開始前に

企業アカウント作業し、必要なアクセス権を持っていることを確認してください。

• IBM Cloud コンソールの Manage > Enterprise にアクセスして、エンタープライズアカウント作業していることを確認してください。
• 企業アカウント App Configuration のインスタンスがあることを確認してください。
• 以下の IAM ロールが割り当てられていることを確認してください：
  • エンタープライズアカウント管理者。
  • Workload Protection サービスのマネージャー以上の役割。
  • App Configuration サービスのマネージャー以上の役割。

Workload Protection のセットアップ

エンタープライズアカウント Workload Protection のインスタンスを作成します。

Terraform を使用すると、 Workload Protection のインスタンスをコードとして設定することができます。 詳しくは、FAQ を参照してください。

1. IBM Cloud。 Security and Compliance Center Workload Protection を検索し、サービスのカタログ一覧を開く。

2. インスタンスの場所を選択し、ニーズに合ったプランを選択します。

3. クラウドセキュリティポスチャー管理（CSPM）はデフォルトで有効になっていますが、 アカウントにはすでに App Configuration のインスタンスが存在するため、これを無効にする必要があります。

   CSPM を有効にしておくと、 Workload Protection のインスタンスで使用するために、 App Configuration の新しいインスタンスが作成されます。

4. ライセンス契約に同意し、「 作成 」をクリックしてください。

5. Workload Protection のインスタンスが作成されたら、インスタンスのCRNをコピーし、後のために保存しておく。

に接続してクラスタを保護する。 Workload Protection

コンプライアンスだけでなく、 Workload Protection、コンテナやホストをスキャンして安全性を保つこともできる。 この保護レイヤーを得るには、エージェントを追加してコンテナまたはホストを Workload Protection に接続する。 このチュートリアルでは、 Red Hat OpenShift クラスタにエージェントを追加することに焦点を当てますが、 Kubernetes クラスタや Power Virtual Server ホストなど、さまざまなコンテナやホストにエージェントを追加できます。

1. IBM Cloud コンソールの Navigation Menu アイコン > Containers > Clusters をクリックし、 Create cluster をクリックします。

2. オーケストレーション・プラットフォームとして Red Hat OpenShift がオーケストレーション・プラットフォームとして選択されていることを確認する。

3. クラスタを実行するネットワークとコンピュート環境、クラスタの場所、クラスタのワーカーゾーンとサブネットを選択してクラスタをカスタマイズします。

4. Integrations セクションで、 Workload Protection が有効になっていることを確認する。 コンフィギュレーション・タイプとして Existing Workload Protection instanceを選択し、 Workload Protection instance メニューから先ほど作成した Workload Protection のインスタンスを選択する。

5. 「作成」 をクリックします。

   すでにクラスターをお持ちですか？ コンソールを使用して、既存の Red Hat OpenShift または Kubernetes クラスターを Workload Protection のインスタンスに接続できます。 Containers > Clustersで既存のクラスターにアクセスする。 次に、 Workload Protection ウィジェットの Connect をクリックして、クラスタを Workload Protection に接続します。

6. 10～15分待ってから、 ナビゲーションメニューアイコン > Security > Overview をクリックします。 クラスタ内の脆弱性のスナップショットを表示するには、[Vulnerabilities] ウィジェットで Workload Protection インスタンスを選択します。

IBM Cloud アカウント Workload Protection

ここまでで、 Red Hat OpenShift クラスタの脆弱性をスキャンするために Workload Protection をセットアップした。 次に、 Workload Protection インスタンスと App Configuration サービス間の信頼関係を確立し、 IBM Cloud アカウント Workload Protection に接続して CSPM を有効にする。 以下のステップを実行します。

1. Workload Protection のインスタンスに App Configuration サービスへのアクセスを許可する信頼されたプロファイルを作成する。 Workload Protection インスタンスは、エンタープライズアカウント既に存在している必要があります。 以下のステップを実行します。
   1. [ 管理 ] > [アクセス (IAM)] > [ 信頼済みプロファイル ] の順に選択し、 [作成] をクリックします。
   2. 信頼できるプロファイルの名前 Workload Protection access to App Configuration。
   3. 信頼されるエンティティ・タイプとして IBM Cloud services を選択して信頼を確立し、作成した Workload Protection インスタンスの CRN を入力します。
   4. 信頼済みプロファイルに以下のアクセスポリシーを追加する：
      • EnterpriseサービスのViewerおよびUsage Report Viewerロール。
      • App Configuration サービスのコンフィギュレーション・アグリゲーター・リーダーとマネージャーの役割。
   5. 信頼済みプロファイルを作成したら、プロファイルIDをコピーして後で使えるように保存しておきます。
2. 次に、 Workload Protection のインスタンスを IBM Cloud アカウント接続して CSPM を有効にする。 以下のステップを実行します。
   1. ナビゲーション・メニュー・アイコン > Resource list をクリックし、 App Configuration を検索して、 App Configuration のインスタンスを見つけます。
   2. App Configuration インスタンスの Getting started ページで、 Details をクリックし、インスタンスの CRN をコピーします。
   3. ナビゲーション・メニュー・アイコン > Security > Compliance をクリックし、 Workload Protection インスタンス名をクリックして開きます。
   4. 情報源 にアクセスし、 IBM Cloud アカウント タブの 追加 をクリックする。
   5. Workload Protection access to App Configuration の信頼済みプロファイル ID と App Configuration インスタンス CRN を入力し、[ Add ] をクリックします。

リソースに対してコンテキストベースの制限が有効になっている場合、アクセスが提供されない限り、構成データを収集することはできない。 適切なネットワークゾーンを作成し、 App Configuration を参照サービスとして参照し、 Workload Protection がリソースをスキャンできるようにする。 詳しくは、 コンテキストベースの制限を作成するを 参照してください。

すべてのアカウント設定データを収集するために、 App Configuration を設定する

Workload Protection のインスタンスは、 App Configuration インスタンスを使用して、 アカウントリソースのコンプライアンスをスキャンできるようになりました。 しかし、企業全体をスキャンするには、 App Configuration、企業のすべてのアカウントアクセスする必要がある。 信頼済みプロファイルテンプレートを作成し、 アカウント割り当てます。 以下のステップを実行します。

1. 信頼できるプロフィール・テンプレートを 作成し、 trusted profile template for child accounts と名付ける。 以下のアクセスポリシーを含む：
   • すべてのアカウント管理サービス向けのViewerおよび ConfigReader。
   • すべての Identity and Access 対応サービスのリーダー、ビューア、 ConfigReader。
2. 信頼済みプロファイル・テンプレートを作成したら、テンプレートIDをコピーして後で使えるように保存しておきます。
3. 信頼済みプロファイルテンプレートを企業内のアカウントおよびアカウントグループに割り当てます。
4. 別の信頼済みプロファイルを作成して、 App Configuration に、作成したばかりの信頼済みプロファイル・テンプレートの読み取り権限を付与します。 以下のステップを実行します。
   1. [ 管理] > [アクセス (IAM)] > [信頼済みプロファイル ] の順に選択し、 [作成] をクリックします。
   2. 信頼できるプロファイルの名前 App Configuration access to child accounts。
   3. 信頼できるエンティティ・タイプとして IBM Cloud services を選択し、 App Configuration インスタンスの CRN を入力して、信頼を確立します。
   4. 信頼済みプロファイルに以下のアクセスポリシーを追加する：
      • EnterpriseサービスのViewerロール。
      • すべての IAM アカウント管理サービスのテンプレート管理者、割り当て管理者、および閲覧者の役割。
   5. 信頼済みプロファイルを作成したら、プロファイルIDをコピーして後で使えるように保存しておきます。

のインスタンスにコンフィギュレーション・アグリゲータをセットアップする。 App Configuration

CSPMは有効になったが、 App Configuration、まだコンフィギュレーション・データは収集されていない。 以下の手順を実行して、コンフィギュレーション・アグリゲーターをオンにする：

1. ナビゲーション・メニュー・アイコン > Resource list をクリックし、 App Configuration を検索する。
2. App Configuration インスタンス名をクリックして開き、 Configuration aggregator をクリックします。
3. Define an aggregation をクリックし、構成データを収集する地域を指定します。
4. 企業ID、 trusted profile template for child accounts のID、および先ほど作成した App Configuration access to child accounts のIDを入力し、[ Save] をクリックします。
5. アカウント内の設定データの収集を開始するには、 [記録] をオンにします。
6. 初期スキャンが完了するまで 24 時間待ちます。その後、 ナビゲーションメニューアイコン > セキュリティ > 概要と進み、 Workload Protection からコンプライアンスデータのスナップショットを表示します。