ロールベースのアクセス制御を使い始める

ロールベースのアクセス制御 (RBAC) により、管理者はプラットフォームにアクセスできるユーザー、それらのユーザーが閲覧できるデータ、実行できるアクションを定義できます。ロール、アクセス許可、タグを組み合わせることで、組織のチーム構造、地理的境界、または規制要件に合わせて、脆弱性データを論理的にセグメント化できます。

このトピックでは、RBAC モデル、各構成要素、および推奨設定手順について説明します。RBAC 設定を長期的に保守し最適化するためのガイダンスについては、Best Practices for Tenable Role-Based Access Control (RBAC) (Tenable RBAC のベストプラクティス) を参照してください。

RBAC の仕組み

ロールとアクセス許可の違いは何ですか?

Tenable Vulnerability Management の RBAC は、次の 3 つの異なる補完的な構成要素で構築されています。

  • ロール — ユーザーが実行できるアクションと、アクセスできる製品モジュールを制御します。ロールは、ユーザーがスキャンを作成できるかどうか、認証情報を管理できるかどうか、またはユーザーを管理できるかどうかを決定します。
  • アクセス許可 — ユーザーがアクセスできるデータを制御します。アクセス許可のスコープは常に、タグで定義された資産に限定されます。アクセス許可は、ユーザーが Region:EMEA のタグが付けられた資産を表示またはスキャンできるかを決定します。
  • タグ — アクセス許可が適用される資産範囲を定義します。タグは、資産に割り当てられるキーと値のペアであり、データのセグメンテーションを促進するメカニズムです。

便利な覚え方: ロールは「このユーザーは何ができるか」を示し、アクセス許可は「ユーザーはそれをどの資産でできるか」を示します。

構成要素の相互関係

次の図は、ユーザー、ロール、グループ、アクセス許可、タグ、資産の相互関係を示しています。

Tenable 提供のロール

ユーザー作成時に、1 つのロールだけを割り当てる必要があります。このロールは、そのユーザーが使用できる機能とモジュールを決定します。次の Tenable 提供のロールを利用できます (最小特権から最高権限の順)。

ロール 典型的なユーザー 主な機能
読み取り専用 監査人、コンプライアンス責任者、エグゼクティブ ダッシュボード、レポート、検出結果の表示。スキャンの作成、編集、削除、実行は不可。
基本 制限されたアクセス権を持つ修正チームメンバー 自身に割り当てられたスキャンの実行と表示。プラットフォームの設定、ユーザーの管理は不可。
スキャンオペレーター ネットワーク運用スタッフ、ジュニアアナリスト スキャンの開始、一時停止、停止、再開。スキャンポリシーの作成、グローバル設定の管理は不可。
標準 セキュリティアナリスト、脆弱性エンジニア スキャンの作成と管理。レポートの生成。管理者レベルのプラットフォーム制御は不可。
スキャンマネージャー シニアアナリスト、スキャンチームリーダー スキャンポリシーと認証情報を含むフルスキャン管理。ユーザー管理は不可。
管理者 プラットフォーム所有者、セキュリティアーキテクト ユーザー管理やシステム設定を含むすべての機能へのフルアクセス。オブジェクトのフルアクセス許可と暗黙的なアクセス許可。
注意: 管理者ロールのユーザーは、プラットフォームへのフルアクセス権を持ち、自動的にすべての資産を閲覧できます。管理者ユーザーにタグベースのアクセス許可設定を適用しても、そのデータアクセス権には影響しません。

ロール権限の詳細なリファレンスについては、Tenable 提供のロールと権限を参照してください。

カスタムロール

所属組織のワークフローが Tenable 提供のロールと厳密に対応していない場合は、カスタムロールを使用して、ユーザーができることとできないことを正確に定義できます。たとえば、スキャンは作成できるが削除はできない、レポートを閲覧できるがスキャンポリシーの変更はできない、などです。カスタムロールを作成する前に、次の点を考慮してください。

  • ユーザーは製品のどの領域にアクセスできる必要があるか?
  • 各領域内で、ユーザーはナビゲーションのどの部分にアクセスできるか?
  • そのナビゲーション内で、ユーザーはどのようなアクションを実行できるか?

カスタムロールを作成するときは、一般設定、ライセンス、マイアカウントの各セクションの読み取り権限を含める必要があります。これらがないと、そのロールに割り当てられたユーザーはログインできません。

注意: Tenable 提供のロールは複製したり削除したりできません。カスタムロールを複製して、類似のロールを素早く作成することができます。

詳細については、カスタムロール権限の適用を参照してください。

アクセス許可の設定

アクセス許可の設定は、ユーザーまたはグループが特定の資産セットで何をできるかを定義します。アクセス許可タイプ、1 つ以上のタグで定義された資産範囲、1 つ以上のユーザーまたはユーザーグループを組み合わせます。

次のアクセス許可タイプを使用できます。

アクセス許可 できること タグの操作 推奨用途
閲覧可 資産、スキャン結果、レポートを読み取り専用で表示。 資産を表示します。 監査人、コンプライアンススタッフ、修正の利害関係者。
スキャン可 スキャンの実行と管理。資産をスキャンする前に、その資産は、検出され、タグ付けされていなければなりません。 資産をスキャンします。まず、資産が検出され、タグ付けされていなければなりません。 スキャンを実行する必要はあるが、ポリシーは管理しないチーム。
編集可 オブジェクトの変更と管理: スキャン設定、資産グループ定義、レポートテンプレート。 タグの定義またはルールを編集します。静的割り当てを変更します。 スキャン設定を管理するアナリスト。慎重に使用してください。
使用可 既存のオブジェクト (スキャンポリシー、レポートテンプレート) を変更なしで適用。 タグを表示します。タグでフィルタリングします。 共有された設定を流用するが、変更はしないユーザー。
警告: [編集可] アクセス許可を [閲覧可] または [スキャン可] アクセス許可と一緒に 1 つのアクセス許可設定に追加すると、それを割り当てられたユーザーは、表示およびスキャンできる資産の範囲を変更できるようになります。Tenable は、編集可、閲覧可、スキャン可の組み合わせは、管理者ユーザーにのみ使用することを推奨しています。
注意: アクセス許可設定を、ユーザーまたはグループに直接割り当てることができます。スキャンが実行されると、Tenable Vulnerability Management はスキャンを起動したユーザーではなく、スキャン所有者のアクセス許可に応じて、ターゲットアクセス許可を評価します。

詳細については、Tenable Vulnerability Management ユーザーガイドのアクセス許可を参照してください。

タグと資産範囲

タグは、Tenable Vulnerability Management におけるデータセグメンテーションの基礎的な要素です。各タグはキーと値のペア (例: Region:EMEA、Team:CloudOps) です。これを 1 つ以上の資産に割り当てます。アクセス許可設定でタグを参照すると、そのタグに一致する資産のみがアクセス許可の範囲内になります。

Tenable では、可能な限りタグ自動化ルールを使用して、資産が追加、変更、廃止されても、タグが最新の状態に保たれるようにすることを推奨しています。

注意: Tenable Vulnerability Management タグを編集するユーザーは [編集可] アクセス許可を持っている必要があります。Tenable サイバーエクスポージャー管理 タグを編集するには、[使用可] アクセス許可で十分です。

ユーザーグループ

ユーザーグループを使用すると、複数のユーザーのアクセス許可設定を同時に管理できます。ユーザーをグループに割り当てると、ユーザーはグループに割り当てられたすべてのアクセス許可を継承します。グループはアクセス許可の集合体です。アクセスを大規模に管理するには、アクセス許可を個人ではなくグループに割り当てることが推奨されています。

一般的なグループ化戦略では、地域別 (例: 米国東部、EMEA、APAC)、ビジネスユニット別 (例: 財務、エンジニアリング、人事)、資産タイプ別 (例: データベース、ウェブサーバー、ワークステーション)、重要度別 (本番、開発、DMZ) に編成します。

注意: ユーザーグループの設定ミスは、スキャンエラー、ダッシュボードやレポートでの資産や脆弱性の欠落が生じる原因となります。グループメンバーシップとアクセス許可の設定は、定期的に確認してください。

設定の推奨順序

RBAC を初めて設定する場合、またはアクセスモデルに大幅な変更を加える場合は、下記のステップを順番通りに実行してください。

  1. アクセスモデルを計画する — チームと資産をマッピングします。誰が何を見る必要があるかを特定します。
  2. タグを作成する — 資産にタグを付けて、アクセス許可設定で使用する範囲を定義します。
  3. ユーザーグループを作成する (オプション) — 同じアクセス許可を共有するユーザーをグループ化します。
  4. ユーザーを作成する — ユーザーを追加し、各ユーザーにロール (Tenable 提供またはカスタム) を割り当てます。
  5. アクセス許可設定を作成する - アクセス許可タイプ + タグ範囲 + ユーザー/グループを組み合わせます。
  6. アクセス許可を割り当てる — アクセス許可設定をユーザーまたはグループと関連付けます。
  7. アクセスを検証する - テストユーザーとしてログインして、正しいデータと機能が利用可能であることを確認します。

RBAC の設定: ステップバイステップ

ステップ 1 — ユーザーのロールと責任を定義する

強固な RBAC 実装の最初のステップは、各タイプのユーザーに必要なアクセスレベルを決めることです。Tenable Vulnerability Management では、ロールによりユーザーが実行できること (ユーザーの管理、スキャンの設定、脆弱性データの表示など) が大まかに決まります。Tenable は、可能な限り事前設定されたロールから始めて、それらの事前設定オプションではニーズが満たされない場合にのみ、カスタムロールを作成することを推奨しています。

次の図は、さまざまなユーザーが 1 つのロールを持ちながら、1 つのグループ、複数のグループ、またはグループに属さない場合をハイライトしています。

Tenable Vulnerability Management で何かを設定する前に、アクセスモデルを定義します。

  • アクセスが必要なチームまたはペルソナ (例: セキュリティアナリスト、修正エンジニア、監査人、エグゼクティブ) をリストします。
  • 各チームが表示およびアクションを実行できる必要がある資産を特定します。
  • 各チームが実行する必要があるアクション (表示のみ、スキャン、スキャンの設定、ユーザーの管理) を定義します。
  • 各チームをロールとタグベースの資産範囲にマッピングします。

次の表を参考にして、ロールとアクセス許可を選択してください。

チーム / ペルソナ 推奨ロール 推奨アクセス許可
CISO / エグゼクティブ 読み取り専用 表示可 → すべての資産
コンプライアンス責任者、監査人 読み取り専用 表示可→関連するタグ範囲
修正エンジニア 基本 表示可→自身が所有する資産
ジュニアスキャナー スキャンオペレーター スキャン可→割り当てられた資産タグ
セキュリティアナリスト 標準 スキャン可 + 表示可→部門タグ
スキャンチームのリーダー スキャンマネージャー 編集可→スキャンポリシー。スキャン可→全範囲。
VM プラットフォーム所有者 管理者 フルアクセス (追加のアクセス許可は不要)

ステップ 2 — タグを作成する

資産セグメンテーション戦略 (地域別、ビジネスユニット別、重要度別、チームオーナーシップ別) を反映するタグを作成します。

タグの作成方法

  1. 左側のナビゲーションで [設定] をクリックします。
  2. [タグ] タイルをクリックします。
  3. [タグの作成] をクリックし、キーと値のペア (例: Region:EMEA、Team:CloudOps) を定義します。
  4. 資産をタグに手動で追加するか、自動化ロジックを設定して資産を動的に割り当てます。

詳細については、Tenable Vulnerability Management ユーザーガイドのタグを参照してください。

ステップ 3 — ユーザーグループを作成する (推奨)

複数のユーザーが同じデータアクセス要件を共有している場合は、ユーザーグループを作成し、個々のユーザーではなくグループにアクセス許可を割り当てます。

ユーザーグループを作成する方法

  1. 上部のナビゲーションバーで、[設定] > [アクセス制御] > [グループ] の順にクリックします。
  2. [グループの作成] をクリックし、名前を入力して、メンバーを追加します。

詳細については、 ユーザーガイドTenable Vulnerability Managementのユーザーグループを参照してください。

ステップ 4 — ユーザーを作成する

ユーザーを作成するときには、そのユーザーが使用できるプラットフォーム機能を大まかに決めるロールを割り当てる必要があります。

ユーザーの作成方法

  1. 上部のナビゲーションバーで、[設定] > [アクセス制御] > [ユーザー] の順にクリックします。
  2. [ユーザーの作成] をクリックし、必要な詳細を入力します。
  3. [ロール] フィールドで、該当する Tenable 提供のロールを選択するか、定義されている場合はカスタムロールを選択します。
  4. [保存] をクリックします。
注意: 所属組織で SSO または LDAP を使用している場合、ユーザーが自動的にプロビジョニングされる場合があります。ご使用のアイデンティティプロバイダーのロール割り当てロジックが、計画されたアクセスモデルと一致していることを確認してください。

詳細については、Tenable Vulnerability Management ユーザーガイドのユーザーを参照してください。

ステップ 5 — アクセス許可設定を作成する

アクセス許可設定で、アクセス許可タイプとタグ範囲の一連の資産がリンクし、その設定はユーザーまたはグループに割り当てられます。

アクセス許可設定の作成方法

  1. 左側のナビゲーションで [設定] をクリックします。
  2. [アクセス制御] タイルをクリックし、[アクセス許可] タブをクリックします。
  3. [アクセス許可を作成] をクリックします。
  4. アクセス許可設定の名前を入力します。
  5. [オブジェクト] セクションで、タグを選択します (無制限アクセスの場合は [すべての資産] を選択します)。
  6. [アクセス許可] セクションで、1 つ以上のアクセス許可タイプ (表示可、スキャン可、編集可、使用可) を選択します。
  7. [ユーザー] または [グループ] セクションで、この設定を適用するユーザーまたはグループを追加します。
  8. [保存] をクリックします。
警告:スキャンポリシー設定で [デフォルト: アクセスなし] に設定しない場合、スキャンポリシーにアクセスできるユーザーは、タグベースのアクセス許可範囲に関係なく、すべてのスキャン結果を表示できます。Tenable では、RBAC が適用される環境では、スキャンポリシーで常に [デフォルト: アクセスなし] を設定することを推奨しています。

手順 6 — アクセス許可を割り当てる

ユーザーまたはグループの作成時にアクセス許可設定を割り当てることができます。あるいは、既存のユーザーまたはグループレコードを編集することができます。

既存のユーザーにアクセス許可設定を割り当てる方法

  1. アクセス制御ページの [ユーザー] タブで、アクセス許可設定の追加先となるユーザーをクリックします。
  2. ユーザー詳細の [アクセス許可] セクションで、[アクセス許可の追加] をクリックします。
  3. アクセス許可設定を選択し、[保存] をクリックします。

ステップ 7 — アクセスを検証する

設定が完了したら、変更をユーザーに通知する前に、アクセスが意図したとおりに動作していることを確認します。

  • 設定したロールとアクセス許可を持つテストアカウントでログインします。
  • 想定されている資産のみが資産インベントリとスキャン結果に表示されることを確認します。
  • 想定されるアクションが実行可能であり、禁止されているアクションが実行不可であることを確認します。
  • ダッシュボードとレポートをチェックして、脆弱性データの範囲が正しいことを確認します。