日本語

Azure仮想マシンスキャンのセットアップ

この機能は〜で利用できます Pro と Advanced プランのみです。 お問い合わせ 詳細について。

なぜ仮想マシンをスキャンする必要があるのですか？

仮想マシンのスキャンでは、Aikido が仮想マシンのディスクをスキャンし、脆弱なパッケージや古いランタイムを検出します。

前提条件

クライアント シークレットを持つ Entra ID のアプリ登録が必要です。すでにクラウド スキャン用に Azure クラウドを Aikido に接続している場合は、同じアプリ登録を再利用できるため、新しく作成する必要はありません。そうでない場合は、まず次から設定してください Azure クラウドを接続する.

カスタム ロールを作成する

Aikido は、仮想マシンのスキャンに必要な最小権限に限定したカスタム Azure ロールを使用します。

  1. アクセス制御 (IAM) に移動

    次へ移動します: サブスクリプション （または 管理グループ）で、仮想マシンに対応するスコープを見つけて、クリックします アクセス制御 (IAM).

  2. カスタム ロールを追加

    クリックします 追加、その後 カスタム ロールの追加.

  3. スコープを選択する

    ロールを割り当て可能にする場所を決定します サブスクリプション レベル または 管理グループ レベル:

    • 単一のサブスクリプション: 1つのサブスクリプション内の VM のみを対象にします。
    • 管理グループ: 配下のすべてのサブスクリプションを対象にします。VM が複数のサブスクリプションに分かれている場合に便利です。

    管理グループ スコープの場合、別の ID を調べる必要はありません。お使いの ディレクトリ（テナント）ID、アプリ登録の概要ページと同じものを使用してください。これは組織のルート管理グループに対応します。

  4. ロールの JSON を貼り付ける

    へ移動 JSON タブを開いてクリックします 編集。以下にロール定義を貼り付けます。

    次の項目を設定します： assignableScopes は、選択したスコープに基づいて次のようになります:

    単一のサブスクリプションの場合:

    "assignableScopes": [
  "/subscriptions/<your-subscription-id>"
]

    管理グループの場合:

    "assignableScopes": [
  "/providers/Microsoft.Management/managementGroups/<your-directory-tenant-id>"
]

    完全なロール定義:

    {
  "properties": {
    "roleName": "Aikido VM Scanner",
    "description": "",
    "assignableScopes": [
      "<insert scope from above>"
    ],
    "permissions": [
      {
        "actions": [
          "Microsoft.Compute/virtualMachines/read",
          "Microsoft.Compute/disks/beginGetAccess/action",
          "Microsoft.Compute/disks/endGetAccess/action",
          "Microsoft.Compute/disks/read",
          "Microsoft.Compute/snapshots/read",
          "Microsoft.Compute/snapshots/write",
          "Microsoft.Compute/snapshots/delete",
          "Microsoft.Compute/snapshots/beginGetAccess/action",
          "Microsoft.Compute/snapshots/endGetAccess/action",
          "Microsoft.Authorization/roleAssignments/read"
        ],
        "notActions": [],
        "dataActions": [],
        "notDataActions": []
      }
    ]
  }
}

    クリックします Save.

  5. 確認して作成

    下部で次をクリックします 確認 + 割り当て、その後 作成.

ロールをアプリ登録に割り当てる

  1. アクセス制御 (IAM) に戻る

    同じスコープ (サブスクリプションまたは管理グループ) に移動して、 アクセス制御 (IAM).

  2. ロールの割り当てを追加

    へ移動 ロールの割り当て タブで、 追加、その後 ロールの割り当てを追加.

  3. カスタム ロールを選択する

    次の 役割 タブで、検索して選択します Aikido VM Scanner ロールを選択して、 次に.

  4. アプリ登録に割り当てる

    そのままにしておく アクセスの割り当て先 を既定値のままにします。クリックします メンバーを選択、アプリ登録名（例: "AikidoSecurity"）を検索して選択します。クリックします 選択します、その後 確認 + 割り当て を 2 回クリックします。

これで、アプリ登録には Azure 仮想マシンをスキャンするために必要な権限が付与されました。

VM のグループ化

スキャン効率を最適化するため、Aikido は一部の Azure VM をグループ化し、各グループから 1 つのインスタンスのみをスキャンします。グループ化は次のように行われます:

  • 仮想マシン スケール セット (VMSS): 同じ VMSS に属するすべての VM は、Aikido では 1 つの VM グループとして表示されます。VM グループ名は VMSS の識別子と一致します。
  • グループ化なし: VMSS の一部ではない VM はスタンドアロン VM として扱われ、個別にスキャンされます。