オンボードの完了後にコントローラーを有効または無効にする
コントローラーを使用すると、Permissions Management で許可するアクセスのレベルを決定できます。
有効にすると、環境への読み取りと書き込みのアクセスが許可されます。 Permission Management を通してアクセス許可を適切なサイズにして修復できます。
無効にすると、お使いの環境に読み取り専用アクセス権が付与されます。
この記事では、オンボードの完了後に Amazon Web Services (AWS)、Microsoft Azure、Google Cloud Platform (GCP) でコントローラーを有効または無効にする方法について説明します。
またこの記事では、オンボードの完了後に Microsoft Azure と Google Cloud Platform (GCP) でコントローラーを有効または無効にする方法についても説明します。 AWS でコントローラーを一旦有効にすると、無効にすることはできません。
AWS でコントローラーを有効にする
Note
オンボード中にコントローラーを無効にした場合は、AWS でコントローラーを有効にすることができます。 AWS でコントローラーを一旦有効にすると、無効にすることはできません。
個別のブラウザー ウィンドウで、メンバー アカウントの AWS コンソールにサインインします。
Permissions Management のホーム ページにアクセスし、[設定] (歯車アイコン) を選択し、[データ コレクター] サブタブを選択します。
[データ コレクター] ダッシュボードで、[AWS] を選択し、[構成の作成] を選択します。
[Permissions Management のオンボード - AWS メンバー アカウントの詳細] ページで、[テンプレートの起動] を選択します。
[AWS CloudFormation create stack] (AWS CloudFormation スタック作成) ページが開き、テンプレートが表示されます。
[CloudTrailBucketName] ボックスに名前を入力します。
AWS の [Trails] (トレイル) ページから [CloudTrailBucketName] 名をコピーして貼り付けることができます。
Note
クラウド バケット により、Permissions Management が監視する 1 つのアカウントのすべてのアクティビティが収集されます。 ここにクラウド バケットの名前を入力して、アクティビティ データを収集するために必要なアクセス許可を Permissions Management に付与します。
Permissions Management プラットフォームから行う修復を自動的に実行できるようにするために、[コントローラーの有効化] ボックスのドロップダウン リストから [True] を選択して、Permissions Management に読み取りと書き込みのアクセス権を付与します。
ページの一番下までスクロールし、[機能] ボックスで [I acknowledge that AWS CloudFormation might create IAM resources with custom names] (AWS CloudFormation がカスタム名を持つ IAM リソースを作成することを承認する) を選択します。 次に [スタックの作成] を選択します。
この AWS CloudFormation スタックにより、データ収集に必要なアクセス許可 (ポリシー) を持つ収集ロールがメンバー アカウントに作成されます。 このロールには信頼ポリシーが設定されています。これにより、AWS OIDC アカウントで作成された OIDC ロールが、このロールにアクセスできます。 これらのエンティティは、CloudFormation スタックの [リソース] タブにリストされます。
Permissions Management に戻り、[Permissions Management のオンボード - AWS メンバー アカウントの詳細] ページで、[次へ] を選択します。
[Permissions Management のオンボード – 概要] ページで、追加した情報を確認して、[すぐに確認して保存] を選択します。
次のメッセージが表示されます: Successfully created configuration. (構成が正常に作成されました。)
Azure でコントローラーを有効または無効にする
Azure のコントローラーは、管理グループのサブスクリプション レベルで有効または無効にすることができます。
Azure の [ホーム] ページで、[管理グループ] を選択します。
コントローラーを有効または無効にするグループを見つけ、矢印を選択してグループ メニューを展開し、サブスクリプションを表示します。 または、グループに一覧表示されている [合計サブスクリプション] の数を選択することもできます。
コントローラーを有効または無効にするサブスクリプションを選択し、その後ナビゲーション メニューの [アクセス制御 (IAM)] をクリックします。
[アクセスの確認] セクションの [検索] ボックスに、「Cloud Infrastructure Entitlement Management (クラウド インフラストラクチャ エンタイトルメント管理)」と入力します。
[Cloud Infrastructure Entitlement Management assignments] (クラウド インフラストラクチャ エンタイトルメント管理の割り当て) ページが表示され、自分に割り当てられているロールが表示されます。
- 読み取り専用アクセス許可を持っている場合、[ロール] 列に [閲覧者] と表示されます。
- 管理アクセス許可を持っている場合、[ロール] 列に [ユーザー アクセス管理者] と表示されます。
管理ロールの割り当てを追加するには、[アクセス制御 (IAM)] ページに戻り、[ロールの割り当ての追加] を選択します。
クラウド インフラストラクチャ エンタイトルメント管理のロール割り当てを追加または削除します。
Permissions Management のホーム ページにアクセスし、[設定] (歯車アイコン) を選択し、[データ コレクター] サブタブを選択します。
[データ コレクター] ダッシュボードで、[Azure] を選択し、[構成の作成] を選択します。
[Permissions Management のオンボード - Azure サブスクリプションの詳細] ページで、[サブスクリプション ID] を入力し、[次へ] を選択します。
[Permissions Management のオンボード – 概要] ページで、コントローラーのアクセス許可を確認して、[すぐに確認して保存] を選択します。
次のメッセージが表示されます: Successfully Created Configuration. (構成が正常に作成されました。)
GCP でコントローラーを有効または無効にする
gcloud auth login を実行します。
画面に表示される指示に従い、Google アカウントへのアクセスを承認します。
sh mciem-workload-identity-pool.shを実行して、ワークロード ID プール、プロバイダー、サービス アカウントを作成します。sh mciem-member-projects.shを実行して、各メンバー プロジェクトにアクセスするための Permissions Management アクセス許可を付与します。- Permissions Management を使用してアクセス許可を管理する場合、[Y] を選択してコントローラーを有効にします。
- プロジェクトを読み取り専用モードでオンボードする場合、[N] を選択してコントローラーを無効にします。
必要に応じて、
mciem-enable-gcp-api.shを実行して、推奨されているすべての GCP API を有効にします。Permissions Management のホーム ページにアクセスし、[設定] (歯車アイコン) を選択し、[データ コレクター] サブタブを選択します。
[データ コレクター] ダッシュボードで、[GCP] を選択し、[構成の作成] を選択します。
[Permissions Management のオンボード - Microsoft Entra OIDC アプリの作成] ページで、[次へ] を選択します。
[Permissions Management のオンボード - GCP OIDC アカウントの詳細 と IDP アクセス] ページで、[OIDC プロジェクト番号] と [OIDC プロジェクト ID] を入力し、[次へ] を選択します。
[Permissions Management のオンボード - GCP プロジェクト ID] ページで、[プロジェクト ID] を入力し、[次へ] を選択します。
[Permissions Management のオンボード – 概要] ページで、追加した情報を確認して、[すぐに確認して保存] を選択します。
次のメッセージが表示されます: Successfully Created Configuration. (構成が正常に作成されました。)
次のステップ
- オンボードの完了後にアカウント、サブスクリプション、プロジェクトを追加する方法については、「オンボードの完了後にアカウント、サブスクリプション、プロジェクトを追加する」を参照してください。