Cloud Infrastructure Entitlement Management の概要

Security Command Center の Cloud Infrastructure Entitlement Management（CIEM）機能を使用すると、複数のクラウドプラットフォームのデプロイメント内のどのリソースにどの ID がアクセスできるかを管理し、構成ミスによって生じる潜在的な脆弱性を軽減できます。

Security Command Center の CIEM 機能は、ID とアクセスの構成のセキュリティを包括的に確認できます。具体的には、次の CIEM 機能は、構成ミスを特定し、最小権限の原則を適用する際に有用です。

Google Cloud や Amazon Web Services（AWS）など、複数のクラウドプラットフォームのデプロイにおける潜在的な ID とアクセスの構成ミスの検出。
IAM Recommender - 他の ID プロバイダのフェデレーション ID を含む、プリンシパルに付与された Google Cloud Identity and Access Management（IAM）ロールに関する分析情報を提供する ID 固有の検出結果 Entra ID（Azure AD）や Okta など。
過剰な権限を持つプリンシパルから権限を削除するなど、構成ミスを修正する方法に関するガイダンス。
ケース管理: セキュリティオペレーションコンソールやその他のチケット管理システムを使用して、構成ミスの修正作業を効率的に追跡できます。

CIEM を使用して ID とアクセスのセキュリティの問題を管理する

以降のセクションでは、ID とアクセスの構成ミスを管理するのに役立つ CIEM 機能について説明します。

ID とアクセスの検出結果へのクイックアクセス

多くの場合、セキュリティの問題は、検出されない ID とアクセスの構成ミス（高度な特権を持つプリンシパル、休止状態の ID、ローテーションされていないサービスアカウントキー、複数要素認証の欠如など）が原因で発生します。CIEM は、クラウド環境全体で潜在的な ID とアクセスのセキュリティの問題を警告するのに役立つ検出結果を生成します。さまざまな Security Command Center 検出サービス（IAM Recommender、Security Health Analytics、CIEM など）は、Security Command Center の CIEM 機能の一部と見なされる ID とアクセスの検出結果を生成します。たとえば、CIEM 検出サービス自体が、AWS の ID とアクセスに関する検出結果のサブセットを生成し、高度な権限を持つ AWS IAM ロール、グループ、ユーザーをアラートします。

CIEM を使用すると、Security Command Center は、Security Command Center のリスク概要ページの ID とアクセスの検出結果カードに、Google Cloud と AWS の ID とアクセスの検出結果を分類して表示します。このカードを使用すると、Security Command Center の [検出結果] ページで、ID とアクセスの構成ミスの検出結果をフィルタしてすばやく確認できます。詳細を表示すると、検出された内容の全範囲と、潜在的な攻撃ベクトルを回避するために構成ミスを修正する方法に関するガイダンスが表示されます。

ID とアクセスの検出結果を調査して ID とアクセスのセキュリティを理解する方法については、ID とアクセスの検出結果を調査するをご覧ください。

ID とアクセスの検出結果に対する修復ガイダンスとトラッキング

マルチクラウドインフラストラクチャを扱うセキュリティチームは、ID とアクセスの構成ミスを大規模に修正することが困難です。Security Command Center は、修復ガイダンスと、ケース管理やレスポンスハンドブックなどのセキュリティ運用機能を提供します。デフォルトでは、Security Command Center は、セキュリティ運用コンソールでケースと、Jira または ServiceNow で Critical と High の重大度の構成ミスのチケットを自動的に作成します。

検出結果のケースの確認について詳しくは、ID とアクセスに関する問題のケースを確認するをご覧ください。

Google Cloud での連携 ID の権限の検出

CIEM は、Entra ID (Azure AD) や Okta などの他の ID プロバイダからのフェデレーション ID の Google Cloud 権限に関する分析情報を提供することで、ID とアクセス構成のセキュリティをより詳細に把握するのに役立ちます。CIEM は IAM Recommender と統合し、Google Cloud リソースに対する過剰な権限を持つロールを持つフェデレーション ID を公開します。不適切なアクセス許可と推奨される修正は、Security Command Center の [検出結果] ページから直接表示できます。検出結果の違反アクセス権の詳細については、違反アクセス権をご覧ください。

また、Google Cloud IAM を使用すると、Google Cloud コンソールの [IAM] ページで他の ID プロバイダのプリンシパルの権限をさらに調査できます。