> For the complete documentation index, see [llms.txt](https://help.aikido.dev/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://help.aikido.dev/docs/docs-ja/kuraudosukyan/cloud-search-querying-the-asset-graph.md). # クラウド検索: アセットインベントリを検索 ### 使い方 [クラウドインベントリを検索](https://app.aikido.dev/clouds/assets) 探しているものを説明することで **自然言語で** 関連するアセットをどう見つけるかはシステムに任せましょう。以下の例を使って、始めるきっかけやヒントにしてください。 #### シンプルなプロンプト | プロンプト | 重要な理由 | | -------------------- | ---------------------------------------------------------------- | | 公開S3バケット | 公開S3バケットは設定ミスが起きやすく、データの露出や漏えいにつながる可能性があります。バケットを公開にする方法も複数あります。 | | EU外のバケット | データ所在地のコンプライアンス（例: GDPR）を強化し、機密データが許可されたリージョン外へ出ないようにします。 | | MFAなしのユーザー | 多要素認証のないアカウントは、認証情報の盗難によるアカウント乗っ取りの危険があります。 | | プログラムによるアクセス権を持つユーザー | APIキーを通じてクラウドとやり取りできるユーザーを特定します。これらの認証情報は攻撃者に狙われやすい対象です。 | | 削除保護のないデータベース | 重要なデータベースの誤削除や悪意ある削除を防ぎます。 | #### ネットワーキングのプロンプト | プロンプト | 重要な理由 | | ---------------------------------- | ------------------------------------------------------------- | | 管理ポートが開いているEC2インスタンス | SSH（22）やRDP（3389）などのポートがインターネットに開放されていると、不正アクセスの大きな攻撃経路になります。 | | EC2インスタンスからのトラフィックを許可しているRDSデータベース | 攻撃者が悪用できる信頼関係や横展開の経路を特定するのに役立ちます。 | | VPCで実行されていないLambda関数 | VPC外の関数はネットワーク制御が不足している可能性があり、機密トラフィックを公開インターネットにさらすことがあります。 | | データベースをホストしている可能性があるEC2インスタンス | 明示的にラベル付けされていなくても、追加の保護や監視が必要なデータストアを特定するのに役立ちます。 | | VPCエンドポイントにアクセスできるLambda | VPCアクセスを持つLambda関数が悪用されると、機密性の高い内部サービスやデータベースとやり取りできてしまいます。 | #### IAMのプロンプト | プロンプト | 重要な理由 | | ----------------------- | ----------------------------------------- | | S3バケットにアクセスできるEC2インスタンス | 権限が過剰なIAMロールを通じた、データ流出の可能性のある経路を検出します。 | | ユーザーを作成できるLambda | ユーザー作成権限を持つ関数は、永続化や権限昇格のために悪用される可能性があります。 | | 他アカウントからアクセス可能なIAMロール | クロスアカウントアクセスは攻撃対象領域を広げ、監視されていない可能性があります。 | | 管理者権限を持つユーザー | 権限過多のユーザーは、セキュリティ設定ミスや内部脅威の主な原因です。 | | 権限過多のIAMロール | 最小権限のベストプラクティスを超える過剰な権限を持つロールを検出します。 | #### CVE/EOLの問題 | プロンプト | 重要な理由 | | --------------------------- | ------------------------------------------------------------------------------------------------ | | CVE-2025-21613に脆弱なEC2インスタンス | インフラ内の既知の高リスク脆弱性に対して、的を絞った修復を可能にします。 | | 古いOSを実行しているEC2インスタンス | レガシーシステムは重要なセキュリティパッチやサポートが不足していることが多く、リスクが高まります。 | | 古いPythonを使っているVM | 古いランタイムは脆弱で、最新のセキュリティライブラリと互換性がない場合があります。 | | 重大な脆弱性を持つVM | 脆弱性の深刻度に基づいて、悪用される可能性が最も高いVMの修復を優先します。 | | log4shellに脆弱なEC2インスタンス | 特定の脆弱性を狙って検索することで、重要なゼロデイを迅速かつ徹底的に修正できます。 | | 高または重大の脆弱性を持つコンテナ | クラウドでコンテナを実行する方法は複数あります。ECS、Lambda、App Runnerなどです。これにより、重大な脆弱性の影響を受けるコンテナを特定し、優先順位を付けられます。 | | 古いPythonを使っているコンテナ | 古いパッケージ（この場合はPython）を使っているコンテナを、すべてのサービス横断で素早く特定します。 | | EOLのディストリビューションを使っているコンテナ | コンテナは、通常ベースイメージの一部として、保守されていないOSを実行していることもあります。これらを更新するとコンテナのセキュリティが大幅に向上し、多くの脆弱性も解消できる可能性があります。 | #### 高度: 組み合わせる | プロンプト | 重要な理由 | | ------------------------------------------------- | ------------------------------------------------------- | | S3バケットにアクセスできる、CVE-2025-21613に脆弱な公開EC2インスタンスを表示して | エンドツーエンドの攻撃チェーンをモデル化します: 公開露出 + 脆弱性 + 機密データへのアクセス。 | | 手動で作成されたLambda関数 | 手動でのプロビジョニングは、IaCのガードレールやコンプライアンスチェックを回避する可能性があります。 | | 管理者権限を持ち、インターネットに公開されている関数 | 管理者権限とインターネット公開を持つサーバーレスリソースは、権限昇格やデータ流出に悪用される可能性があります。 | | 私の最もリスクの高いデータストア | Aikidoが、露出、脆弱性、権限に基づいて最もリスクの高いデータ資産を表示し、優先的な保護を可能にします。 | ### プロンプト作成のベストプラクティス * **最適な用語を見つけるのに苦労しないでください:** 従うべき定義済みのプロンプト、用語、ルールはありません。クラウド環境から見たいものを何でも記述して、Aikidoに何を検索し、どのクエリを生成する必要があるかを判断させてください。 * **プロンプトエンジニアリング:** 結果に満足できない場合は、何を望んでいるのかをもっと具体的にしてみてください。例 ❌rdsにアクセスできる関数 ✅RDSインスタンスにネットワークアクセスできるLambda関数 * **幅広い探索には単一キーワードを使う:** 単一のキーワードを入力すると、Aikidoがアセット全体に対して広範なテキスト検索を実行します。たとえば、ユーザー名を検索すると次のものが返されます: * 同じまたは類似の名前を持つユーザー * 所属するグループ、\ タグにその名前が含まれるアセット、\ そのユーザーに言及するポリシー。 **ヒント: ユーザー名、インスタンス名、タグ値などのキーワードを使うと、関連するアセットや権限を素早く見つけられます。** たとえば、 `alice` と入力すると、彼女のユーザープロファイル、所属グループ、彼女の名前が付いたEC2インスタンス、彼女に言及しているIAMポリシーがすべて1回の検索で表示されるかもしれません。 ### 仕組み（詳細） あなたが [クラウド環境を接続すると](https://help.aikido.dev/section/cloud-scanning/sg9wcI1SQYXh)、Aikidoが自動的にアセットインベントリを構築し、アカウントやリージョン全体の可視性を提供します。AikidoはクラウドプロバイダーのAPIを呼び出すことで、クラウドスキャン（定期実行および手動トリガー）の一部としてインベントリを同期します。さらに、 [仮想マシン](https://help.aikido.dev/section/virtual-machines/sghsMGzXCy2D) および [コンテナ](https://help.aikido.dev/section/container-image-scanning/sg2tzjJ7N8dJ). クラウドアセットインベントリには、 **Clouds -> Assets** タブに移動することでアクセスできます。ここでは、接続済みのすべてのクラウドのアセットが表示されます。または、特定のクラウドに移動して、アセットタブでそのクラウドのアセットのみを表示することもできます。
クラウドインベントリを検索するには、見たいものを **自然言語で** 記述し、関連するアセットを見つける方法はシステムに任せます。Aikidoは、プロンプトの複雑さに応じて、プロンプトを1つ以上のステップに変換します。その後、最終結果を得るためにステップを実行しながら、中間結果を表示します。 上の例では、「S3バケットにアクセスできるEC2インスタンスを表示して」というプロンプトに対して、AikidoはEC2インスタンスに関連付けられたIAMロール（インスタンスプロファイル経由）を探し、S3バケットへのアクセス権を持つIAMロール（インラインポリシーまたはアタッチ済みポリシーで付与されているかどうか）を見つけ、IAMロールにアクセス権を付与しているバケットポリシーを見つけ、最終結果でそれらを組み合わせました。 すべてのステップ、その要約、そしてアセットの一覧は最初のタブで確認できます。複数のクラウドプロバイダー（AWSとAzure）を接続している場合は、各プロバイダーに関連する複数のタブが表示されます。
最終結果は右側のタブに表示され、検索条件に該当するアセットの完全な一覧が含まれます。マルチクラウド検索でも同様で、このビューですべてのアセットが統合されます。 #### 補足 * 1語で検索すると、Aikidoはテキスト検索を実行し、名前やその他のフィールドからアセットを見つけられるようにします。たとえば、ユーザー名を検索すると、そのユーザーとそのユーザーが所属する任意のグループ、タグ内でユーザーが言及されているアセット、そしてARNでそのユーザーを参照しているポリシーが返されます。 * Aikidoはプロンプトをキャッシュしているため、後続の検索ははるかに高速になります。また、過去の検索履歴も表示します（あなたのユーザー分のみ）。 ![](/files/fc57367219aa71aef838f904474299a8f7aa9487) --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://help.aikido.dev/docs/docs-ja/kuraudosukyan/cloud-search-querying-the-asset-graph.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.