GCP プロジェクトを Microsoft Defender for Cloud に接続する

Microsoft Defender for Cloud は、Google Cloud Platform (GCP) で実行されているワークロードのセキュリティ体制管理と脅威保護を提供します。

この記事では、GCP プロジェクトまたは組織を Microsoft Defender for Cloud に接続して、Microsoft Defender for Cloud がリソースを検出し、セキュリティ体制を評価し、セキュリティに関する推奨事項とアラートを表示できるようにする方法について説明します。

認証アーキテクチャ

Microsoft Defender for Cloud では、フェデレーション認証を使用して、有効期間の長い資格情報を格納せずに GCP API に安全にアクセスします。

オンボード中、Defender for Cloud は、ワークロード ID フェデレーションとサービス アカウントの偽装を使用して、Google Cloud との信頼を確立します。 アクセスのスコープは、接続されているプロジェクトまたは組織に限定され、有効な Defender プランで必要なアクセス許可に制限されます。

GCP コネクタの認証アーキテクチャの詳細を確認します。

Prerequisites

GCP プロジェクトを接続する前に、次の内容を確認してください。

コストに関する考慮事項

GCP プロジェクトを Microsoft Defender for Cloud に接続し、Defender プランを有効にすると、追加料金が発生する可能性があります。

Defender for Cloud の価格の詳細については、 価格に関するページを参照してください。

Defender for Cloud コスト計算ツールを使用してコストを見積もることもできます。

GCP プロジェクトとサブスクリプションのマッピング

GCP プロジェクトを Azure サブスクリプションに接続する場合は、次の点を考慮してください。

  • GCP プロジェクトは、プロジェクト レベルで Microsoft Defender for Cloud に接続されます。
  • 複数の GCP プロジェクトを 1 つの Azure サブスクリプションに接続できます。
  • 複数の Azure サブスクリプション間で複数の GCP プロジェクトを接続できます。

Note

Azureポータルで最高の体験とパフォーマンスを得るために、各ポータルビューを10,000リソース以下に制限することを推奨します。 大規模なGCP環境では、GCPコネクタを複数のAzureサブスクリプションに分散させましょう。 Azureポータルのグローバルフィルターを使って、表示したいサブスクリプションを選択してください。 この推奨はDefenderポータルには適用されません。

Google Cloud リソース階層の詳細を確認します。

GCP プロジェクトに接続する

  1. Azure portal にサインインする

  2. 「Microsoft Defender for Cloud」を検索して選択します。

  3. [Defender for Cloud]>[環境設定] に移動します。

  4. [>] を選択します。

    GCP コネクタ オプションが配置されている場所を示すスクリーンショット。

  5. セキュリティ コネクタを作成する サブスクリプション を選択します。

  6. セキュリティ コネクタが作成される リソース グループ を選択します。

  7. セキュリティ コネクタを作成する 場所 を選択します。

  8. 4 時間、6 時間、12 時間、または 24 時間ごとに GCP 環境をスキャンする間隔を選択します。 一部のデータ コレクターは固定スキャン間隔で実行され、カスタム間隔構成の影響を受けません。

    Note

    次のデータ コレクターは、固定スキャン間隔を使用します。

    データ コレクター名 スキャン間隔
    ComputeInstance
    アーティファクトレジストリリポジトリポリシー
    ArtifactRegistryImage
    ContainerCluster（コンテナクラスタ）
    ComputeInstanceGroup
    コンピュートゾーンインスタンスグループインスタンス
    ComputeRegionalInstanceGroupManager
    コンピュートゾーナルインスタンスグループマネージャー
    ComputeGlobalInstanceTemplate    		 1 時間

  9. 組織のみ: GCP 組織 ID を入力します。

  10. 組織のみ: 必要に応じて、除外するプロジェクト番号を入力します。

  11. 組織のみ: 必要に応じて、除外するフォルダー ID を入力します。

  12. 1 つのプロジェクトのみ: GCP プロジェクト番号を入力します。

  13. 1 つのプロジェクトのみ: GCP プロジェクト ID を入力します。

  14. [次へ: プランの選択] を選択します。

    Note

    Log Analytics エージェント (MMA とも呼ばれます) は 2024 年 8 月に廃止されました。このページで説明されているものを含め、現在それに依存しているすべての Defender for Servers の機能とセキュリティ機能は、提供終了日より前に Microsoft Defender for Endpoint 統合 または エージェントレス スキャンを通じて利用できるようになります。 現在 Log Analytics エージェントに依存している各機能のロードマップの詳細については、この記事を参照してください。

  15. 有効にするDefenderプランを選択します。

    Note

    各プランには料金が発生する場合があります。 Defender for Cloud の価格について詳しくは、こちらをご覧ください。

    すべてのプランでオンになっている切り替えを示すスクリーンショット。

  16. [次: アクセスの構成] を選択します。

  17. アクセス許可の種類を選択します。

    • 既定のアクセス: 現在および将来の機能に必要なアクセス許可を付与します。
    • 最小特権アクセス: 現在必要なアクセス許可のみを付与します。 後で追加のアクセスが必要な場合は、通知を受け取ることがあります。

  18. 画面の指示に従って、Defender for Cloudと GCP 環境の間のアクセスを構成します。

    デプロイ オプションとアクセスを構成する手順を示すスクリーンショット。

    生成された gcloud スクリプトは、選択したスコープとDefenderプランに基づきます。 オンボードする GCP 環境でスクリプトを実行します。

    このスクリプトでは、次のような必要なリソースが GCP 環境に作成されます。

    • ワークロード アイデンティティ プール
    • ワークロード アイデンティティ プロバイダー (プランごと)
    • サービス アカウント
    • プロジェクト レベルのポリシー バインド (サービス アカウントからは特定のプロジェクトにのみアクセスできます)

    Note

    オンボード スクリプトを実行するプロジェクトで、次の API を有効にする必要があります。

    • iam.googleapis.com
    • sts.googleapis.com
    • cloudresourcemanager.googleapis.com
    • iamcredentials.googleapis.com
    • compute.googleapis.com

    組織レベルでオンボードする場合は、管理プロジェクトでこれらの API を有効にします。

    これらの API が有効になっていない場合は、GCP Cloud Shell スクリプトを実行してオンボード中に有効にすることができます。

  19. 次: 確認と生成 を選択します。

  20. コネクタの詳細を確認します。

    すべての選択項目が一覧表示された [確認と生成] 画面のスクリーンショット。

  21. を選択してを作成します。

Defender for Cloudは、GCP リソースのスキャンを開始します。 セキュリティに関する推奨事項は数時間以内に表示されます。 自動プロビジョニングを有効にした場合、新しく検出されたリソースごとに Azure Arc および有効な拡張機能が自動的にインストールされます。

GCP コネクタの構成を更新する

Defender for Cloudに必要なアクセス許可またはリソースが変更されたときに、GCP コネクタの構成を更新します。

次の場合に構成を更新します。

  • Defender CSPM、データベースのDefender、コンテナーのDefenderなど、新しいDefenderプランを有効にしました。
  • 自動プロビジョニングの有効化や選択したスコープの変更など、プランの構成を変更しました。
  • Microsoft、新機能をサポートするバージョン、バグの修正、アクセス許可の更新など、更新されたオンボード スクリプトをリリースしました。
  • アクセス許可の不足または GCP リソースの不足に関連するコネクタの正常性の問題が発生します。

構成を更新するには、Defender for Cloudで GCP コネクタに戻り、選択したスコープとプランの最新の gcloud スクリプトを生成し、オンボードする GCP 環境でスクリプトを再実行します。

コネクタの正常性を検証する

GCP コネクタが正しく動作していることを確認するには:

  1. Azure portal にサインインする

  2. [Defender for Cloud]>[環境設定] に移動します。

  3. GCP プロジェクトを見つけて、[ 接続状態 ] 列を確認して、接続が正常かどうか、または問題があるかどうかを確認します。

  4. 詳細を表示するには、[ 接続状態 ] 列に表示される値を選択します。

[環境の詳細] ページには、GCP プロジェクトへの接続に影響を与える構成またはアクセス許可に関する問題が検出されました。

問題が存在する場合は、問題を選択して、問題の説明と推奨される修復手順を表示できます。 場合によっては、問題の解決に役立つ修復スクリプトが提供されます。

マルチクラウド コネクタのトラブルシューティングについて詳しくは、こちらをご覧ください。

現在のカバレッジを確認する

Defender for Cloud では、Azure ワークブック を通じて ワークブックにアクセス できます。 ワークブックは、セキュリティ体制に関する分析情報を提供するカスタマイズ可能なレポートです。

カバレッジ ブックは、サブスクリプションとリソースで有効になっているプランを示すことで、現在の対象範囲を理解するのに役立ちます。

GCP クラウド ログ インジェストを有効にする (プレビュー)

GCP Cloud Logging インジェスションは、クラウド インフラストラクチャ エンタイトルメント管理 (CIEM) 評価、リスクベースの推奨事項、および攻撃パス分析に対してアクティビティコンテキストを付与することで、ID 許可情報を強化します。

Pub/Sub (プレビュー) を使用した GCP クラウド ログの取り込みの詳細について説明します。

次のステップ

  • Last updated on