アクセスをリクエストする

注意: この機能は、Cloud Vulnerability Management ライセンスでは使用できません。

定義されたアクセス許可を使用して、特定の期間に関連するアカウントへのアクセス (1 回限りの付与、反復スケジュールのいずれか) をリクエストします。リクエストを送信する場合、 最初に資格 ( 管理ユーザーによって作成) を選択します。リクエストフォームに想定した資格がない場合は、そのユーザーがリクエスト者として設定されていないということです。

次の方法でアクセスをリクエストできます。

リクエストに承認が必要な場合は、リクエストが承認または拒否されるとメールで通知されます。承認者が 12 時間以内にリクエストをレビューしなければ、そのリクエストは期限切れになります。リクエストが自動的に承認された場合、JIT ポータル、Slack、クラウドプロバイダー、またはアイデンティティプロバイダー (IdP) のいずれかを介して、アクセス許可が即座に付与されます。JIT を介してアクセスが付与されると、クラウドプロバイダーのコンソールやポータルから、またはプログラムを使用してクラウドアカウントにアクセスできるようになります。また、アイデンティティプロバイダー (IdP) グループに追加されることでアクセス権が付与されることもあります。グループに参加すると、そのグループに関連付けられたアクセス許可が自動的に付与されます。

注意: アクセスのリクエスト ビデオも視聴できます。

JIT ポータル経由でのアクセスのリクエスト

アクセスをリクエストするには

  1. 次のいずれかの URL を使用して、クラウドサイバーエクスポージャー JIT ポータルにログインします。

    • グローバル (すべてのリージョン): app.tenable.com/user
    • 米国ガバメントクラウド: app.tenable.us/user
  2. 左側のナビゲーションメニューから [リクエスト] に移動します。
  3. [アクセスのリクエスト] をクリックします。
  4. タスクの実行に必要な 資格 を選択します。利用可能なアクセス許可の詳細については、「 資格の追加」を参照してください。
  5. クラウドプロバイダーへのアクセスをリクエストする場合は、アクセスする アカウント を選択します。資格設定によっては、リクエストごとに選択できるアカウントの数 (Azure ではアカウントとリソースグループの数) に制限がある場合があります。
  6. (Azure)選択したサブスクリプション内の リソースグループ を選択します。リソースグループの選択がオプションである場合は、この手順をスキップして、サブスクリプションレベルでアクセスをリクエストできます。
  7. (Azure および GCP)資格により複数のロールへのアクセスを許可できる場合は、アクセスをリクエストする ロール を選択します。このリストには、資格で定義されているロールのみが含まれます。タスクに必要なものに応じて、1 つ以上のロールを選択できます。
  8. 希望の アクセス時刻を選択します。アクセスをリクエストできます。
    • 即時 および期間: アクセス許可は、必要な承認後すぐに付与されます。期間は、リクエストが承認された時点から計算されます。
    • スケジュール済み: アクセス許可が付与される日時を指定し、必要な承認を保留にします。期間は、承認後、選択した開始時間から計算されます。

    • 反復: 開始日時、反復頻度 (毎日、毎週月曜、毎月 1 日など)、反復アクセスの終了日を指定します。アクセスはスケジュールに従って複数回にわたって付与されても、反復リクエストの承認は一度だけです。各インスタンスの 期間は、最初の承認後にスケジュールされた開始時刻から計算されます。承認されると、追加の承認なしで、スケジュールされた時間にアクセス権が自動的に付与されます。

      次の点に注意してください。

    • 管理者の設定によっては、反復アクセスをリクエストできない場合があります。
    • 各資格には、反復する最大日数の制限があります。反復リクエストの終了日は、開始日から許容された日数内に収まる必要があります。たとえば、最大期間が 30 日で、開始日が 1 月 1 日の場合、アクセスをリクエストできるのは 1 月 31 日までです。
    • スケジュールされた開始時刻または最初の反復の開始時刻までにリクエストが承認されなければ、その時点で (または 12 時間後のいずれか早い方で) 期限切れになります。たとえば、ユーザーが、毎週月曜日の午後 3 時に開始して 4 時間継続するアクセスを 1 か月間反復するというリクエストを午前 9 時に送信したとします。承認者が最初の月曜日の午後 3 時までに承認しなかった場合、この反復リクエスト全体が期限切れになります。
  9. 必要に応じて、 理由 を入力し、このアクセスが必要な理由について詳細を提供します。

  10. [リクエスト] をクリックします。

    • リクエストに承認が必要な場合は、リクエストが承認または拒否されるとメールで通知されます。

      The Your access request is pending approval message

    リクエストは [Access Requests] (アクセスリクエスト) ページの [Pending] (保留中) セクションに表示されます。

    • リクエストが自動的に承認される場合は、承認の関連リンクをクリックすることでクラウドアカウントにアクセスできます。

      The Your access request is automatically approved message, with the Go to AWS Console button

    注意: Azure と GCP の場合、サーバープロバイダー側のキャッシングの問題により、承認からアクセスが可能になるまでに 1 分から 10 分かかる場合があります。

    リクエストは [Access Requests] (アクセスリクエスト) ページの [Active] (アクティブ) セクションに表示されます。

クラウドまたは IdP アカウントに接続する

[接続] オプションを使用して接続し、関連するクラウドプロバイダーまたはアイデンティティプロバイダーにアクセスします。

  1. JIT ポータルで、左側のナビゲーションメニューから [アクセスリクエスト] に移動します。
  2. [Active] (アクティブ) セクションで、関連するリクエストに移動します。
  3. 三点リーダーアイコンをクリックし、[接続] をクリックします。

アクセスの再リクエスト

[再度リクエスト] を使用して、前のリクエストと同じパラメーターで新しいアクセスリクエストを開始します。リクエストフォームには以前の詳細が自動入力されており、それを編集して送信できます。

  1. JIT ポータルで、左側のナビゲーションメニューから [アクセスリクエスト] に移動します。
  2. [Active] (アクティブ) セクションで、関連するリクエストに移動します。
  3. 三点リーダーアイコンをクリックし、[再リクエスト] をクリックします。

Slack 経由でアクセスをリクエストする

Slack コマンドを使用すると、必要なアカウントへのアクセスをリクエストできます。

[アクセスのリクエスト] ダイアログ ボックスで、[再度リクエスト] をクリックすると、以前のリクエストと同じパラメータで新しいアクセス リクエストを開始できます

Slack コマンドの使用に加えて、 クラウドサイバーエクスポージャー Slack アプリの [ホーム] タブで最近のアクセスリクエストの最新ステータスを確認できます。リクエストが承認されたら、すぐにクラウドアカウントに接続するか、Slack から直接アクセスを取り消すことができます。

前提条件

アクセスをリクエストするには

  1. クラウドサイバーエクスポージャー Slack アプリまたは任意の Slack チャンネル/メッセージから、次のように入力します。
    /tenable jit
  2. [アクセスのリクエスト] ダイアログボックスで、次を選択します。
    • アクセスする クラウドプロバイダー 。
    • タスクを実行するために必要な 資格 。利用可能なアクセス許可の詳細については、「 資格の追加」を参照してください。
    • アクセスするアカウント。(資格に選択肢制限が定められている場合は、その数まで選択できます)。
    • (Azure) 選択したサブスクリプション内のリソースグループ (該当する場合)。
    • (Azure および GCP) リクエストするロール (資格で定義されたロールのみ)。
    • アクセスが必要な 期間 (時間単位)。期間は、リクエストが承認された時点から計算されます。

    • 承認後の希望するアクセス時間

      • 即時 および期間: アクセス許可は、必要な承認後すぐに付与されます。期間は、リクエストが承認された時点から計算されます。
      • スケジュール済み: アクセス許可が付与される日時を指定し、必要な承認を保留にします。期間は、承認後、選択した開始時間から計算されます。
      • 反復: 開始日時、反復頻度 (毎日、毎週月曜、毎月 1 日など)、反復アクセスの終了日を指定します。アクセスはスケジュールに従って複数回にわたって付与されますが、反復リクエストの承認は一度だけです。反復アクセスの各インスタンスの期間は、最初の承認後に、そのインスタンスのスケジュールされた開始時刻から計算されます。反復リクエストが承認されると、ユーザーはスケジュールされた時間に自動的にアクセス権を受け取り、その都度インスタンスの承認を受ける必要はありません。
      コピー
      スケジュールされた開始時刻または最初の反復の開始時刻までにリクエストが承認されなければ、その時点で (または 12 時間後のいずれか早い方で) 期限切れになります。たとえば、ユーザーが、毎週月曜日の午後 3 時に開始して 4 時間継続するアクセスを 1 か月間反復するというリクエストを午前 9 時に送信したとします。承認者が最初の月曜日の午後 3 時までに承認しなかった場合、この反復リクエスト全体が期限切れになります。
    • 理由を入力し、このアクセスが必要な理由について詳細を提供します。 このフィールドは必須です。

  3. [Submit] (送信) をクリックします。リクエストについて通知する Slack のレスポンスを受け取ります。
    Slack のレスポンスは、非公開で送信されます。公開メッセージまたはチャネルでコマンドを入力した場合、応答はその公開メッセージまたはチャネルには送信されません (チャネルが通知の受信 資格の追加 ている場合を除きます)。
    Slack の対応:

    • リクエストには承認が必要です: リクエストが承認または拒否されると通知が届きます。 Slack メッセージ内の アクセスリクエスト リンクをクリックすると、クラウドサイバーエクスポージャー JIT ポータルの [アクセスリクエスト] ページ ([保留中] セクション) にリクエストが表示されます。リクエストをキャンセルするには、[リクエストをキャンセル] をクリックします。

      A Slack message confirming that an access request was submitted, with the Cancel Request button

    • リクエスト承認済み: クラウドアカウントがアクティブになっている間はいつでも、[接続] またはアクセスの取り消しをクリックすることでアクセスできます。
    注意: Azure と GCP については、サーバープロバイダー側のキャッシングの問題により、承認からアクセスが可能になるまでに最大で 10 分かかる場合があります。

Teams 経由でアクセスをリクエストする

埋め込みバージョンの JIT ポータルから、Teams で直接アクセスをリクエストできます。

前提条件

アクセスをリクエストするには

  1. Microsoft Teams に移動します。
  2. [アクセスリクエスト] ページで、[アクセスのリクエスト] をクリックします。
  3. [アクセスのリクエスト] ダイアログボックスで、次を選択します。
    • タスクを実行するために必要な アクセス許可 。利用可能なアクセス許可の詳細については、「 資格の追加」を参照してください。
    • クラウドプロバイダーへのアクセスをリクエストする場合は、アクセスする アカウント を選択します。
    • アクセスが必要な 期間 (時間単位)。期間は、リクエストが承認された時点から計算されます。

    • 承認後にアクセスを開始する開始時刻

      • すぐに。アクセス許可は、必要な承認が行われた後すぐに付与されます。期間は、リクエストが承認された時点から計算されます。
      • 開始時刻を選択します。アクセス許可が付与される日時を指定し、必要な承認をそれまで保留にします。期間は、承認後、選択した開始時間から計算されます。

      スケジュールされた開始時間までにリクエストが承認されない場合、その時点で (または 12 時間後のいずれか早い方で) 期限切れになります。たとえば、ユーザーが午前 9 時に、同日の午後 3 時から 4 時間のアクセスをリクエストしたとします。

      • 承認者が午後 3 時までにリクエストを承認または拒否しなかった場合、リクエストはその時点で期限切れとなります (スケジュールされた時間を過ぎたため)。
      • 承認者が午後 3 時より前の任意の時点でリクエストを承認した場合、リクエスト者は午後 3 時から午後 7 時までのアクセス権を付与されます。
  4. 理由を入力し、このアクセスが必要な理由について詳細を提供します。 このフィールドは必須です。

  5. [リクエスト] をクリックします。

    • リクエストに承認が必要な場合は、リクエストが承認または拒否されるとメールで通知されます。

    リクエストは [Access Requests] (アクセスリクエスト) ページの [Pending] (保留中) セクションに表示されます。

    • リクエストが自動的に承認される場合は、承認の関連リンクをクリックすることでクラウドアカウントにアクセスできます。
    注意: Azure と GCP については、サーバープロバイダー側のキャッシングの問題により、承認からアクセスが可能になるまでに 1 分から 10 分かかる場合があります。

リクエストの表示と管理

アクセスアクティビティは、JIT ポータルの 2 つのページ (アクセスリクエストとアクセスレビュー) から表示および管理できます。

アクセスリクエスト

[アクセスリクエスト] ページでは、リクエスト者が作成したアクセスリクエストを追跡および管理できます。

[ Active] タブでは、すべてのアクティブなリクエストと保留中のリクエストを表示できます。

  • 保留中のリクエストについては、たとえば、実際にはアクセス権が必要ないことが判明した場合や、誤ってリクエストを送信していた場合に、リクエストをキャンセルできます。
  • アクティブなリクエストの場合、関連するクラウドアカウントにアクセスしたり、アクセス権を取り消したり、同じ設定でアクセスを再度リクエストすることができます。

[Active] タブのステータスリスト:

ステータス 記
アクティブ リクエストが承認されてアクティブ化され、ユーザーがアクセス権を持っています。
アクティブ化待ち リクエストは承認されましたが、アクセスはまだアクティブ化されていません
承認待ち リクエストが送信され、承認者による承認を待っています

[履歴] タブでは、過去のすべてのリクエストを表示できます。

[履歴] タブのステータスリスト

ステータス 記
アクセスの期限切れ 承認されたアクセス期間が終了し、アクセスの有効期限が切れています
アクセスの取り消し 承認されたリクエストの期間が終了し、アクセスが取り消されました
アクティベーションの失敗 承認後にアクセスのアクティブ化中にエラーが発生しました
リクエストのキャンセル リクエストはリクエスト者によってキャンセルされました
リクエストの拒否 リクエストが承認者により拒否されました
リクエストがタイムアウトしました 12 時間以内、またはリクエストのスケジュール時刻までに、リクエストが承認者によってレビューされなかった

アクセスレビュー

[Access Reviews] ページには、すでに付与されているアクセスに関する情報が表示されます。これは、追跡や監査の目的に役立ちます。このページは、少なくとも 1 つの資格で承認者ロールが割り当てられている場合に表示されます。

[Active] タブでは、現在アクティブなアクセスセッションをすべて表示できます。[履歴] タブでは、アクティブでなくなった過去のすべてのアクセスセッションを表示できます。

アクセスのリクエスト ビデオ

このビデオでは、アカウント、ロール、グループの選択方法、必要な詳細の入力方法など、JIT アクセスリクエストを送信する方法を説明します。