Google Cloud組織を接続する

同じGoogle Cloud組織に属する複数のGCPプロジェクトがある場合、そのうちの1つを接続して組織レベルで権限を付与することで、今後作成するプロジェクトも含め、残りのプロジェクトをAikidoに自動的に接続させることができます。

Google Cloud組織を接続する理由

組織レベルでオンボーディングすることで、以下のメリットが得られます。

セットアップの高速化: 手動で接続する必要があるのはプロジェクト1つだけです。
プロジェクトの自動検出: 今後作成するプロジェクトも含め、プロジェクトが自動的にAikidoに追加されます。
コンテナスキャンの自動設定: Aikidoはすべてのプロジェクトの Artifact Registry からコンテナを自動的にスキャンします。

前提条件

Pro、Advanced、またはEnterpriseプランをご利用であること。
組織レベルで権限を付与できる権限を含め、Google Cloud組織へのアクセス権があること。
GCPプロジェクトのうちの1つを「管理」プロジェクトとして指定すること。このプロジェクトにサービスアカウント／Workload Identity Federation プールを作成し、Aikidoにオンボーディングします。

はじめに

Google Cloud組織を接続するには、GCPオンボーディングウィザードで「Full GCP Organization’」オプションを選択してください。

「管理」プロジェクトのIDと番号を入力したら、次に以下の情報を入力する必要があります。

Organization ID: 「783352941112」のような形式です。
Included Folder IDs（任意）: このオプションを使うと、組織の一部（例: 特定のフォルダとその配下すべて）のみをオンボーディング対象にできます。
Excluded Folder IDs（任意）: このオプションを使うと、自動オンボーディングの対象からフォルダ全体を除外できます。これはIncluded Foldersオプションと組み合わせて使用することもできます。
Excluded Project IDs: 任意で、特定のGCPプロジェクトをAikidoへの追加対象から除外できます。
Artifact Registry Scanningを有効にすることで、プロジェクト全体のコンテナスキャンを自動設定することも選択できます。

この情報はGoogle Cloud Resource Managerページ（プロジェクトセレクターから組織を選択）から取得できます。

Terraformモジュール

Infrastructure as Codeを好む場合、Aikidoが提供するTerraformモジュールを使用して、組織レベルのオンボーディングに必要なGoogle Cloud IAMおよびWorkload Identity Federationの設定を行うことができます。このモジュールは、単一プロジェクトと組織全体の両方のセットアップ、任意のArtifact Registryスキャン、任意のVMスキャン権限に対応しています。

https://github.com/AikidoSec/gcp-onboarding-terraform-module

組織レベルのオンボーディングには modules/org モジュールを使用し、生成された credential_config_json をクラウド接続フローの中でAikidoにアップロードしてください。

Aikidoアカウントがユーロ圏インスタンス（app.aikido.dev）を使用していない場合は、aikido_region を us、me、または au のいずれかに設定してください。

クラウドの用途判定

GCPプロジェクトの用途／環境は、プロジェクト名に基づいて自動的に判定されます。Aikidoは「production」「staging」「uat」などの語句を探し、それに応じてクラウドの用途を設定します。一致するものが見つからない場合、用途は「mixed」になります。各クラウド接続の用途は「Configure」ボタンから手動で更新できます。

よくある質問

安全ですか？

はい。GCP組織の接続は、個々のGCPプロジェクトを接続する際と同じ仕組みに基づいています。Workload Identity Federationにも対応しており、その利用を推奨しています。

組織にGCPプロジェクトを追加した場合、Aikidoに表示されますか？

はい。Aikidoは「管理」プロジェクトをスキャンするたびにGCP組織もスキャンし、新しいGCPプロジェクトを自動的に接続します。特にGCP組織に数千件のプロジェクトがある場合は、Aikidoに表示されるまでに多少の遅延が発生することがあります（Google Cloud APIの制限を尊重しているためです）。

組織に新しいGCPプロジェクトを追加しましたが、Aikidoに表示されません。

AikidoがGCPの「管理」プロジェクトをスキャンした（手動でスキャンすることも可能です）後、15分経っても新しいプロジェクトが表示されない場合、ご利用プランのクラウド接続数上限に達している可能性があります。上限の引き上げについては弊社までお問い合わせください。

GCPプロジェクトを停止したり、別の組織に移動したりした場合はどうなりますか？

Aikidoはそのプロジェクトが非アクティブになった、または組織に属さなくなったことを検知し、該当するクラウドを「到達不能」としてマークします。これはcloudsページで確認できます。