Azure 管理グループの接続

Azure サブスクリプションをオンボーディングする際、Azure の管理グループ全体を自動的に接続するオプションを利用できます。

Azure 管理グループを接続する理由

Azure 管理グループ全体を接続すると、以下のメリットがあります。

セットアップの高速化: 手動で接続する必要があるのはサブスクリプション1つだけです。
サブスクリプションの自動検出: 今後追加されるものも含め、Azure サブスクリプションが自動的に Aikido に追加されます。
ACR スキャンの自動セットアップ: Aikido がすべての Azure Container Registry を自動的に検出してスキャンします。
Azure VM スキャンの自動セットアップ: 有効化されている場合、Aikido のエージェントレス技術を使ってすべての Azure VM をスキャンします。

前提条件

Pro、Advanced、または Enterprise プランを利用していること。
Azure 環境の管理グループへのアクセス権を持っていること。

はじめに

Azure サブスクリプションをオンボーディングする標準フローに従います。
ステップ3で「Management Groups」オプションを選択します。
Aikido で「management cloud」として機能するサブスクリプションの ID を入力します。これは単に接続の詳細情報を保持するサブスクリプションであり、他のサブスクリプションとセットアップ上の違いはありません。今後も維持し続ける予定のサブスクリプションを選ぶことを推奨します。
その他のフィールドは任意です。空欄のままにすると、テナント内のすべての Azure サブスクリプションが自動的に接続されます。
次に、Azure 環境への RBAC/IAM アクセスを設定する必要があります。

CSPM コンポーネントについては、Aikido は Azure ロール Security Reader と Log Analytics Reader を必要とします。
ACR スキャンについては、Aikido は AcrPull と Container Registry Repository Catalog Lister を必要とします。
VM スキャンについては、Aikido は以下の権限を持つロールを必要とします。

Microsoft.Compute/virtualMachines/read,
Microsoft.Compute/disks/beginGetAccess/action,
Microsoft.Compute/disks/endGetAccess/action,
Microsoft.Compute/disks/read,
Microsoft.Compute/snapshots/read,
Microsoft.Compute/snapshots/write,
Microsoft.Compute/snapshots/delete,
Microsoft.Compute/snapshots/beginGetAccess/action,
Microsoft.Compute/snapshots/endGetAccess/action,
Microsoft.Authorization/roleAssignments/read,

セットアップが完了すると、他のサブスクリプションが数分以内に表示され始めます。

クラウドの用途判定

Azure サブスクリプションの用途・環境は、その名前から自動的に判定されます。Aikido は「production」「staging」「uat」などの用語を探し、それに応じてクラウドの用途を設定します。一致するものが見つからない場合、用途は「mixed」になります。各クラウド接続の用途は、「Configure」ボタンを使って手動で更新することもできます。