Azure 仮想マシンスキャンのセットアップ

この機能はご利用いただけます Pro に設定し、 Advanced プラン限定です。 お問い合わせください 詳しくは。

仮想マシンをスキャンすべき理由は？

仮想マシンのスキャンを使用すると、Aikido は仮想マシンのハードドライブをスキャンして、脆弱なパッケージ、古いランタイム、リスクのあるライセンスを検出できます。

前提条件

クライアントシークレット付きの Entra ID アプリ登録が必要です。すでにクラウドスキャン用に Azure クラウドを Aikido に接続している場合は、その同じアプリ登録を再利用でき、新しいものを作成する必要はありません。そうでない場合は、まず次の手順で設定してください: Azure クラウドを接続する.

カスタムロールを作成

Aikido は、仮想マシンのスキャンに必要な最小限の権限に限定したカスタム Azure ロールを使用します。

1

アクセス制御 (IAM) に移動

次へ移動します： サブスクリプション （または 管理グループ）で、仮想マシンに対応するスコープを見つけ、 アクセス制御 (IAM).

2

カスタムロールを追加

クリック 追加をクリックし、その後 カスタムロールを追加.

3

スコープを選択

ロールを割り当て可能にする対象を サブスクリプション レベル または 管理グループ レベル:

• 単一のサブスクリプション: 1つのサブスクリプション内の VM のみを対象にします。
• 管理グループ: その配下のすべてのサブスクリプションを対象にします。VM が複数のサブスクリプションにまたがっている場合に便利です。

管理グループのスコープでは、別の ID を調べる必要はありません。あなたの ディレクトリ (テナント) ID、アプリ登録の概要ページにあるものと同じものを使用します。これは組織のルート管理グループに対応します。

4

ロールの JSON を貼り付け

に移動してください JSON タブを開き、 編集。以下のロール定義を貼り付けてください。

設定します： assignableScopes は、選択したスコープに基づきます:

単一のサブスクリプションの場合:

"assignableScopes": [
  "/subscriptions/<your-subscription-id>"
]

管理グループの場合:

"assignableScopes": [
  "/providers/Microsoft.Management/managementGroups/<your-directory-tenant-id>"
]

完全なロール定義:

{
  "properties": {
    "roleName": "Aikido VM Scanner",
    "description": "",
    "assignableScopes": [
      "<insert scope from above>"
    ],
    "permissions": [
      {
        "actions": [
          "Microsoft.Compute/virtualMachines/read",
          "Microsoft.Compute/disks/beginGetAccess/action",
          "Microsoft.Compute/disks/endGetAccess/action",
          "Microsoft.Compute/disks/read",
          "Microsoft.Compute/snapshots/read",
          "Microsoft.Compute/snapshots/write",
          "Microsoft.Compute/snapshots/delete",
          "Microsoft.Compute/snapshots/beginGetAccess/action",
          "Microsoft.Compute/snapshots/endGetAccess/action",
          "Microsoft.Authorization/roleAssignments/read"
        ],
        "notActions": [],
        "dataActions": [],
        "notDataActions": []
      }
    ]
  }
}

クリック 保存.

5

確認して作成

下部で 確認して割り当てをクリックし、その後 作成.

ロールをアプリ登録に割り当てる

1

Access control (IAM) に戻る

同じスコープ（サブスクリプションまたは管理グループ）に移動し、 アクセス制御 (IAM).

2

ロールの割り当てを追加

に移動してください ロールの割り当て タブで、 追加をクリックし、その後 ロールの割り当てを追加.

3

カスタムロールを選択

で ロール タブで、検索して選択 Aikido VM Scanner、その後クリックします 次に.

4

それをアプリ登録に割り当てる

そのままにしておき アクセスの割り当て先 は既定値のままにして、 メンバーを選択、アプリ登録名（例: "AikidoSecurity"）を検索して選択し、 選択しますをクリックし、その後 確認して割り当て を2回クリックします。

これで、アプリ登録には Azure の仮想マシンをスキャンするために必要な権限が付与されました。

VMのグループ化

スキャン効率を最適化するため、Aikido は一部の Azure VM をグループ化し、各グループから1つのインスタンスのみをスキャンします。グループ化は次のように機能します:

• Virtual Machine Scale Sets (VMSS): 同じ VMSS に属するすべての VM は、Aikido では1つの VM グループとして表示されます。VM グループ名は VMSS の識別子と一致します。
• グループ化なし: VMSS の一部ではない VM は、個別のスタンドアロン VM として扱われ、それぞれ個別にスキャンされます。