よくある質問JIT

回答: AWS では、 クラウドサイバーエクスポージャー がAWS IAM Identity Center を使用してアクセス権を付与します。ユーザーが JIT 経由でアクセスをリクエストするとき、 Tenable

1. 資格情報で定義されたポリシー (アクセス許可) を含む アクセス許可セット を作成します。
2. 選択したアカウントのリクエストユーザーにアクセス許可セットを割り当てます。

リクエストが期限切れになるか取り消されると、 Tenable はアクセス許可セットとアカウント割り当ての両方を自動的に削除し、ユーザーのアクセスを完全に取り消します。

回答: Azure では、ユーザー (ID)、ロール (ビューアーなど)、ターゲットリソース (サブスクリプションやリソースグループなど) を接続するロール割り当てを使用してアクセスが許可されます。

ユーザーが JIT 経由でアクセスをリクエストするとき、 クラウドサイバーエクスポージャー はターゲットとロールの組み合わせごとに 個別のロール割り当て を作成します。たとえば、権限が 10 のサブスクリプションで 5 つのロールを付与する場合、50 のロールが割り当てられます。

アクセスリクエストの有効期限が切れた、または取り消された場合、 Tenable は作成したロール割り当てを削除します。これは想定された動作であり、リクエストが終了したときにアクセスが完全に取り消されるようになります。

回答: はい。継続的なアクセスはすべての 資格の追加でデフォルトで有効になっていますが、任意の権限で無効にできます。これにより、自動再付与なしで、リクエスト者は毎回新しいアクセスリクエストを送信する必要があります。

定期アクセスを無効にする方法

1. クラウドサイバーエクスポージャー JIT Portal で、 [応募資格] に移動します。
2. 資格情報を見つけて、 [編集] をクリックします。
3. [定期的なアクセス] で、 [無効] を選択します。
4. [保存] をクリックします。

はい。デフォルトでは、継続的なリクエストは開始日から最大 1 年 (365 日) です。

有効性を作成する場合、 [最大継続日数] の値を定義して、ユーザーが継続アクセスをスケジュールできるようになるまでの 日数 (1 ～ 364 日の任意の値) を制限できます。

たとえば、制限が 60 日に設定されており、ユーザーが 7 月 1 日からアクセスをリクエストする場合、8 月 30 日までしか継続的なアクセスをスケジュールできません。

回答: Azure では、すべてのサブスクリプションに常に、少なくとも 1 つのアクティブな所有者ロールが割り当てられている必要があります。

JIT アクセス要求が、サブスクリプションにおけるアクティブな所有者の割り当てのみである場合、スケジュールされた期間が終了した場合でも、その割り当ては期限切れになったり、取り消されたりすることはできません。別の所有者が割り当てられるまで、アクティブなままになります。

例を参照

3 人のユーザー (A、B、C) は、3 時間にわたり所有者ロールに割り当てられる資格情報です。必要な承認はありません。各ユーザーが所有者ロールに割り当てられるタイミングと権限が期限切れになるタイミングの内訳を示します

時間	アクション	所有者
8:00	ユーザー A は所有者ロールに割り当てられています。	権限昇格
9:00	ユーザー B は、所有者ロールに割り当てられています。	A、B
11:00	ユーザー A のアクセス許可が期限切れになりました。	B
12:00	ユーザー B のアクセス許可は期限切れになりません。その他の所有者なし	B
13:00	ユーザー C は、所有者ロールに割り当てられています。ユーザー B のアクセス許可が期限切れになります。	C

では
、これが原因で、Azure はサブスクリプションが孤立-アクセスを管理できる者なしで放置されるのを防ぐことができます。これを防ぐため、アクションがグローバル管理者によって実行されない限り、サブスクリプションレベルで最後の所有者またはユーザーアクセス管理者ロール割り当ては削除されません。

の回避策

• テナントで [グローバル管理者](https://learn.microsoft.com/ja-jp/azure/role-based-access-control/rbac-and-directory-admin-roles#microsoft-entra-roles){target="_blank"} ロールを割り当てます Tenable 。これにより、 クラウドサイバーエクスポージャー は最後の Owner 割り当てを削除できます。
• または、 すべてのサブスクリプションでTenable 所有者ロールを割り当てます。これにより、 クラウドサイバーエクスポージャー が最後の所有者になることがなくなり、他の JIT 付与の所有者ロールを想定通りに取り消すことができます。

ベストプラクティス
JIT を通じて付与された所有者権限を確実に有効期限切れにできるように、各サブスクリプションで恒久的な所有者ロール (JIT 外部) を割り当てることを推奨します。

回答: 多数のアカウント (および Azure のリソースグループ) とアクセス許可やロールがある大規模な環境では、アカウントとロールのセットを含む広範な資格情報を作成できます。そうすることで、リクエスタがリクエストごとに選択できる数を制限できます。

たとえば、50 個のアカウントで権限を作成すると、各リクエスト者はリクエストごとに 3 つのみ選択できます。

Azure と GCP では、リクエスタはアクセスが必要な特定のロールのみを選択できます。

このアプローチにより、環境全体で最小限の権限を確保しながら、維持する必要がある権限の数を減らすことができます。

回答: eu-central-1 (ヨーロッパ) 地域のテナントの場合、JIT トラフィックは次の静的 IP アドレスから発生します。

• 18.192.163.94
• 3.67.105.194