Tenable JIT アクセス許可を付与する

必要なアクセス許可 Tenable 付与することで、以下のクラウドサービスプロバイダー / アイデンティティプロバイダー (IdP) を JIT に接続できます。

• AWS (アイデンティティセンター)
• Azure
• GCP
• Microsoft Entra ID
• Google Workspace
• Okta
• OneLogin
• Ping Identity

JIT 用に AWS Identity Center に接続する

Tenable One Cloud Exposure AWS の JIT アクセスは、IAM Identity Center (AWS シングルサインオンの後継) に基づいています。次のガイドラインに従って、JIT 用の AWS Identity Center を接続します。

• IdP を IAM Identity Center に接続します。
• IAM Identity Center のユーザーとグループのみが JIT ワークフローに参加できます。ユーザーは SSO を経由して クラウドサイバーエクスポージャー にログインするよう構成されたユーザーと一致する必要があります。
• Tenable が IAM Identity Center 内で関連するすべての IdP データを確実に収集するには、AWS管理アカウントが Tenable に接続されていることを確認してください。
• Tenable は、JIT での AWS 委任管理者アカウントの使用をサポートしています。委任されたアカウントを使用する場合は、そのアカウントも統合する必要があります。委任されたアカウントの詳細については、 AWS のドキュメント を参照してください。

• に JIT 関連のアクセス許可を付与する Tenable

  注意: 委任された管理者アカウントを使用している場合は、必ず管理アカウントではなく委任されたアカウントにアクセス許可を付与してください。
• 外部アイデンティティプロバイダー (IdP) と Tenableの間に信頼を確立します。
  • SSO 経由でのコンソールへのログインの有効化
  • SSO 経由の JIT ポータルログインを有効化

に JIT 関連のアクセス許可を付与する Tenable

Tenable に JIT アクセスのアクセス許可を付与するには

1. AWS 管理アカウントが 接続されていることを確認します。AWS の委任された管理者アカウントを使用している場合は、そのアカウントも接続する必要があります。
2. AWS 管理コンソールで、[IAM > Roles] (IAMロール ) に移動し、関連するアカウントを接続したときに作成したロールを開きます。
   • 委任された管理者アカウントを使用している場合は、委任されたアカウントを接続したときに作成したロールを開きます。
   • または、管理アカウントを接続した際に作成したロールを開きます。
3. [アクセス許可] タブで、[アクセス許可の追加] > [インラインポリシーの作成] の順にクリックします。
4. [JSON] タブで、以下のセクションにある関連する JIT ポリシーを貼り付けて、既存のテキストを置き換えます。
   • AWS アカウントアクセスの場合: 設定 (管理アカウントまたは委任された管理者アカウント) に一致する [AWS アカウントアクセス用の JIT ポリシー ] のポリシーを使用します。
   • アプリケーションアクセスの場合: 設定 (管理アカウントまたは委任された管理者アカウント) に一致する アプリケーションアクセスの JIT ポリシー のポリシーを使用します。
5. [ポリシーのレビュー] をクリックします。
6. ポリシーの名前 (例: TenableJIT) を入力し、[ポリシーの作成] をクリックします。

AWS アカウントアクセスの JIT ポリシー

これらのポリシーを使用すると、AWS Identity Center を介した AWS アカウントとアクセス許可セットへの JIT アクセスを Tenable One Cloud Exposure で管理できるようになります。

AWS Identity Center がアカウントアクセス用の管理アカウントから直接管理されているか、アカウントアクセス用の委任された管理者アカウントを介して管理されているかに応じて、環境ごとに 1 つのポリシーのみを使用します。

アカウントアクセス用の管理アカウント

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles",
                "iam:ListPolicies"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:AttachRolePolicy",
                "iam:CreateRole",
                "iam:DeleteRole",
                "iam:GetRole",
                "iam:ListAttachedRolePolicies",
                "iam:ListRolePolicies",
                "iam:PutRolePolicy"
            ],
            "Resource": "arn:aws:iam::*:role/aws-reserved/sso.amazonaws.com/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:GetSAMLProvider",
                "iam:UpdateSAMLProvider"
            ],
            "Resource": "arn:aws:iam::*:saml-provider/AWSSSO__DO_NOT_DELETE"
        },
        {
            "Effect": "Allow",
            "Action": [
                "identitystore:Describe*",
                "identitystore:List*",
                "sso:AttachManagedPolicyToPermissionSet",
                "sso:CreateAccountAssignment",
                "sso:CreatePermissionSet",
                "sso:DeleteAccountAssignment",
                "sso:DeletePermissionSet",
                "sso:Describe*",
                "sso:DetachManagedPolicyFromPermissionSet",
                "sso:Get*",
                "sso:List*",
                "sso:ProvisionPermissionSet",
                "sso:PutInlinePolicyToPermissionSet",
                "sso-directory:List*",
                "sso-directory:Search*"
            ],
            "Resource": "*"
        }
    ]
}

アカウントアクセス用の委任された管理者アカウント

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sso:AttachManagedPolicyToPermissionSet",
                "sso:CreateAccountAssignment",
                "sso:CreatePermissionSet",
                "sso:DeleteAccountAssignment",
                "sso:DeletePermissionSet",
                "sso:DetachManagedPolicyFromPermissionSet",
                "sso:ProvisionPermissionSet",
                "sso:PutInlinePolicyToPermissionSet"
            ],
            "Resource": "*"
        }
    ]
}

アプリケーションアクセスの JIT ポリシー

これらのポリシーを使用すると、AWS Identity Center によって管理されるアプリケーションへの JIT アクセスを Tenable One Cloud Exposure で管理できるようになります。

AWS Identity Center がアプリケーションアクセス用の管理アカウントから直接管理されているか、アプリケーションアクセス用の委任された管理者アカウントを介して管理されているかに応じて、環境ごとに 1 つのポリシーのみを使用します。

アプリケーションアクセス用の管理アカウント

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "identitystore:Describe*",
        "identitystore:List*",
        "sso:CreateApplicationAssignment",
        "sso:DeleteApplicationAssignment",
        "sso:Describe*",
        "sso:Get*",
        "sso:List*",
        "sso-directory:List*",
        "sso-directory:Search*"
      ],
      "Resource": "*"
    }
  ]
}

アプリケーションアクセス用の委任された管理者アカウント

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "sso:CreateApplicationAssignment",
        "sso:DeleteApplicationAssignment",
      ],
      "Resource": "*"
    }
  ]
}

JIT 用に Azure を接続する

Azure でロールの割り当てを追加して、 クラウドサイバーエクスポージャー アプリにルート管理グループへのアクセス権を付与します。

Tenable に JIT アクセスのアクセス許可を付与するには

1. Azure ポータルで、組織のルート管理グループを開きます。デフォルトでは、ルート管理グループの表示名は [テナント ルート グループ] です。
2. [アクセス制御 (IAM)] に移動します
3. [追加] > [ロールの割り当てを追加] をクリックします。
4. [特権管理者ロール] で、[ユーザー アクセス管理者] を検索して選択し、[次へ] をクリックします。
5. [+メンバーを選択] をクリックし、 クラウドサイバーエクスポージャー コネクタを検索して選択します。
6. [選択] をクリックし、[確認 + 割り当て] をクリックして新しいロールの割り当てを確認します。
7. もう一度 [確認 + 割り当て] をクリックして、ロールの割り当てを追加します。

JIT 用に GCP を接続する

クラウドサイバーエクスポージャーサービスアカウントに、組織レベルでのセキュリティ管理者のアクセス権を付与します。

Tenable に JIT アクセスのアクセス許可を付与するには

1. Google Cloud コンソールで、追加する組織ノードに移動します。
2. [IAM と管理] > [IAM] の順に移動します。
3. [+アクセス権を付与] をクリックします。
4. [新しいプリンシパル] フィールドに、対象の Google Workspace サービスアカウントのメールを入力します。この値は、次の場合に確認できます。
   • Google Cloud コンソールの [IAM と管理] > [サービスアカウント] の [メール] フィールド。
   • クラウドサイバーエクスポージャー コンソールの [設定] > [アイデンティティプロバイダー] > [GOOGLE WORKSPACE] の [サービスアカウントのメール] フィールド。

5. [ロール] フィールドで、 セキュリティ管理者 ロールを検索して選択します。

   このロールの詳細については、 Google Cloud のドキュメントを参照してください。

6. [保存] をクリックします。

JIT 用に Microsoft Entra ID を接続する

Azure で クラウドサイバーエクスポージャー JIT コネクタ アプリを承認する管理者の同意を許可します。

前提条件

• Microsoft Entra テナントの追加

JIT アクセス権を付与するには

1. クラウドサイバーエクスポージャーコンソールで、[Settings > JIT] に移動します。組織の範囲内にいることを確認します。
2. [Microsoft Entra ID group memberships] (Microsoft Entra ID グループメンバーシップ) で関連するテナントを見つけ、[Grant Permissions] (アクセス許可の付与) をクリックします。

3. Azure で クラウドサイバーエクスポージャー JIT コネクタ アプリを承認する管理者の同意を許可し、 必要なアクセス許可を Tenable に付与します。同意が承認されると Tenable にリダイレクトされ、設定が完了します。

   1. アカウントを選択します。Microsoft アカウントのサインインページで、Tenable と統合させるテナントが属する管理アカウントを選択します。担当するユーザーは、組織を代表して同意することを認められている必要があります。これを実行するために必要な特定のロールの詳細については、ドキュメントMicrosoftを参照してください。
   2. [リクエストされたアクセス許可] ページで [同意] をクリックし、Azure の クラウドサイバーエクスポージャー JIT コネクタアプリを承認します。

   必要な Microsoft Entra テナント情報が表示され、アクセス許可が正常に付与された状態で Tenable に戻ります。

Tenable JIT アプリに必要なアクセス許可

クラウドサイバーエクスポージャー JIT Connector アプリを承認すると、Tenable には次のアクセス許可が付与されます。

• サインインしてユーザープロファイルを読みます。ユーザーのアプリへのサインインを許可します。アプリはサインインしたユーザーのプロファイルを読み取ることができます。また、アプリはサインインしているユーザーの基本的な会社情報も読み取ることができます。
• すべてのグループメンバーシップの読み取りと書き込み。サインインしているユーザーがいなくても、アプリがグループを一覧表示し、基本的なプロパティを読み取り、アプリがアクセスできるグループのメンバーシップを読み取ったり更新したりできます。グループのプロパティと所有者を更新することはできません。グループを削除することもできません。

JIT 用に Google Workspace を接続する

JIT 用に Google Workspace を接続できます。

• クラウドサイバーエクスポージャーへの初期Googleワークスペース統合中に、Googleワークスペースを追加するとき。
• 最初の統合後に、次の手順に従います。

前提条件

• Google Workspace の接続

JIT アクセス権を付与するには

次のいずれかの方法を選択して、 Tenable にアクセス許可を付与します。

カスタムロール

1. Google管理コンソールでアカウント > 管理者ロールに移動し、Googleワークスペースに接続したときにTenable用に作成したロールを見つけます。
2. 権限 > 管理 API 権限で、次の権限を選択します。
   • グループ > 更新
     コピー

     このアクセス許可により、ジャストインタイムアクセスを活用して、Google Workspace グループにユーザーを一時的に追加できます。

3. [保存] をクリックします。

ドメイン全体の委任

1. Google Cloud コンソールで、Google Workspace を接続したときに作成したサービスアカウントに移動し、 [詳細] タブで、[ 詳細設定 セクションをクリックして展開します。
2. [ Workspace 管理コンソールGoogle表示をクリックします。
3. 管理コンソールで、 [セキュリティ] > [アクセスとデータ管理] > [API の制御] に移動します。
4. [ドメイン全体の委任の管理] をクリックし、[新しく追加] をクリックします。
5. Google ワークスペースを接続したときに使用した クライアント ID を見つけます。
6. 次の OAuth スコープをコピーして貼り付けます: https://www.googleapis.com/auth/admin.directory.group.member
   
   コピー

   このアクセス許可により、ジャストインタイムアクセスを活用して、Googleワークスペースグループにユーザーを一時的に追加できます。

7. [ 承認] をクリックします。

JIT 用に Okta を接続

JIT 用に Okta を接続できます。

• Okta を クラウドサイバーエクスポージャー に初めて統合する際に、 Okta 組織の接続とき。
• 最初の Okta 統合後に、次の手順に従います。

前提条件

• Okta 組織の接続

JIT アクセス権を付与するには

1. スーパー管理者として Okta 管理コンソールにログインします。
2. [セキュリティ>管理者] に移動し、[管理者] タブをクリックします。
3. Okta 組織を クラウドサイバーエクスポージャー に追加したときに使用した管理者を検索します (読み取り専用管理者ロールを持つ管理者)。
4. [編集] > [割り当ての編集] をクリックします。

5. [+ 割り当ての追加] をクリックし、[グループ メンバーシップ管理者] を検索して選択します。

   注意: 管理ロールを持つグループがある場合、そのようなグループを管理できるのはスーパー管理者のみであるため、代わりに スーパー管理者 ロールを割り当てる必要があります。
6. 終了したら、[Save Changes] をクリックします。

JIT 用に OneLogin を接続する

JIT 用に OneLogin を接続できます。

• OneLogin を クラウドサイバーエクスポージャー に初めて統合する際に、 OneLogin アカウントの接続とき。
• 最初の OneLogin 統合後に、次の手順に従います。

前提条件

• OneLogin アカウントの接続

JIT アクセス権を付与するには

1. OneLogin 管理 ページに移動します。
2. トップメニューで、[開発者> API 認証情報] をクリックします。
3. [新しい認証情報] をクリックし、[名前] を入力して [ユーザーの管理] を選択して、ディレクトリ データへのクラウドサイバーエクスポージャー読み取り/書き込みアクセスを許可します。[保存] をクリックします。
4. クライアント ID とクライアントシークレットをコピーします。このコピーは後の手順で入力します。
5. クラウドサイバーエクスポージャーコンソールで、[Settings > Integrations] > OneLoginに移動します。
6. 対象の OneLogin アカウントを見つけて三点リーダーアイコンをクリックし、[編集] をクリックします。
7. [Edit OneLogin Account] (OneLogin アカウントの編集) ウィザードで、[Next] をクリックしてステップ 3 [Grant JIT Access (Optional)*] に移動します。
8. ステップ 3b で、先ほどコピーした クライアント ID と クライアントシークレット を入力し、[完了] をクリックします。

JIT 用に Ping Identity を接続する

JIT 用に Ping Identity を接続できます。

• Ping Identity を クラウドサイバーエクスポージャー に初めて統合する際に、 Ping Identity 環境の接続とき。
• 最初の Ping Identity 統合後に、次の手順に従います。

前提条件

• Ping Identity 環境の接続

JIT アクセス権を付与するには

1. Ping Identity コンソールにログインし、[アプリケーション] > [アプリケーション] の順に移動します。
2. Ping Identity 環境を クラウドサイバーエクスポージャー に追加した際に作成したアプリケーションをクリックします。
3. 表示されたアプリケーションページで、[ロール] タブに移動し、[ロールの付与] をクリックします。
4. [アイデンティティデータ管理者] ロールを展開し、ロールを付与する関連環境を選択します。
5. [保存] をクリックしてロールの割り当てを更新し、上部のトグル ボタンが選択されていることを確認して、アプリケーションを有効にします。