Alibaba Cloudを接続する理由

クラウドインフラストラクチャを保護することは、ユーザーデータを守るうえで極めて重要です。Aikidoのセキュリティチェックを活用することで、Alibaba Cloud環境内の誤設定を検出し、対処できます。

主なユースケース

Aikidoは、攻撃者がAlibaba Cloud環境に侵入することを許してしまう重大なクラウドの誤設定を可視化します。私たちは、実際のビジネスへの影響が大きいリスクに焦点を当て、ノイズを排除します。すべての設定チェックはこちらでご確認いただけます。
Aikidoは、環境の変化に応じて、Alibaba Cloud環境における新たなリスクを継続的に監視します。
Alibaba Cloud Container Registry (ACR) のコンテナイメージスキャン。
Local VM ScannerによるAlibaba Cloudインスタンス上の仮想マシンスキャン。

Aikidoは、上記に対して毎日コンプライアンススキャンを実行します。

はじめに

Aikidoのクラウド概要ページにアクセスし、「Connect Cloud」をクリックして、リストからAlibaba Cloudを選択します。

1. Alibaba Cloudにログインしてオンボーディングを設定する

Alibaba Cloudへの接続方法は2種類あります:

単一のAlibabaアカウント: 一度に1つのAlibaba Cloudアカウントを接続します。アカウント数が少ない、またはまずは小規模に始めたい場合に最適です。
Alibabaリソースディレクトリ全体: Alibaba組織全体を一度に接続します。Aikidoは、後から追加された新規アカウントも含め、リソースディレクトリ内のすべてのアカウントを自動的に取得します。複数のアカウントを大規模に管理するチームに最適です。

Alibabaリソースディレクトリ全体

リソースディレクトリの管理アカウントを使用してAlibaba Cloud Consoleにサインインします。
リソースディレクトリでスタックグループの信頼アクセスが有効になっていることを確認します。
Aikidoウィザードで以下を入力します:
- リソースディレクトリID（例: rd-XXXXXX）
- ルートディレクトリIDまたはフォルダID（例: r-abcdef または fd-abcdefghij, fd-jihgfedcba）。すべてをスキャンするにはルートIDを使用し、範囲を絞るには特定のフォルダIDを列挙します。
- 除外アカウントID（任意）: Aikidoにスキップさせたいアカウント。
- インフラストラクチャと合わせてAlibaba Cloud Container Registryイメージもスキャンさせたい場合はACRスキャンを有効化します。

これらの値は、Alibabaコンソールのリソースディレクトリセクションで確認できます。

単一のAlibabaアカウント

Alibaba Cloud Consoleにアクセスし、接続したいアカウントでサインインします。

2. RAMロールとポリシーを作成する

Aikidoウィザードで**「Create RAM Role & Policy」**をクリックします。これにより、テンプレートが事前入力された状態でAlibaba Cloud ROSが開きます。このロールは、Aikidoに読み取り専用の監査権限を付与するもので、Aikidoがインフラストラクチャを編集することは決してできません。

AccessKeyペアやパスワードがAikidoと共有されることはありません。

ウィザードに表示された値をExternalIdパラメータに入力します（例: aikido-3377）。
（リソースディレクトリ設定の場合のみ）Aikidoで入力したものと同じ値をResourceDirectoryFolderIdsとEnableAcrScanningに入力します。
**「I confirm that Alibaba Cloud ROS may create RAM resources」**にチェックを入れます。
**「Create」**をクリックします。

正確なROSテンプレートを確認するには、こちらをクリックしてください。ウィザードでは、このような方法でロールをプロビジョニングしたい場合に備え、同等のTerraformテンプレートを生成することもできます。

3. AikidoRoleARNをコピーしてAikidoに貼り付ける

Alibaba Cloud ROSで、先ほど作成したスタックを開き、Outputsタブに移動します。AikidoRoleARNの値をコピーし、Aikidoウィザードの入力フィールドに貼り付けて、**「Continue」**をクリックします。

4. クラウド接続に名前を付ける

Aikidoで接続したクラウドに名前を付け、稼働している環境（Production、Staging、Development、またはMixed）を選択します。これにより、Aikidoは重要度とビジネスへの影響に基づいて検出結果の優先順位付けを行いやすくなります。**「Save」**をクリックして完了します。

アカウントを接続してから数分以内に、Aikidoは脅威となりうる誤設定を報告します。

コンテナイメージスキャン

Alibaba Cloud Container Registry (ACR) およびAlibaba Cloudから使用するほとんどのサードパーティレジストリはOCI互換であるため、Aikidoでスキャンできます。

Alibaba Cloud Container Registryで読み取り専用またはプル専用のユーザーを作成します: https://www.alibabacloud.com/help/en/acr/user-guide/configure-access-credentials

その後、以下のOCIガイドに従ってコンテナイメージスキャンを設定してください:

Generic OCI-Compatible Registry

仮想マシンスキャン

Alibaba Cloud上の仮想マシンをスキャンするには、Local VM Scannerを使用します。インスタンス上で直接、パッケージ、システム依存関係、および設定を検査します。

Local VM Scanning

ECSインスタンスでは、ユーザーデータを設定することで、必要なバイナリをダウンロードしてインストールし、Local VM Scannerを導入できます。また、普段お使いの自動化ツール（Ansible、Terraformでプロビジョニングされたスクリプト、cloud-initなど）を使って一括展開することもでき、新しいAlibaba Cloudインスタンスを自動的に登録できます。