アカウント階層とフォルダー

Tenable One Cloud Exposure では、コンソール全体にアカウント階層が表示されます。この階層は、 Tenable 内の以下のエンティティの管理方法と操作方法に影響を与えます ( アカウントの範囲)。

  • プロジェクト
  • クラウドアカウント
  • アイデンティティプロバイダー
  • コードリポジトリ
  • コンテナレジストリ

Tenable により、組織内の他のすべてのフォルダーを含む最上位の 組織 フォルダーが自動的に作成されます。それぞれのクラウドプロバイダー (またはアイデンティティプロバイダー) に属する最初のアカウントを追加すると、[Organization] (組織) フォルダーの下に追加のフォルダーが自動的に作成されます。

組織に多数のアカウントがある場合は、フォルダーを使用して、クラウドサイバーエクスポージャー 内で構造化されたアカウント階層を維持することが重要です。 この構造は、以下の方法で作成できます。

重要: クラウドサイバーエクスポージャー にオンボーディングするアイデンティティプロバイダーテナントは組織ツリーにも表示されますが、アカウントフォルダーの作成することはできません。

accountHierarchy1 (アカウント階層1)

注意: Organization (組織)、AWS、Alibaba Cloud、Azure、GCP、または OCI の親フォルダーを削除、名前変更、または移動することはできません。異なるクラウドプロバイダーのアカウントをグループ化することはできません。AWS 監査ログアカウントは、コンソール全体のアカウントフォルダツリーには表示されません。

フォルダー構造を自動的に更新

クラウドプロバイダー、アイデンティティプロバイダー、コードリポジトリのオンボーディング中に、 クラウドサイバーエクスポージャー のフォルダー構造を自動的に更新するかどうかを選択できます。このオプションを有効にすると、以下のようになります。

  • オンボーディングされた組織のフォルダー構造はプラットフォームにコピーされます。アカウント階層はそのまま維持され、継続的に同期されます。たとえば、AWS 内で既存のアカウントを新しく作成されたフォルダーに移動した場合、その変更は Tenable で反映されます。
  • アカウント構造の変更は、環境内で次回データの同期と更新の頻度ときにクラウドサイバーエクスポージャーに反映されます。
  • 環境に存在しないフォルダーはすべて削除されます。
  • 環境内の空のフォルダーはすべて削除されます。
  • クラウドサイバーエクスポージャー内の組織のフォルダーやアカウントを移動、編集、または作成することはできません。
  • 新しいアカウントはルートの 組織 フォルダーにのみ手動で追加でき、特定の組織には追加できません。
  • アカウントがクラウドプロバイダー内の別の組織に移動された場合
    • 別の組織が Tenable にオンボーディングされていない場合、アカウントは Tenable 内の現在の場所に残ります。アカウントの削除を選択できます。
    • 別の組織が Tenable にオンボーディングされている場合、アカウントは Tenable 内の新しい場所に移動します。
  • クラウドサイバーエクスポージャー ユーザーアクセス許可は、アクセス許可が定義されたアカウント範囲に紐づけられます。たとえば、ユーザーに特定のフォルダーレベルの範囲 (フォルダー 1) に対して付与された [コラボレータ] のアクセス許可があり、 フォルダー 1 がクラウド内の新しい場所に移動された場合でも、同じアクセス許可が保持されます。詳細については、 高度なユースケースの例 を参照してください。

高度なユースケースの例

  • 例 #1 - 自動化:
    1. 複数の子アカウントを含む特定のフォルダーレベルの範囲 (フォルダー 1) で統合 (Slack) を設定しました。
    2. 子アカウントの 1 つ (アカウント 1) で、この Slack 統合を使用する 自動化 を定義しました。
    3. その後、AWS 環境でアカウント 1 を別のフォルダー (フォルダー 2) に移動しました。
    4. 結果: Tenable は、既存の自動化フローを損なわないように、アカウントを新しいフォルダーに移動しません。
  • 例 #2 - アクセス許可:
    1. クラウドサイバーエクスポージャーユーザーには、複数の子アカウントを含む特定のフォルダーレベルの範囲 (フォルダー 1) に対して付与された「コラボレータ」のアクセス許可があります。
    2. その後、AWS 環境でアカウント 1 を別のフォルダー (フォルダー 2) に移動しました。
    3. 結果 アクセス許可がアカウント自体ではなく親レベルの範囲 (フォルダー 1) に定義されているため、ユーザーはアカウント 1 へのアクセス許可を失います。

よくある質問

回答:

  1. アカウント構造の変更は、環境内で次回データの同期と更新の頻度ときにクラウドサイバーエクスポージャーに反映されます。
  2. 高度なユースケースの例 #1 を参照してください

クラウド組織のオンボーディング中に「フォルダー構造の自動更新」オプションを有効にした場合、これらのエンティティはクラウド環境と同期されるため、 Tenable内のフォルダーやアカウントを編集/削除/移動することはできません。

アカウントフォルダーの作成

アカウントフォルダーを作成して、たとえば以下に基づいて、オンボーディングされたクラウドアカウントを手動で論理的にグループ化します。

  • 開発環境または本番環境
  • 製品
  • 一意の所有者を持つビジネスユニット

これらのフォルダーを使用すると、クラウドサービスプロバイダー内の既存の階層と同じように、アカウント (および他のフォルダー) をネストできます。

  • AWS 組織単位 (OU)
  • Alibabaクラウド組織
  • Azure 管理グループ
  • GCP フォルダー
  • OCI テナンシ

カスタムフォルダーはツリー構造内でフォルダーアイコンでマークされ、アカウントにはそれぞれのクラウドプロバイダーのアイコンでマークされます。

フォルダーを操作するには

  1. クラウドサイバーエクスポージャーコンソールで、[Settings > Accounts] に移動して、いずれかのプロバイダーを選択します。

    既存のフォルダーは、ページの左側にあるツリーに表示されます。

    アカウント階層 2

  2. フォルダーを追加する場所に移動します。たとえば、ルート AWS フォルダーの下に追加する場合は、ツリーで AWS フォルダーを選択します。

    フォルダーを選択すると、そのフォルダーに属するすべてのアカウント (およびネストされたフォルダー) がメインテーブルに表示されます。

  3. [Add icon]、[フォルダーの作成] の順にクリックします。

  4. 新しいフォルダに一意の名前を入力し、[フォルダの作成] をクリックします。

    左側のツリー階層と、アカウントとフォルダーのメインテーブルにフォルダーが表示されます。

  5. フォルダーの名前を変更するには、フォルダーの横にある [編集] ボタンをクリックし、新しい名前を入力します。
  6. フォルダーを削除するには、フォルダーの横にある [削除] ボタンをクリックし、削除を確定します。
  7. フォルダーを移動するには、フォルダーの横にある [移動] ボタンをクリックし、関連するフォルダーを選択してフォルダーの新しい場所を選択します。
注意: Organization (組織)、AWS、Alibaba Cloud、Azure、GCP、または OCI の親フォルダーを削除、名前変更、または移動することはできません。異なるクラウドプロバイダーのアカウントをグループ化することはできません。

アカウントの範囲

アカウント範囲は、オンボーディングされたクラウドアカウント、アイデンティティプロバイダーテナント、IaC リポジトリ、またはそのようなアカウントのグループを表し、次のいずれかになります。

  • 組織全体 (クラウドサイバーエクスポージャー にオンボーディングされたすべてのアカウント)。
  • アカウントのグループ。たとえば、特定のクラウドプロバイダー (すべての AWS アカウント) またはアイデンティティプロバイダー (すべての Microsoft Entra ID テナント) に属するすべてのアカウント、あるいは特定のクラウドプロバイダー内のアカウントのグループ ( アカウントフォルダーの作成別にグループ化) などです。
  • 特定のアカウントやアイデンティティプロバイダーのテナント。
  • プロジェクト
  • すべての IaC 組織、または個々のリポジトリのサブセット。これにより、特定の範囲のコードスキャン結果を表示するためのアクセスが付与されます。

特定のアカウント範囲においてコンソールアカウント範囲によるコンソールデータのフィルタリングおよび機能の設定クラウドサイバーエクスポージャーコンソールで機能を設定できます。

アカウント範囲によるコンソールデータのフィルタリングおよび機能の設定

特定のアカウント範囲内において、 クラウドサイバーエクスポージャー コンソールで特定の機能を表示および構成します。たとえば、特定の Azure アカウントの違反をモニタリングするカスタムポリシーを作成できます。

  • 選択したアカウント範囲は、コンソールのページ間を移動しても保持されます。選択した範囲に設定されたままになり、手動で変更しない限りデフォルトに戻ることはありません。
  • アカウント範囲のフィルターでは、一度に 1 つの範囲のみ選択できます。このフィルターでは、複数のアカウント範囲を一度に選択することはサポートされていません。 代わりの方法を教えてください。
    1. 目標とする範囲を含むプロジェクトを作成し、プロジェクト別にフィルタリングします。
    2. 関連するコンソールのページ内で、[アカウント] フィルターを使用すると、複数のアカウント範囲を一度にフィルタリングできます。たとえば、検出結果ページ内や、データ/ワークロードページ全体です。デフォルトでフィルターが表示されない場合は、フィルターを追加する必要があります。

アカウント範囲ごとに機能を表示/設定する方法

  • コンソールの任意のページから、アカウント範囲のドロップダウンをクリックし、範囲を選択します。

    The account scope dropdown, showing the organization's projects and cloud accounts

選択した範囲により、実行できるアクションはさまざまな影響を受けます。たとえば、次の点を考慮します。

  • カスタムポリシー: カスタムポリシーを有効または無効にできるのは、そのポリシーを作成した元のフォルダーやアカウントからのみです。たとえば、最上位の AWS フォルダーからカスタムポリシーを作成した場合、その AWS フォルダー内の子フォルダー/アカウントからポリシーを有効化/無効化することはできません。詳細については、「 クラウドポリシー: カスタム を参照してください。

サポートされている機能

ほとんどのコンソール機能は、次のようなアカウント範囲で表示および設定できます。

  • クラウドサイバーエクスポージャーユーザーを追加する
  • 統合を追加する
  • レポートの作成
  • ライセンス使用状況データの表示
  • Kubernetes クラスタを表示する
  • JIT 使用資格の追加 (クラウドアカウントのみ)
  • ワークロード保護の設定を行う (クラウドアカウントのみ)
  • ポリシーの有効化/無効化 (クラウドアカウントのみ)
  • 自動化ルールの作成 (クラウドアカウントのみ)
  • コンプライアンススコアを表示する (クラウドアカウントのみ)
  • IaC コードのスキャン結果を表示する (IaC 組織のみ)

アカウントの継承

組織レベルまたはアカウント (フォルダー) のグループ内で作成されたエンティティは、今後作成される子アカウントを含め、すべての子アカウントに継承されます。たとえば、 継承されたユーザーです。