アクセス許可マッピングの視覚化

リソースプロファイルビューで、 [IAM] > [グラフ] タブをクリックし、特定のリソースに存在する権限マッピングを表示します。これは、 オリジネータ またはアイデンティティとして動作するリソースが、(ポリシーで付与されたアクセス許可を通じて) 環境内のロールを引き受けて他のリソースにアクセスする方法をより詳しく理解するのに役立ちます。

たとえば、アクセス許可マッピングを使用して以下を実行できます。

• AWS の Azure AD ユーザーがアクセスできるすべてのリソースを視覚化
• 特定のリソースに付与された管理者のアクセス許可 (深刻度フィルター) を特定する
• データの読み取り/書き込みを行うアクセス許可を持つアイデンティを検索する (データの読み取り/書き込みカテゴリ)

過剰または使用されたアクセス許可

リソースへのアクセスを許可するアクセス許可は、次のいずれかです。

• 過剰な。サービスやマシンのアイデンティティの場合は過去 90 日間、人間のアイデンティティの場合は 180 日間使用されなかったすべてのアクセス許可。
• を使用しました。特定のリソースで、あるアクションを実行するために使用されたアクセス許可。

監査されないアクセス許可

アクセス許可マップでは、Azure の ID が通常、アクセス許可とアクセス可能なリソースの間に黄色の接続線で表示され、「一部のアクセス許可が過剰」であることを示しています。

Azure では、読み取りアクセス許可は監査されません。結果として、黙示的な反証がない限り、クラウドサイバーエクスポージャー は読み取りのアクセス許可が使用されていると仮定します。これは、リソースに関連付けられている他の一部のアクセス許可 (読み取り、削除など) が過剰な場合でも、読み取りアクセス許可が存在することで「一部のアクセス許可が過剰」という全体的な関係に変換されることを意味します。これは通常、[データの読み取り] および [インフラの読み取り] カテゴリのアクセス許可に発生します。

これはまた、AWS の特定のアクセス許可にも当てはまり、AWS CloudTrail ではログに記録されません。たとえば、IAM PassRole アクセス許可 (このアクセス許可の監査の詳細については、当社の ブログ投稿を ご覧ください)

マップレイアウトと例

マップは次の 3 つの一般領域に分割されます。

• オリジネータ/identity です。アクセス許可が直接付与されているか、別のアイデンティティを引き継ぎ、その引き継いだアイデンティティのアクセス許可を使用して機能するクラウドアイデンティティ。
• 付与されているアクセス許可。特定のアクティビティを実行するために、オリジネータやアイデンティティによって使用されているポリシーやロールまたはアクセス許可。
• アクセス可能なリソース.オリジネータやアイデンティティによってアクセスが可能なリソース。リソースへのアクセスを許可するアクセス許可は、過剰であるか、使用済みである可能性があります。

上記の例では、以下について確認できます。

• AWS ユーザー *オリジネータ*が IAM グループを引き受けました。
• このグループには、アクセス許可を付与する 1 つのポリシーがあります。
• ポリシーは、10 個のリソースにアクセスするアクセス許可をユーザーに付与します。
• 付与されるすべてのアクセス許可が過剰です。

マップの操作と使用

マップを操作し、アクセス許可やリソースに関する詳細を確認するには

1. マップ内を移動するには、マウスをクリックしてドラッグします。
2. マップを拡大および縮小するには、[Ctrl] キーを押しながらマウスウィールをスクロールします (またはマップをダブルクリックして拡大します)。 をクリックしてズームアウトし、マップ全体を表示
3. デフォルトでは、マップには、マップ内のすべてのリソースに関する過剰なアクセス許可のマッピングが表示されます。特定のアクセス許可またはリソースのアイコンをクリックすると、そのリソースのみに関する過剰なアクセス許可のマッピングに焦点が当てられます。

4. グラフ上のリソースに関する詳細を確認する、またはリソースに基づいてグラフをフィルタリングするには、リソースアイコンを右クリックします。使用できるアクション項目は、リソースタイプ、およびリソースが許可されているアクセス許可であるかアクセス可能なリソースであるかによって異なります。

   

   • ほとんどの付与されているアクセス許可では、リソースインベントリページに移動したり、JSON 形式でアクセス許可を表示したり、リソースに基づいてマップをフィルター処理したりできます。
   • ほとんどのアクセス可能なリソースについては、リソースインベントリページに移動したり、アクセス許可の全リストを表示したり、リソースに基づいてマップをフィルタリングしたりできます。

5. アクセス可能なリソースのアクセス許可の完全なリストを表示するには、リソースアイコンを右クリックし、 [アクセス許可の表示] をクリックします。表示されたダイアログボックスで、アクセス可能なリソースをクリックするか検索することで、そのリソースに対するアクセス許可をすべて表示できます。各アクセス許可の下に、 アクセス許可を付与するメカニズム表示され、アクセスできます。

   

6. マップを絞り込むには、マップの上部にあるフィルターを使用します。使用可能なフィルターは特定のリソースによって異なりますが、すべてのリソースで表示される次のフィルターが含まれます。
   • 使用法デフォルトでは、マップにはすべてのアクセス許可マッピングが表示されますが、過剰なアクセス許可のみを表示する、または使用済みのアクセス許可のみを表示するようにフィルターできます。
   • アクセスレベル。リソースまたはアイデンティティに付与するアクセスの範囲を定義します。アイデンティティとリソース間のアクセス範囲に基づいて、アクセス許可をフィルタリングできます。たとえば、「cross-account」(クロスアカウント) のアクセス許可のみを表示することができます。詳しくは、 アクセスレベル参照してください。
   • リソース.クラウドサイバーエクスポージャー によってモニタリングされている特定のリソースをフィルタリングします。
   • リスク深刻度の色分け度たとえば、特定のリソースに付与されている管理者権限 (重大深刻度) を特定するには、このフィルターを使用します。
   • アクセス許可の分析とリスクレベル。 たとえば、このフィルターを使用して、承認なしでデータを送信するアクセス許可 (データの読み取り / 書き込み) を持つリソースを特定します。

7. さまざまなマップオプションと追加のフィルターが、フィルターを介して、マップ右上にある

   

   マップオプション	説明
   追加のフィルター	リソースタイプに応じて、次のフィルターの 1 つ以上がここに表示される場合があります: クロスアカウント。(AWS) 別のアカウントでロールを引き受けているあるアカウントからのリソースでフィルタリングします。<br これにより、必要に応じて環境の安全な分離を特定し、維持することができます。たとえば、 開発および生産環境。[デスティネーションアカウント] フィルターを使用してビューを絞り込むこともできます。<br 特定の宛先アカウントにダウングレードします。 サードパーティの。サードパーティのリソースをフィルタリングします。 外部. (GCP) ワークスペースでローカルで定義されていない、外部 Google グループおよびユーザーを表示します。
   フルビュー	ズームアウトしてマップ全体を表示します。
   方向	デフォルトでは、選択したリソースがアクセスできるリソースがマップに示されます。 後方にピボットし、マッピングを逆にして、選択したリソースにアクセスできるすべてのリソースを表示することもできます関連する場合。
   グラフ/リストトグル	グラフ表示デフォルトとテキストベースのリスト表示の間でマップを切り替えます。
   エクスポート	外部ツールで処理するためにマップデータを CSV にエクスポートします。

アクセス許可を付与するメカニズム

次の表は クラウドサイバーエクスポージャー、 のリソースに権限を付与するメカニズム/ポリシーを一覧表示しています。