アクセス許可クエリ

すべてのクラウドアイデンティティにわたって柔軟で詳細なクエリを実行し、付与されているアクセス許可に関連する重要な問題を迅速に明らかにします。広範で直感的なフィルターにより、探している対象を迅速かつ簡単に見つけることができます。特定のクエリを実行すると、アイデンティティのオリジネータ 、関連するアクセス許可、アイデンティティがアクセスできるリソースなど、関連するさまざまなコンテキスト情報を表示できます。

たとえば、次を検索できます。

• 無制限のリソーススコープを持つ、本番アカウントでアクセス許可を持つ非本番アカウントのアイデンティ。
• 特定のアイデンティティがオブジェクトを削除するアクセス許可を持つストレージバケット。
• 特定のリソース ID に対するデータ読み取りアクセス許可を持つユーザーを特定します。

アクセス許可クエリの実行

アクセス許可をクエリするには

1. Tenable One Cloud Exposure コンソールで、 [調査] > [IAM] > [アクセス許可クエリ] をクリックします。

   

2. [アイデンティティ] または [リソース] でグループ化 するかどうかを選択すると、検索のフォーカスをアイデンティティからリソースにピボットできます。

3. テーブル内のデータをフィルタリングし、表示可能なデータの範囲を変更します。テーブルで使用可能なデータに関する詳細については、 アクセス許可クエリのテーブルのフィールド を参照してください。たとえば、いくつかの特定のユースケースに対処したり、お客様の環境に関連性の高いクエリのヒントを与えたりする可能性のある、いくつかのサンプルクエリを以下に示します。

   • アイデンティティタイプ: IAM Role ;権限 s3:GetObject ;リソーススコープ All resources
   • アイデンティティタイプ: IAM User ;アイデンティティラベル No MFA 。権限カテゴリ: Data Read ;リソーススコープ All resources
   • 権限カテゴリ: Data Read ;リソースラベル PII/Highly Confidentialインベントリ (プロパティとラベル)
   • アクセス許可サービス別 : Amazon API Gateway ;条件 Without
   • アイデンティティタイプ: Managed Identity;アクセスレベル: Cross Account

   クラウドサイバーエクスポージャーでのデータのフィルタリングに関する詳細については、 データのフィルタリング参照してください。

4. 一部のアイデンティティには、複数のリソースまたはポリシーが関連付けられている場合があります。エントリの横にある数字をクリックして、関連するすべてのエンティティの検索可能なリストを表示します。

   

5. リソースの詳細の表示 それに関する詳細な情報を表示します。
6. クエリデータをエクスポートするには、表の右上にある [エクスポート] ボタンをクリックします。データは、テーブルに適用されている現在のフィルターに従ってエクスポートされます。複数のエントリがある項目の場合、エクスポートされるファイルには最大で 100 のエントリが表示されます。

アクセス許可クエリのテーブルのフィールド

次のフィールドを使用して、アクセス許可クエリページの表のデータをフィルタリングできます。