一般的な JIT のユースケース

注意: この機能は、Cloud Vulnerability Management ライセンスでは使用できません。

このセクションでは Tenable One Cloud Exposure 、 JIT Access で解決できる一般的なユースケースについて概説します。

AWS アカウントへのアクセスのリクエスト

JIT for AWS を利用して、組織へのアクセス権をユーザーに付与できます。たとえば、エンジニアリングチームに次のいずれかのアクセス許可を動的に付与する 2 つの別々の権限を作成し、組織の S3 バケットにアクセスすることができます。

  • 読み取りアクセス自動承認 (最大 24 時間)。
  • フルアクセス権。SRE チームによる手動承認、最大 6 時間。

前提条件

  • 権限を追加するには、クラウドサイバーエクスポージャー で管理者または JIT 管理者ロールが必要です。
  • JIT 用のオンボード AWS。

AWS アカウントの権限を構成するには:

  1. 資格の追加、特定のユースケースに合わせて必要に応じてカスタマイズします。

  2. たとえば、次のことが可能です。

    1. 次のサンプル値をガイドラインとして使用し、S3 読み取り専用 アクセスの資格情報を作成します。
      • 名前: S3 読み取り専用
      • 説明: この権限は、S3 バケットに読み取り専用のアクセス許可を付与します
      • どのユーザーまたはグループがアクセスを要求できるか: 組織の SSOの設計 グループ
      • どのアクセス許可がリクエストできるか: AmazonS3ReadOnlyAccess、AWS 管理コンソールを介してすべてのバケットへの読み取り専用アクセスを提供する AWS 管理ポリシー。
      • リクエストできる最大期間は何ですか?: 24 時間
      • そのアクセスはどのように承認されるべきですか: 自動的に承認
    2. 次のサンプル値をガイドラインとして使用して、S3 フル アクセスの資格情報を作成します。
      • 名前: S3 フルアクセス
      • 説明: この権限は、S3 バケットへのフルアクセス許可を付与します
      • どのユーザーまたはグループがアクセスを要求できるか: 組織の SSOの設計 グループ
      • どのアクセス許可がリクエストできるか: AmazonS3FullAccess、AWS 管理コンソールを介してすべてのバケットへのフルアクセスを提供する AWS 管理ポリシー。
      • リクエストできる最大期間は何ですか?: 6 時間
      • そのアクセスはどのように承認されるべきですか明示的な承認が必要
      • 承認者: 所属組織の SRE SSO グループ

    An example AWS eligibility for S3 read-only access

Azure アカウントへのアクセスをリクエストする

JIT for Azure を利用して、所属組織へのアクセス権をユーザーに付与できます。たとえば、2 つの別々の権限を作成し、エンジニアリングチームに次のいずれかのアクセス許可を動的に付与し、組織のブロブデータにアクセスすることができます。

  • 読み取りアクセス自動承認 (最大 24 時間)。
  • フルアクセス権。最大 6 時間の SRE チームによる手動承認。

前提条件

  • 権限を追加するには、クラウドサイバーエクスポージャー で管理者または JIT 管理者ロールが必要です。
  • JIT 用のオンボード Azure

Azure アカウントの権限を設定するには

  1. 資格の追加、特定のユースケースに合わせて必要に応じてカスタマイズします。

  2. たとえば、次のことが可能です。

    1. 次のサンプル値をガイドラインとして使用し、blob データの 読み取り専用 アクセスの資格情報を作成します。
      • 名前: ストレージ Blob データの読み取り専用
      • 説明この権限は、Azure ストレージのコンテナおよび blob に対する読み取り専用のアクセス許可を付与します
      • どのユーザーまたはグループがアクセスを要求できるか: 組織の SSOの設計 グループ
      • どのアクセス許可がリクエストできるかストレージ Blob データリーダー: ユーザーが Azure Storage コンテナと blob を読み取ってリストできるようにする Azure ビルトインロール。
      • リクエストできる最大期間は何ですか?: 24 時間
      • そのアクセスはどのように承認されるべきですか: 自動的に承認
    2. 次のサンプル値をガイドラインとして使用し、ブロブデータの フル アクセスの資格情報を作成します。
      • 名前: ストレージブロブデータのフルアクセス
      • 説明: この権限により、Azure Storage のコンテナと blob へのフルアクセス許可が付与されます
      • どのユーザーまたはグループがアクセスを要求できるか: 組織の Engineering SSO グループ
      • どのアクセス許可がリクエストできるかストレージ Blob データの所有者。Azure Storage Blob コンテナおよびデータへのフルアクセスを提供する Azure ビルトインロールです。
      • リクエストできる最大期間は何ですか?: 6 時間
      • そのアクセスはどのように承認されるべきですか明示的な承認が必要
      • 承認者: 所属組織の SRE SSO グループ

    An example Azure eligibility for Storage Blob Data Reader access

GCP アカウントへのアクセスをリクエストする

JIT for GCP を利用して、ユーザーに組織へのアクセスを付与できます。たとえば、2 つの別々の権限を作成し、エンジニアリングチームに次のいずれかのアクセス許可を動的に付与し、組織のブロブデータにアクセスすることができます。

  • 読み取りアクセス自動承認、最大 24 時間。
  • フルアクセス権。最大 6 時間の SRE チームによる手動承認。

前提条件

  • 権限を追加するには、クラウドサイバーエクスポージャー で管理者または JIT 管理者ロールが必要です。
  • JIT向けのオンボードGCP。

GCP アカウントの権限を設定するには

  1. 資格の追加、特定のユースケースに合わせて必要に応じてカスタマイズします。

  2. たとえば、次のことが可能です。

    1. 次のサンプル値をガイドラインとして使用し、BigQuery データの 読み取り専用 アクセスの資格情報を作成します。
      • 名前: BigQuery データの読み取り専用
      • 説明: この権限は、BigQuery データに対する読み取り専用のアクセス許可を付与します。
      • どのユーザーまたはグループがアクセスを要求できるか: 組織の SSOの設計 グループ
      • どのアクセス許可がリクエストできるかGCP の事前定義されたロールである BigQuery データビューア。
      • リクエストできる最大期間は何ですか?: 24 時間
      • そのアクセスはどのように承認されるべきですか: 自動的に承認
    2. 次のサンプル値をガイドラインとして使用し、BigQuery データに フル アクセスできる資格情報を作成します。
      • 名前: BigQuery データ所有者
      • 説明: この資格は、BigQuery データへの完全なアクセス許可を付与します。
      • どのユーザーまたはグループがアクセスを要求できるか: 組織の SSOの設計 グループ
      • どのアクセス許可がリクエストできるかBigQuery Data 所有者。GCP で事前定義されたロールであり、ユーザーは BigQuery テーブル / ビューを読み、共有、削除できます。
      • リクエストできる最大期間は何ですか?: 6 時間
      • そのアクセスはどのように承認されるべきですか明示的な承認が必要
      • 承認者: 所属組織の SRE SSO グループ

    An example GCP eligibility for BigQuery Data Viewer access

SaaS アプリケーションへのアクセスのリクエスト

JIT を利用して、ユーザーに IdP グループ経由で SaaS アプリケーションへのアクセスを許可できます。たとえば、Okta グループを使用して、グループを Salesforce.com アプリに割り当てることで、Salesforce へのアクセスを許可できます。 Salesforce へのアクセス権が必要なユーザーは、Okta グループへの参加を アクセスをリクエストする できます。これにより、Salesforce へのアクセス権が付与されます。

注意: 次の手順は Okta の使用資格を構成する方法を示していますが、他の IdP に対しても同様の手順を実行できます。

前提条件

  • 権限を追加するには、クラウドサイバーエクスポージャー で管理者または JIT 管理者ロールが必要です。
  • JIT 用の Onboard Okta。

SaaS アカウントの権限を設定するには

  1. Okta 管理コンソールで、Salesforce.com アプリケーションへのグループアクセスを割り当てます。

    The Okta Salesforce.com application's Assignments tab, with the Salesforce Readers group

  2. 資格の追加、特定のユースケースに合わせて必要に応じてカスタマイズします。たとえば、次のサンプル値をガイドラインとして使用し、Okta グループ (Salesforce.com アプリに割り当てられている) へのアクセス権を作成できます。

    • 名前: Salesforce データレビューア
    • 説明: この資格は、販売データを確認および分析するためのアクセス権を付与します。
    • どのユーザーまたはグループがアクセスを要求できるか: 組織の 営業担当者のSSO グループ。
    • リクエストできるグループはどれですか? Salesforce Reader
    • リクエストできる最大期間は何ですか?: 4 時間
    • そのアクセスはどのように承認されるべきですかオクタ セールスディレクター グループのメンバーによる明示的な承認が必要です。

    An example SaaS eligibility that adds Okta users to the Salesforce Readers group

EKS クラスターへのアクセスのリクエスト

AWS アクセスエントリと IdP グループを利用して、IAM ユーザーに EKS クラスターへの JIT アクセスを付与することで、このようなクラスターへのユーザーアクセスの付与に存在する一般的な問題を解決できます。アクセスエントリを作成すると、クラスタ外から IAM ユーザーの Kubernetes アクセス許可を管理できるようになります。アクセスエントリの詳細については、 関連する AWS ドキュメント を参照してください。

ユーザーがアクセス権をリクエストできるようにするには

  1. (AWS) 指定された IdP グループを介して EKS クラスターアクセスを許可するための AWS IAM を設定する (クラスターごとに 1 回限りのセットアップ)。
  2. (JIT) JIT 資格情報を追加します (管理者または JIT 管理者ロールが必要です)。
    • 設定時に使用される IdP グループを含む IdP アカウントの範囲内に権限を追加します。
    • IdP グループをリクエスタとして設定します。
  3. (JIT) IdP グループへの アクセスをリクエストする 。承認されると、リクエスタには関連する EKS クラスターで Kubernetes のアクセス許可が与えられます。

EKS クラスターアクセスを許可するための AWS IAM を設定する

一般的には、JIT ユーザーに EKS クラスターへのアクセスを許可するには、次の手順に従います ( 手順の詳細手順)。

  • IAM アイデンティティ・センター で空のアクセス許可セットを作成します。
  • IdP グループと新しいアクセス許可セットをクラスターのアカウントに割り当てます。
  • Elastic Kubernetes Service にアクセスエントリを作成し、アイデンティティをアクセスポリシーにマッピングできるようにします (事前定義された AWS が管理する Kubernetes アクセス許可)。

Diagram: JIT for EKS, where an IdP group maps through a permission set, role, and access entry to an EKS cluster access policy

前提条件

EKS クラスターアクセスを許可する AWS IAM を設定する方法

  1. 空のアクセス許可セットを作成します。
    1. AWS コンソールにログインします。
    2. IAM アイデンティティ・センターに移動します。
    3. [アクセス許可セット] をクリックし、 [アクセス許可セットを作成] をクリックします。
    4. タイプとして、 [カスタム] アクセス許可セットを選択し、 [次へ] をクリックします。

    5. [ポリシーとアクセス許可の境界] ページで、 [次へ] をクリックします。

      注意: 権限セットは空である必要があります。ポリシーを選択する必要はありません。
    6. [アクセス許可セットの詳細] で、 アクセス許可セット名を入力します。
    7. [次へ] をクリックし、アクセス許可設定を確認して [作成] をクリックします。
  2. IdP グループと許可セットをクラスタのアカウントに割り当てます:
    1. [複数アカウントの権限] > [AWSアカウント] に移動します。
    2. アクセス許可を付与するクラスターを含むアカウントを選択し、 [ユーザーまたはグループを割り当てる] をクリックします。
    3. [グループ] で、関連する IdP グループを選択し、 [次へ] をクリックします。詳細については上記の前提条件を参照してください。
    4. [アクセス許可セット] で、前に作成したアクセス許可セットを選択し、 [次へ] をクリックします。

    5. 割り当てを確認し、 [送信] をクリックします。

      注意: この割り当てを作成すると、「AWSReservedSSO_」の先頭で新しいロールが自動的に作成されます。この手順の後のステップで、このロールを使用する必要があります。
  3. クラスタのアクセスエントリを作成します:
    1. AWS コンソールで、 Elastic Kubernetes Service (EKS) に移動します。
    2. 対象のクラスタをクリックします。
    3. [アクセス] タブをクリックし、[IAM アクセスエントリ] で [アクセスエントリの作成] をクリックします。
    4. [IAM プリンシパル] で、先に自動作成されたロールを選択します。このロールは、以下の先頭で始まります。 AWSReservedSSO_
    5. [アクセスポリシー] で以下を行います。
      • 選択したクラスターに付与する必要な Kubernetes アクセス許可を含む ポリシー名 を選択します。
      • これらのアクセス許可の アクセス範囲が クラスター全体であるか、名前空間レベルであるかを選択します。
      • [ポリシーの追加] をクリックして、必要に応じてポリシーを追加します。
    6. [次へ] をクリックし、アクセスエントリを確認して [作成] をクリックします。