ユーザーとグループ

新しいユーザーまたはグループを追加し、Tenable One Cloud Exposureコンソール内で特定のアクセス許可を割り当てます。

Tenable One のお客様:

• Tenable 管理者ロールを持つ 1 人のユーザーには、クラウドサイバーエクスポージャー コンソールでそのようなアクセス許可が明示的に付与されていない場合でも、組織全体へのアクセス権を持つ管理者ロールのアクセス許可がクラウドサイバーエクスポージャー内で自動的に割り当てられます。
• 管理者以外のユーザー/グループがクラウドサイバーエクスポージャーコンソールにアクセスできるようにするには、まずTenable Oneでユーザーまたはグループを定義してアクセス権を付与してから、クラウドサイバーエクスポージャーコンソール新しいユーザーの追加する必要があります。
• Tenable 新しいユーザーの追加新しいグループを追加するを追加する際に、任意のロールを持つ 1 人のユーザーに希望する範囲を割り当てることで、アカウント階層とフォルダーでクラウドサイバーエクスポージャーへのアクセス権を付与できます。

新しいユーザーまたはグループは、ユーザーが クラウドサイバーエクスポージャーでアクセスできるアカウントを定義する特定の範囲内で追加されます。たとえば、ユーザーを組織全体 (すべてのアカウント) に追加することも、アカウントのサブセットに追加することもできます。詳細については、アカウント階層とフォルダーを参照してください。

個別に追加したユーザーが、追加したグループのメンバーでもある場合、そのユーザーには、ユーザー/グループに割り当てられたロール/範囲のアクセス権のうち、最高レベルのアクセス権が付与されます (それらのアクセス権が異なる場合)。たとえば、次の状況です。

• ユーザー X: ロール = 管理者。範囲 = すべての AWS アカウント
• グループ Y (ユーザー X がメンバー): ロール = コラボレータ。範囲 = 組織全体

ユーザー X は、組織全体に対する管理者のアクセス許可を持ちます。

新しいユーザーの追加

新しいユーザーを追加する方法

1. [Settings > User Management] に移動します。

2. ページ上部にある組織ツリーで、ユーザー アカウント階層とフォルダー を選択します。

   

   範囲は以下のいずれかになります。

   1. 組織全体 (クラウドサイバーエクスポージャー にオンボーディングされたすべてのアカウント)。
   2. アカウントのグループ。たとえば、特定のクラウドプロバイダー (すべての AWS アカウント) またはアイデンティティプロバイダー (すべての Microsoft Entra テナント) に属するすべてのアカウント、あるいは特定のクラウドプロバイダー内のアカウントのグループ ( アカウント階層とフォルダー別にグループ化) などです。
   3. 特定のアカウントやアイデンティティプロバイダーのテナント。
   4. プロジェクトまたはプロジェクトのフォルダー。
   5. すべての IaC 組織、または個々のリポジトリのサブセット。これにより、特定の範囲の コードスキャン結果 を表示するためのアクセスが付与されます。
   注意: IaC の範囲内にユーザーを追加すると、ユーザーには IaC 関連の機能へのアクセス権 のみ が付与されます。このようなユーザーは、クラウドリソースや、ダッシュボードなどのその他の機能にはアクセスできません。IaC 階層は、Tenable RBAC (ユーザー/グループの追加) のコンテキスト内でのみ使用でき、他のコンテキスト (ポリシーやレポートなど) では表示されません。

   親レベルで作成されたユーザーが子アカウントに継承される方法の詳細については、「 継承されたユーザー 」を参照してください。

3. [ロールの割り当てを追加] をクリックし、[プリンシパル] で [ユーザー] を選択します。

4. ボックスで、ユーザーのメールアドレスを検索して選択します。

   クラウドサイバーエクスポージャー へのログインに SSO が構成されている場合、追加するユーザーのメールアドレスは組織内の既存のユーザーのものである必要があります。

5. ユーザーに ロール を割り当て、[保存] (Save) をクリックします。

   1. 閲覧者 - クラウドサイバーエクスポージャー へのアクセスを表示します ([管理] タブを除く)
   2. Collaborator (コラボレータ) - すべての Viewer (閲覧者) のアクセス許可に加えて、リソースを分類し検出結果に対応することが可能。
   3. 管理者 - すべてのコラボレータのアクセス許可に加えて、クラウドサイバーエクスポージャー管理 (アカウントの追加、設定の構成、監査証跡の表示) が可能です。
   4. JIT 管理者 - JIT 使用資格を管理し、JIT ポータル経由で JIT 監査証跡を表示。

   カスタムロールは、[ロール] ドロップダウンボックスにも表示されます。カスタムロールの作成と管理の詳細については、「 ロールを参照してください。
   各組み込みロールによって付与されるアクセス許可の詳細なリストについては、「 ロールとアクセス許可」を参照してください。

6. ユーザーのアクセス許可レベルを変更する必要がある場合は、ユーザーの横にある [編集] アイコン を選択し、新しいロールを選択してから、[保存] を選択します。

   注意: 自分のロールを [Administrator] (管理者) から [Collaborator] (コラボレータ) または [Viewer] (閲覧者) に変更すると、[User Management] (ユーザー管理) にアクセスしてロールを編集することができなくなります。

新しいグループを追加する

前提条件

クラウドサイバーエクスポージャー コンソールで新しいグループを追加する前に、次の手順に従ってシングルシングルサインオンします。

• IdP と Tenable の間に信頼を確立する
• IdP がグループのクレームを クラウドサイバーエクスポージャー に送信するようにグループマッピングを設定する

新しいグループを追加する方法

1. [Settings > User Management] に移動します。

2. 左側の組織ツリーで アカウントの範囲 。

   

   範囲は以下のいずれかになります。

   1. 組織全体 (クラウドサイバーエクスポージャー にオンボーディングされたすべてのアカウント)。
   2. アカウントのグループ。たとえば、特定のクラウドプロバイダー (すべての AWS アカウント) またはアイデンティティプロバイダー (すべての Microsoft Entra テナント) に属するすべてのアカウント、あるいは特定のクラウドプロバイダー内のアカウントのグループ ( アカウントフォルダーの作成別にグループ化) などです。
   3. 特定のアカウントやアイデンティティプロバイダーのテナント。
   4. プロジェクトまたはプロジェクトのフォルダー。

   5. すべての IaC 組織、または個々のリポジトリのサブセット。これにより、特定の範囲の コードスキャン結果 を表示するためのアクセスが付与されます。

      注意: IaC の範囲内にユーザーを追加すると、ユーザーには IaC 関連の機能へのアクセス権 のみ が付与されます。このようなユーザーは、クラウドリソースや、ダッシュボードなどのその他の機能にはアクセスできません。IaC 階層は、Tenable RBAC (ユーザー/グループの追加) のコンテキスト内でのみ使用でき、他のコンテキスト (ポリシーやレポートなど) では表示されません。

   親レベルで作成されたユーザーが子アカウントに継承される方法の詳細については、「 継承されたユーザー 」を参照してください。

3. [ロールの割り当てを追加] をクリックし、[プリンシパル] で以下を選択します。
   • グループ。このオプションは、アイデンティティプロバイダーで定義されたグループに対して使用します。
   • Microsoft Entra ID グループ(Microsoft Entra ID 統合が設定されている場合にのみ利用可能)。Microsoft Entra ID グループにはグループ名に加えてグループ ID が必要なため、このオプションを選択するのは、次のとおりです。
4. グループ情報を入力します。フィールドは、ステップ 3 で選択したオプションによって異なります。
   • グループ名。[グループ] オプションを使用して追加されたグループの場合、これはアイデンティティプロバイダーで定義されているグループ名になります。[Microsoft Entra ID グループ] オプションを使用して追加したグループの場合、この名前が クラウドサイバーエクスポージャー コンソールに表示されます。

   • グループ ID (Microsoft Entra ID グループ のみ) 追加するグループの Microsoft Entra ID グループ オブジェクト ID (GUID)。

     

5. グループに ロール を割り当て、[保存] ( Save) をクリックします。

   1. 閲覧者 - クラウドサイバーエクスポージャー へのアクセスを表示します ([管理] タブを除く)
   2. Collaborator (コラボレータ) - すべての Viewer (閲覧者) のアクセス許可に加えて、リソースを分類し検出結果に対応することが可能。
   3. 管理者 - すべてのコラボレータのアクセス許可に加えて、クラウドサイバーエクスポージャー管理 (アカウントの追加、設定の構成、監査証跡の表示) が可能です。
   4. JIT 管理者 - JIT 使用資格を管理し、JIT 監査証跡を表示。

   カスタムロールは、[ロール] ドロップダウンボックスにも表示されます。カスタムロールの作成と管理の詳細については、「 ロールを参照してください。
   各ロールに付与されるアクセス許可の詳細なリストについては、「 ロールとアクセス許可」を参照してください。

6. グループのアクセス許可レベルを変更する必要がある場合は、グループの横にある [編集] アイコン を選択し、新しいロールを選択してから 、[保存] を選択します。

   注意: 自分のロールを [Administrator] (管理者) から [Collaborator] (コラボレータ) または [Viewer] (閲覧者) に変更すると、[User Management] (ユーザー管理) にアクセスしてロールを編集することができなくなります。

継承されたユーザー

組織レベルまたはアカウントのグループ内で作成されたユーザーは、今後作成される子アカウントを含め、すべての子アカウントに継承されます。たとえば、組織レベルで「ユーザー X」を作成し、これに [Collaborator] (コラボレータ) ロールを割り当てると、同じロールを持つ「ユーザー X」が存在し、すべての子アカウントに対するアクセス許可を持つことになります。後から組織に新しいアカウントを追加すると、「ユーザー X」には新しいアカウントに対するアクセス許可も持つことになります。

[User Management] (ユーザー管理) テーブルの子アカウントの下に「ユーザー X」が表示され、ロール列にユーザーが継承されたことが示されます。

子アカウント内では、継承されたユーザーのロールを編集してユーザーのアクセス許可レベルを上げることのみを実行できます。たとえば、[Collaborator] (コラボレータ) ロールを持つユーザーを [Administrator] (管理者) に変更することはできますが、[Viewer] (閲覧者) に変更することはできません。同様に、親アカウント/グループ内で [Administrator] (管理者) ロールを付与されたユーザーのロールを変更することはできません。詳細については、ロールとアクセス許可を参照してください。

組み込みのロールとアクセス許可

ユーザー/グループに割り当てることができる組み込みロールは 3 つあります。

• ビューワー
• コラボレータ
• Administrator (管理者)

さらに、 所有者 ロールは、常に クラウドサイバーエクスポージャー 環境の所有と管理を担当する 1 人の担当者により明確かつ明確に説明できるようにするために存在します。

• 所有者ロールには、管理者と同じアクセス許可があります。
• 一度に 1 人ユーザーのみが所有者ロールを持つことができます。
• このロールを持つユーザーは、所有権を別のユーザーに譲渡できます。

管理者は、モジュールレベルの詳細なアクセス許可を持つカスタムロールを作成することもできます。詳細については、「 ロール を参照してください。

各ロールは、 クラウドサイバーエクスポージャー コンソール内で異なるレベルのアクセス権を提供します。次の表に、各ロールによって付与されるアクセス許可の詳細を示します。

* 限定されたアカウント範囲(組織全体未満)が割り当てられた管理者は、特定の Settings ページへの部分的なアクセス権を持つ場合があります。詳細については、設定への管理者のアクセス: 全体の範囲と制限された範囲 を参照してください。