] に移動し、アカウントのステータスを確認します。

ステータスが [接続済み] の場合、必要なアクセス許可はすでに付与されています。
ステータスが [Connected with issues] (接続に問題あり) であり、ツールチップにワークロード保護のアクセス許可が付与されていないことが示されている場合は、以下の手順に従います。

EC2 インスタンスと内部 AMI スキャンのアクセス許可を付与する方法

関連するアカウントの AWS 管理コンソールで、[IAM > Roles] (IAM ロール) に移動し、アカウントのオンボーディング時に Tenable 用に作成したロールを開きます。
[アクセス許可] タブで、[アクセス許可の追加] > [インラインポリシーの作成] をクリックします。
クラウドサイバーエクスポージャーコンソールの [AWS Add Account (アカウントの追加)] ウィザードのステップ 3 (IAM ロール) で提供されたポリシーをコピーし、[JSON] タブに貼り付けて既存のテキストを置き換えます。JSON 形式のポリシーを確認するには、 AWS EC2 インスタンススキャンワークロード保護ポリシーを参照してください。
[ポリシーのレビュー] をクリックします。
ポリシーの名前 (例: TenableWorkloadProtection) を入力し、[ポリシーの作成] をクリックします。
クラウドサイバーエクスポージャーコンソールで、[Settings > Accounts > AWS] に移動し、アカウントのステータスが [Connected] (接続済み) であることを確認します。

注意: ステータスが [接続済み] に変わるまで数分かかる場合があります。またブラウザでハードリフレッシュの実行が必要になる場合もあります。

AWS EC2 インスタンススキャンワークロード保護ポリシー

コピー

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ec2:CreateSnapshot",
      "Resource": "arn:aws:ec2:*:*:volume/*"
    },
    {
      "Effect": "Allow",
      "Action": "kms:CreateAlias",
      "Resource": "arn:aws:kms:*:*:alias/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:CopySnapshot",
        "ec2:CreateSnapshot",
        "ec2:CreateTags",
        "kms:CreateKey",
        "kms:TagResource"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/ErmeticContext": "WorkloadAnalysis"
        }
      }
    },
    {
      "Effect": "Deny",
      "Action": "kms:TagResource",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/ErmeticContext": "true"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": "ec2:CopySnapshot",
      "Resource": "arn:aws:ec2:*::snapshot/snap-*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:CopySnapshot",
        "ec2:DeleteSnapshot",
        "ec2:ModifySnapshotAttribute",
        "kms:CreateAlias",
        "kms:CreateGrant",
        "kms:Decrypt",
        "kms:EnableKeyRotation",
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "kms:RevokeGrant",
        "kms:ScheduleKeyDeletion"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/ErmeticContext": "WorkloadAnalysis"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:CreateGrant",
        "kms:Decrypt",
        "kms:ReEncryptFrom"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "ec2.*.amazonaws.com"
        }
      }
    }
  ]
}

Azure: 仮想マシンスキャンのアクセス許可を付与する

Disk Snapshot Contributorロールを割り当てることで、Azure ワークロードをスキャンするために必要なアクセス許可をクラウドサイバーエクスポージャーに付与します。これらのアクセス許可は通常、ウィザードでの Azure サブスクリプションの接続の一部として付与 Tenable 。ただし、組織またはサブスクリプションがオンボーディングされたタイミングによっては、アクセス許可がまだ付与されていないことがあります。

ワークロードをスキャンする Azure サブスクリプションをすでにオンボーディングしているものの、仮想マシンスキャンのアクセス許可がまだ追加されていない場合は、以下の手順に従います。
ワークロードをスキャンする Azure サブスクリプションをまだオンボーディングしていない場合は、 Azure サブスクリプションの接続に記載されている手順に従います。

仮想マシンスキャンのアクセス許可を付与するには:

Azure ポータルで、[サブスクリプション] ページに移動し、関連するサブスクリプションをクリックします。
[アクセス制御 (IAM)] をクリックし、 [追加] > [ロール割り当ての追加] をクリックします。
[ロールの割り当ての追加] ページで、 ディスクスナップショットコントリビューター ロールを検索して選択し、[次へ] をクリックします。または、カスタムロールを使用した特定の Azure アクセス許可の付与。

組み込みロールを使用した Windows アクセス許可の付与
- BitLocker を備えた仮想マシンまたは DM-Crypt (Ubuntu でのみサポートされている) ディスク暗号化を備えた Linux 仮想マシンWindowsスキャンをサポートするには、TenableにKey Vault Secrets Userロールを付与する必要があります。
- Key Vault (KEK) のキーを含む BitLocker 暗号化シークレットを持つ仮想マシンWindowsスキャンをサポートするには、Tenableに Key Vault Crypto User ロールも付与する必要があります。
- これらのアクセス許可は、サブスクリプションごとまたは Key Vault ごとに付与できます。
- アクセス許可が付与されていない場合、関連する仮想マシンのスキャンステータスは [無効] になります。
- アクセス許可を付与した後すぐに仮想マシンがスキャンされるわけではありません。 Tenable は、前回のスキャンから 24 時間が経過するとすぐに各仮想マシンのスキャンを試みます。
[ アクセスの割り当て先] は、デフォルトの選択 [ユーザー、グループ、またはサービスプリンシパル] のままにします。
[ メンバー] で、[+メンバーを選択] をクリックします。
クラウドサイバーエクスポージャーコネクタアプリを検索して選択し、[選択] をクリックします。
[次へ] をクリックし、新しいロールを確認して [レビューと割り当て] をクリックします。

カスタムロールを使用した特定の Azure アクセス許可の付与

ディスクスナップショット共同作成者ロールを介して Azure ワークロードをスキャンするアクセス許可をクラウドサイバーエクスポージャーに付与する代わりに、カスタムロールを使用して、より制限されたアクセス許可セットを付与できます。暗号化された仮想マシンのスキャンに必要な追加の Key Vault アクセス許可を含む、カスタムロールのアクセス許可の完全なリストについては、「 Azure の必要なアクセス許可」を参照してください。

カスタムロールを使用して特定の Azure アクセス許可を付与する方法:

Azure の必要なアクセス許可に記載されているアクセス許可を持つカスタムロールを作成します。
仮想マシンスキャンのアクセス許可を付与するの手順に従いますが、「 ディスクスナップショット共同作成者 」ロールを選択する代わりに、作成したカスタムロールを選択します。

GCP: ワークロード保護のアクセス許可を付与する

カスタムポリシーを使用して、GCP ワークロードをスキャンするアクセス許可をクラウドサイバーエクスポージャーに付与します。これらのアクセス許可は、Tenable ウィザードでの GCP オンボーディングプロセスの一部として付与されますが、組織またはプロジェクトをオンボーディングした時期によっては、まだ付与されていない場合もあります。

ワークロードをスキャンする GCP の組織またはプロジェクトをすでにオンボーディングしているものの、ワークロード保護のアクセス許可がまだ追加されていない場合は、以下の手順に従います。
ワークロードをスキャンする GCP の組織またはプロジェクトをまだオンボーディングしていない場合は、 Google Workspace の接続に記載されている手順に従います。

ワークロード保護のアクセス許可がすでに追加されているかどうかを確認するには、クラウドサイバーエクスポージャーコンソールで GCP > [Settings > Accounts] (アカウント) に移動し、アカウントのステータスを確認します。

ステータスが [接続済み] の場合、必要なアクセス許可はすでに付与されています。
ステータスが[Missing workload protection permissions] (ワークロード保護のアクセス許可なし) の場合は、以下の手順に従って不足しているアクセス許可を追加します。

ワークロードのアクセス許可を付与するには

関連する環境の GCP コンソールで、[組織] スコープに移動します。
左上にある三本線メニューをクリックして、[IAM] > [IAM] の順にクリックします。
左側のメニューで [ロール] をクリックします。
[+ ロールを作成] をクリックします。
ロールの意味のある タイトル、説明、 ID を入力します。たとえば、タイトルとして「 Tenable Workload Scanning Permissions 」と入力できます。
[+ 権限を追加] をクリックします。
[ワークロード保護] の Google の必要なアクセス許可にリストされているアクセス許可を追加します。フィルターを使用して各アクセス許可を検索して選択し、[追加] をクリックします。

完了すると、7 つのアクセス許可がすべて割り当てられていることが確認できるはずです。
[作成] をクリックします。
左側のメニューで [IAM] をクリックします。
[+アクセスを許可] をクリックします。
Tenableウィザードのステップ 4 (ワークロードスキャンのアクセス許可を付与する) に表示されるサービスアカウントをコピーし、[プリンシパルの追加] セクションに貼り付けます
[ロールの割り当て] セクションで、先ほど作成したカスタムロールをフィルタリングして選択します。
[保存] をクリックします。

OCI: ワークロード保護のアクセス許可を付与する

新しい OCI ポリシーを作成し、ポリシーステートメントを使用して必要なアクセス許可を割り当てることで、クラウドサイバーエクスポージャーに OCI ワークロードをスキャンするアクセス許可を付与します。

ワークロード保護のアクセス許可を付与する方法

クラウドサイバーエクスポージャーコンソールで、オンボーディングウィザードの [OCI ワークロード保護] トグルが有効になっていることを確認します。
Oracleコンソールで、[アイデンティティとセキュリティ] > [アイデンティティ > ポリシー] の順に移動します。
[ポリシーの作成] をクリックし、以下の詳細を入力します。
1. 名前: 意味のある名前を入力します。
2. 説明: わかりやすい説明を入力します
3. コンパートメント: root コンパートメントを選択します
ポリシー・ビルダーで、「 手動エディタの表示 」をクリックし、「 OCIの必要なアクセス許可」にリストされているステートメントを追加します。

注意: 所有および管理するキーで暗号化されたボリュームをスキャンする必要がある場合は、同じ記事の暗号化ボリュームにリストされているステートメントも追加します。

Alibaba Cloud: ワークロード保護のアクセス許可を付与する

Tenable RAM ロールに追加されたカスタムのインラインポリシーを使用して、Alibaba Cloud ワークロードをスキャンするアクセス許可をクラウドサイバーエクスポージャーに付与します。これらのアクセス許可は、 Tenable ウィザードでの Alibaba Cloud 統合プロセスの一部として付与されますが、アカウントをオンボーディングした時期によっては、まだ付与されていない場合もあります。

ワークロードをスキャンする Alibaba Cloud アカウントをすでにオンボーディングしているものの、ワークロード保護のアクセス許可がまだ追加されていない場合は、以下の手順に従います。
ワークロードをスキャンする Alibaba Cloud アカウントをまだオンボーディングしていない場合は、「 Alibaba Cloud アカウントの接続」に記載されている手順に従います。

ワークロード保護のアクセス許可がすでに追加されているかどうかを確認するにはSettings、クラウドサイバーエクスポージャーコンソールで [> Organization > Accounts > Alibaba Cloud] に移動し、アカウントのステータスを確認します。

ステータスが [接続済み] の場合、必要なアクセス許可はすでに付与されています。
ステータスが [Connected with issues] (接続に問題あり) であり、ツールチップにワークロード保護のアクセス許可が付与されていないことが示されている場合は、以下の手順に従います。