Google Cloud プロジェクトを接続する

クラウドインフラの保護は、データを守るうえで極めて重要です。Aikidoのセキュリティチェックを活用して、インフラ内の設定ミスを検出し、対処できます。

Aikidoがクラウド環境で実行したセキュリティチェックの一覧を表示するには、「checks」タブへ移動してください クラウドの概要ページ で。GCPに絞り込むと、接続済みのGCPプロジェクトに対して実行された個別のチェックを確認できます。

始めるには、 クラウドの概要ページ Aikido上で「クラウドを接続」をクリックしてください。ステップごとのセットアップウィザードに従って、GCPプロジェクトをAikidoに接続します。

まず、正しいプロジェクトを識別するためにプロジェクト ID を入力する必要があります。次に、特定の GCP サービスへの API アクセスを有効にするよう求められます。これは、Aikido が API リクエストを通じてクラウドリソースのセキュリティを検査できるようにする重要なステップです。

API アクセスを有効にすると、セットアップウィザードが、GCP プロジェクト内の特定サービスに対して限定的な読み取り専用アクセスを持つサービス アカウントの作成を案内します。このアカウントには必要なロールと権限が割り当てられますが、いずれも読み取り専用です。これにより、Aikido はリソースを意図せず変更してしまうリスクなくセキュリティチェックを実行できます。

検討してください Workload Identity Federation サービス アカウントベースのセットアップの代わりに使用してください。オンボーディング中に選択できます。

カスタムロール

セットアップ中に推奨ロールを割り当てたくない場合は、 作成して 次のカスタムロールを作成し、サービス アカウントに割り当ててください:

title: Aikido カスタムロール
description: Aikido Security の最小権限
stage: GA
includedPermissions:
  - alloydb.clusters.list
  - alloydb.instances.getIamPolicy
  - alloydb.instances.list
  - apikeys.keys.list
  - appengine.applications.get
  - appengine.applications.getIamPolicy
  - appengine.services.list
  - appengine.versions.list
  - artifactregistry.dockerimages.get
  - artifactregistry.dockerimages.list
  - artifactregistry.files.get
  - artifactregistry.files.list
  - artifactregistry.locations.get
  - artifactregistry.locations.list
  - artifactregistry.packages.get
  - artifactregistry.packages.list
  - artifactregistry.repositories.get
  - artifactregistry.repositories.list
  - artifactregistry.tags.get
  - artifactregistry.tags.list
  - artifactregistry.versions.get
  - artifactregistry.versions.list
  - backupdr.backupPlanAssociations.list
  - batch.jobs.list
  - bigquery.datasets.get
  - bigquery.datasets.getIamPolicy
  - bigquery.tables.list
  - bigtable.instances.list
  - cloudasset.assets.listResource
  - cloudfunctions.functions.list
  - cloudkms.cryptoKeyVersions.list
  - cloudkms.cryptoKeys.getIamPolicy
  - cloudkms.cryptoKeys.list
  - cloudkms.cryptoKeyVersions.getIamPolicy
  - cloudkms.cryptoKeyVersions.list
  - cloudkms.keyRings.getIamPolicy
  - cloudkms.keyRings.list
  - cloudfunctions.functions.getIamPolicy
  - cloudfunctions.functions.list
  - cloudsql.backupRuns.list
  - cloudsql.instances.list
  - cloudsql.users.list
  - composer.environments.list
  - compute.addresses.list
  - compute.autoscalers.list
  - compute.backendBuckets.list
  - compute.backendServices.list
  - compute.disks.getIamPolicy
  - compute.disks.list
  - compute.firewalls.list
  - compute.forwardingRules.list
  - compute.globalAddresses.list
  - compute.globalForwardingRules.list
  - compute.healthChecks.list
  - compute.images.getIamPolicy
  - compute.images.list
  - compute.instanceGroupManagers.list
  - compute.instanceGroups.get
  - compute.instanceGroups.list
  - compute.instanceTemplates.list
  - compute.instances.getIamPolicy
  - compute.instances.list
  - compute.instanceTemplates.list
  - compute.machineImages.list
  - compute.networks.list
  - compute.nodeGroups.list
  - compute.nodeTemplates.list
  - compute.projects.get
  - compute.regions.list
  - compute.regionSslPolicies.list
  - compute.resourcePolicies.getIamPolicy
  - compute.resourcePolicies.list
  - compute.routers.list
  - compute.routes.list
  - compute.securityPolicies.list
  - compute.snapshots.list
  - compute.sslPolicies.list
  - compute.subnetworks.getIamPolicy
  - compute.subnetworks.list
  - compute.targetHttpProxies.list
  - compute.targetHttpsProxies.list
  - compute.targetPools.list
  - compute.targetSslProxies.list
  - compute.targetVpnGateways.list
  - compute.urlMaps.list
  - compute.vpnGateways.list
  - compute.vpnTunnels.list
  - container.clusters.get
  - container.clusters.getIamPolicy
  - container.clusters.list
  - dataplex.lakes.list
  - dataplex.tasks.list
  - dataplex.zones.list
  - dataproc.clusters.getIamPolicy
  - dataproc.clusters.list
  - datastore.databases.list
  - deploymentmanager.deployments.list
  - dns.managedZones.list
  - dns.policies.list
  - dns.resourceRecordSets.list
  - iam.roles.get
  - iam.roles.list
  - iam.serviceAccountKeys.get
  - iam.serviceAccountKeys.list
  - iam.serviceAccounts.getIamPolicy
  - iam.serviceAccounts.list
  - logging.buckets.list
  - logging.logMetrics.list
  - logging.sinks.list
  - metastore.services.list
  - monitoring.alertPolicies.list
  - monitoring.groups.list
  - monitoring.notificationChannels.list
  - orgpolicy.policies.list
  - orgpolicy.policy.get
  - pubsub.snapshots.list
  - pubsub.subscriptions.list
  - pubsub.topics.getIamPolicy
  - pubsub.topics.list
  - redis.clusters.list
  - redis.instances.list
  - resourcemanager.folders.get
  - resourcemanager.folders.list
  - resourcemanager.projects.get
  - resourcemanager.projects.getIamPolicy
  - resourcemanager.projects.list
  - run.jobs.getIamPolicy
  - run.jobs.list
  - run.locations.list
  - run.services.getIamPolicy
  - run.services.list
  - secretmanager.secrets.getIamPolicy
  - secretmanager.secrets.list
  - serviceusage.services.list
  - spanner.instances.list
  - storage.buckets.getIamPolicy
  - storage.buckets.list
  - tpu.nodes.list
  - vpcaccess.connectors.list

サービス アカウントが作成されたら、アクセスキーを生成して Aikido にアップロードする必要があります。このキーは、Aikido がリソースをスキャンするために必要な API リクエストを実行する際に使用されます。

最後に、Aikido 内で接続したプロジェクトに名前を付け、運用環境を指定できます。この情報は、ビジネスへの重大度と影響に基づいて、Aikido が検出結果の優先順位を付けるのに役立ちます。

アカウントを接続してから 1〜2 分以内に、Aikido が脅威となりうる設定ミスを報告します。

高度なルール

上記のチェックに加えて、Aikido では有効化できる補完的なチェック/ルールを提供しています。これらを高度なクラウドルールと呼び、 こちら。これらのルールを有効にすると、結果は（新しい問題として フィード）が数秒以内に表示されます。

標準チェックと同様に、これらもクラウド環境のスキャンごとに評価されます。さらに、コンプライアンス レポートにもマッピングされます。デフォルトでは、高度なルールは 無効 コンプライアンス レポートでは、有効化するまで無効として表示されます。