FAQ - IAM ガバナンス

Azure では読み取りアクセス許可が記録されないためです。結果として、前回のアクティビティとは、前回実行された管理書き込みアクティビティを指します。

過剰なアクセス許可のコンテキスト内で、 Tenable One Cloud Exposure は以下のアクティビティについての学習期間を強制します。この期間に過剰なアクセス許可に関連する新しい発見は作成されません

• 新しい人間のアイデンティティが作成される場合 - デフォルトは 90 日です ( IAMで構成可能)。
• 新しいサービス/マシン ID の作成時 - デフォルトは 90 日です IAMで構成可能です。
• アイデンティティまたはリソースのアクセス許可が変更された場合 - 30 日間

継続的に新しいサービスとアクセス許可をフィルタリングして分類する自動メカニズムがあります。さらに、クラウドサイバーエクスポージャー は新しいサービスの定期的な手動レビューを実行し、自動分類が可能な限り正確であることを確認します。

は Tenable 、Microsoft Entra ID グループがそのメンバーによってアクティブに使用されていないアクセス許可を持っているかどうかを評価します。グループ自体はアクションを直接実行しないため、グループのメンバーが使用するアクセス許可に基づいて分析されます。

技術的にはアクセス許可はグループに割り当てられていますが、それを使用できるのはメンバーのみです。 クラウドサイバーエクスポージャー は、メンバーが実際に使用している権限を分析し、グループに割り当てられた権限のいずれかが不要かどうかを判断します。

個々のメンバーを基にしています。1 人のメンバーがグループに割り当てられた特定のアクセス許可を使用している場合、そのアクセス許可は使用中と見なされ、削除用のフラグが立てられません。

Tenable はすべてのメンバーが使用するアクセス許可を集約します。メンバー A が権限 X を使用し、メンバー B が権限 Y を使用する場合、X と Y の両方が使用中と見なされ、グループは両方を保持することが推奨されます。

特定の場合では、プリンシパル (ユーザーやグループなど) に関連付けられているアクセス許可データが、システムで処理できる安全なしきい値を超えて拡大する可能性があります。この状況が発生すると、ブラウザのパフォーマンスの問題を防ぐために、データのロードまたはレンダリングの試行を回避します。そのため、グラフとテーブルビューの両方が使用できなくなります。

はい、2 つの異なるシナリオがあります。

• シナリオ 1: まれに、データは正常に読み込まれたものの、大きすぎてグラフとして表示できない場合があります。引き続き、テーブル (リスト) 形式で表示できます。
• シナリオ 2: データセットサイズがシステム制限を超える例外的なケースでは、パフォーマンスの問題を回避するためにグラフとテーブルの両方が保留されます。代わりにメッセージが表示されます。

場合によっては、データが正常にフェッチされた場合、より小さいリソースセットを選択するなどしてクエリの範囲を絞り込むことで、データを表示するのに必要なだけデータサイズを縮小できることがあります。

回答: サマリーは 完全に未使用のサービスのみをハイライトします。アイデンティティがサービス (S3 や EC2 など) 内で少なくとも 1 つのアクセス許可を使用している場合、そのサービスは「過剰」カウントから除外されます。たとえ、未使用のアクションが含まれているとしても。

システムは 、機能的影響に基づいてアクセス許可をマッピングします。たとえば、特定の EC2 アクセス許可は、ACM 証明書を管理する機能も付与します。そのため、ポリシーが EC2 のみを明示的に記載している場合でも、ACM がグラフに表示されます。

不正確です。総数 (例: 1,000 のアクセス許可) は、そのアイデンティティが実行できる 範囲すべて を表します。これには、すべてのサービスで必要 (使用) と過剰 (未使用) のアクセス許可の両方が含まれます。