CSPMによるクラウドコンプライアンスの実現

Workload Protection でクラウドセキュリティポスチャー管理（CSPM）を有効にし、 IBM Cloud のリソースがセキュリティおよび規制の枠組みに準拠しているかどうかをスキャンします。 CSPMを有効にすると、 Workload Protection はクラウドリソースを事前定義されたポリシーに照らして継続的に評価し、問題がセキュリティリスクとなる前に特定・解決できるよう支援します。

このトピックでは、 IBM Cloud における CSPM の有効化について解説します。 AWS、 Azure、 GCP、OCI などの他のクラウドプロバイダーで CSPM を有効にする必要がありますか？ 詳細については、 クラウドアカウント連携する をご覧ください。

CSPMの詳細やその仕組みについて詳しく知りたい場合は、 「 Workload Protection について」 をご覧ください。 ワークフローの例をご覧になりたい場合は、「 検出から是正までのコンプライアンス状況の分析 」をご覧ください。

Workload Protection 用のCSPMは、 App Configuration に依存しており、このモジュールは IBM Cloud リソースから構成の詳細情報を収集します。 App Configuration の 構成アグリゲーター機能 は、Liteプランの一部として無料で利用できます。 この統合では、 IAMのトラステッドプロファイル を使用して、権限を安全に管理します。

CSPMは、個々の IBM Cloud アカウント単位で、あるいは企業全体に対して有効にすることができます。 エンタープライズレベルのコンプライアンススキャンについては、「 エンタープライズ向けクラウドコンプライアンスの有効化 」を参照してください。

Workload Protection のインスタンスを作成すると、CSPMはデフォルトで有効になります。 ただし、無効にすることにした場合でも、以下の手順に従えばいつでも有効にすることができます。 CSPMを有効にした Workload Protection のインスタンスの作成に関する詳細については、 「はじめに」を 参照してください。

開始前に

作業を始める前に、以下のものが揃っていることを確認してください：

  • 既存の App Configuration インスタンス。 詳細については、仮想サーバー・インスタンスの作成を参照してください。
  • ManagerApp Configuration サービス において、role 以上の権限を持つこと。
  • CSPMが無効になっている既存の Workload Protection インスタンス。 詳細については、「 Workload Protection の設定 」を参照してください。
  • 信頼されたプロファイルを作成および管理するための権限。
  • Editor Workload Protection サービスにおいて、role 以上の権限を持つこと。
  • Workload Protection および App Configuration のインスタンスのCRNです。 まだお持ちでない場合は、以下の手順に従ってCRNを確認できます：
    1. IBM Cloud コンソールで、 ナビゲーションメニューアイコン ナビゲーションメニューアイコン > リソース一覧をクリックし、 Workload Protection または App Configuration のいずれかのサービスを検索します。
    2. App Configuration のインスタンスを開いたら、「 詳細 」をクリックし、CRNをコピーしてください。
    3. Workload Protection のインスタンスを開いたら、「詳細」パネルからCRNをコピーしてください。

アカウントに対してコンテキストベースの制限が有効になっている場合は、 App Configuration が構成データを収集できるようにするルールを作成する必要があります。 ルールを作成する際は、 参照サービスとして「 App Configuration 」を選択してください。

信頼できるプロフィールの作成

Workload Protection のインスタンスが App Configuration サービスにアクセスできるようにする、 信頼済みプロファイルを作成します。 以下の手順を完了してください：

  1. [ 管理] > [アクセス (IAM)] > [信頼済みプロファイル ] の順に選択し、 [作成] をクリックします。
  2. 信頼済みプロファイルに名前を指定した後、信頼済みエンティティの種類として「 IBM Cloud サービス 」を選択して信頼関係を確立し、 Workload Protection インスタンスのCRNを入力してください。
  3. 信頼済みプロファイルに、以下のアクセスポリシーを追加してください：
    • エンタープライズ・サービスにおける「ビューアー」および「利用状況レポート・ビューアー」のロール。
    • App Configuration サービスにおける「Configuration Aggregator Reader」および「Manager」のロールを設定します。
  4. 信頼済みプロファイルを作成したら、プロファイルIDをコピーして、次の手順のために保存しておいてください。

IBM Cloud アカウントを Workload Protection

IBM Cloud アカウントコンプライアンススキャンを開始するには、そのアカウントを既存の Workload Protection インスタンスに追加してください。 これにより、 IBM Cloud アカウントでCSPMが有効になります。

  1. IBM Cloud コンソールで、 ナビゲーションメニュー アイコンナビゲーションメニューアイコン > [セキュリティ] > [コンプライアンス] の順にクリックし、 Workload Protection のインスタンス名をクリックします。
  2. 「 出典 」をクリックし、「 IBM Cloud アカウント 」タブを選択します。
  3. [追加] をクリックし、先ほど作成した信頼済みプロファイル ID と、 App Configuration のインスタンスの CRN を入力します。
  4. 「 追加 」をクリックして変更を保存してください。

設定アグリゲーターを有効にするには、 App Configuration

Workload Protection のインスタンスは、 App Configuration のインスタンスに接続されました。 App Configuration ただし、 IBM Cloud 内の構成アグリゲーターを有効にして、 アカウントおよびリソースから情報を収集できるようにする必要があります。 以下のステップを実行します。

  1. IBM Cloud コンソールで、 ナビゲーションメニュー アイコンナビゲーションメニューアイコン > リソース一覧をクリックし、「 App Configuration 」を検索します。
  2. App Configuration インスタンスの名前をクリックして、そのインスタンスを開きます。
  3. 構成アグリゲーター > 集約の定義 をクリックしてください。
  4. 「 すべての地域 」を選択して、すべての地域からデータを収集し、「 保存 」をクリックします。
  5. 「 記録」を有効にして、設定データの収集を開始してください。

コンプライアンススキャンの結果は、 アカウントリソース数にもよりますが、プロビジョニング完了後5～10分以内に表示されます。

CSPMの無効化

IBM Cloud アカウントのコンプライアンススキャンを停止するには、CSPMを無効にしてください。

  1. IBM Cloud コンソールで、 ナビゲーションメニュー アイコンナビゲーションメニューアイコン > [セキュリティ] > [コンプライアンス] の順にクリックし、 Workload Protection のインスタンス名をクリックします。
  2. 「 出典 」をクリックし、「 IBM Cloud アカウント 」タブを選択します。
  3. 削除したいアカウントのアクションメニューをクリックし、 「削除」 をクリックしてください。

選択したアカウントに対するコンプライアンススキャンが停止します。