Alibaba Cloudを接続する

Alibaba Cloudを接続する理由

ユーザーデータを保護するためには、クラウドインフラストラクチャのセキュリティ確保が不可欠です。Aikidoのセキュリティチェックを活用して、Alibaba Cloud環境における設定ミスを検出し、対処することができます。

主なユースケース

Aikidoは、攻撃者がAlibaba Cloud環境に侵入できてしまう重大なクラウドの設定ミスを検出します。実際のビジネスに影響を与えるリスクに焦点を当て、ノイズを削減します。すべての設定チェックはこちらで確認できます。
Aikidoは、環境の変化に合わせて、Alibaba Cloud環境に新たなリスクがないか継続的に監視します。
Alibaba Cloud Container Registry (ACR) のコンテナイメージスキャン。
Alibaba Cloudインスタンス上でのLocal VM Scannerによる仮想マシンスキャン。

Aikidoは上記について毎日コンプライアンススキャンを実行します。

はじめに

Aikidoのクラウド概要ページに移動し、「Connect Cloud」をクリックして、リストからAlibaba Cloudを選択します。

1
Alibaba Cloudにログインしてオンボーディングを設定する

Alibaba Cloudへの接続方法は2つあります。
- Single Alibaba Account: Alibaba Cloudアカウントを1つずつ接続します。アカウント数が少ない場合や、小規模に始めたい場合に最適です。
- Full Alibaba Resource Directory: Alibabaの組織全体を一度に接続します。AikidoはResource Directory内のすべてのアカウントを自動的に取り込み、後から追加された新しいアカウントも含まれます。複数のアカウントを大規模に管理するチームに最適です。
Full Alibaba Resource Directory
1. Resource Directoryの管理アカウントを使用して、Alibaba Cloud Consoleにサインインします。
2. Resource DirectoryでStack Groupsの信頼されたアクセスが有効になっていることを確認します。
3. Aikidoウィザードで、以下を入力します。
  
  Resource Directory ID（例: rd-XXXXXX）
  
  Root Directory IDまたはFolder ID（例: r-abcdef または fd-abcdefghij, fd-jihgfedcba）。すべてをスキャンするにはルートIDを使用し、範囲を絞り込むには特定のフォルダIDを列挙します。
  
  除外するアカウントID （任意）: Aikidoにスキップさせたいアカウント。
  
  インフラストラクチャと併せてAlibaba Cloud Container Registryのイメージをスキャンしたい場合は、Enable ACR Scanningを有効にします。
これらの値は、AlibabaコンソールのResource Directoryで確認できます。
Single Alibaba Account

Alibaba Cloud Consoleに移動し、接続したいアカウントでサインインします。
2
RAMロールとポリシーを作成する

Aikidoウィザードで**「Create RAM Role & Policy」**をクリックします。テンプレートが事前入力された状態でAlibaba Cloud ROSが開きます。このロールはAikidoに読み取り専用の監査権限を付与するもので、Aikidoがインフラストラクチャを編集することは決してありません。

AccessKeyペアやパスワードがAikidoと共有されることはありません。
- ExternalIdパラメータに、ウィザードに表示された値を入力します（例: aikido-3377）。
- （Resource Directoryセットアップの場合のみ）ResourceDirectoryFolderIdsとEnableAcrScanningに、Aikidoで入力したものと同じ値を入力します。
- **「I confirm that Alibaba Cloud ROS may create RAM resources」**にチェックを入れます。
- Createをクリックします。
正確なROSテンプレートを確認するには、こちらをクリックしてください。Terraformでロールをプロビジョニングしたい場合は、ウィザードで同等のTerraformテンプレートを生成することもできます。
AikidoRoleARNをコピーしてAikidoに貼り付ける

Alibaba Cloud ROSで、作成したスタックを開き、Outputsタブに移動します。AikidoRoleARNの値をコピーしてAikidoウィザードの入力欄に貼り付け、Continueをクリックします。
クラウド接続に名前を付ける

Aikidoで接続したクラウドに名前を付け、稼働する環境（Production、Staging、Development、またはMixed）を選択します。これにより、Aikidoは深刻度とビジネスへの影響に基づいて検出結果の優先順位を付けることができます。Saveをクリックして完了します。

アカウントを接続してから数分以内に、Aikidoは脅威となりうる設定ミスを報告します。

コンテナイメージスキャン

Alibaba Cloud Resource Directoryを接続した場合、コンテナイメージはRAMロールを通じてスキャンされるため、追加の操作は必要ありません。このセクションは、個別のACR接続の場合にのみ該当します。

Alibaba Cloud Container Registry (ACR) と、Alibaba Cloudから使用するほとんどのサードパーティレジストリはOCI互換であるため、Aikidoでスキャンできます。

Alibaba Cloud Container Registryで読み取り専用またはプル専用のユーザーを作成します: https://www.alibabacloud.com/help/en/acr/user-guide/configure-access-credentials

次に、以下のOCIガイドに従ってコンテナイメージスキャンを設定します。

汎用OCI互換レジストリ

仮想マシンスキャン

Alibaba Cloud上の仮想マシンをスキャンするには、Local VM Scannerを使用します。インスタンス上のパッケージ、システム依存関係、設定を直接検査します。

ローカルVMスキャン

ECSインスタンスでは、必要なバイナリをダウンロードしてインストールするようにユーザーデータを設定することで、Local VM Scannerを導入できます。また、普段使用している自動化ツール（Ansible、Terraformでプロビジョニングされたスクリプト、cloud-init）を使って一元的に展開することもでき、新しいAlibaba Cloudインスタンスが自動的に登録されるようになります。