クラウド環境の設定ミスやセキュリティリスクを可視化するために、Palo Alto NetworksのCortex CloudへOracle Cloud Infrastructure（OCI）をオンボードしてみました。
Cortex Cloudでは各クラウド環境を接続することで、クラウド資産の発見やセキュリティ評価を実施できます。OCIのオンボードでは、ウィザードで設定を行った後にTerraformテンプレートをOCIへデプロイする流れになっています。
今回は実際のオンボード手順を確認していきます。
OCIオンボードの流れ
大まかな流れは以下のとおりです。
- Cortex CloudでOCIオンボードウィザードを開始
- 必要に応じて詳細設定を実施
- Terraform認証テンプレートをダウンロード
- OCI環境でTerraformを実行
- Cortex Cloudでオンボードされていることを確認
Cortex CloudでOCI接続設定を作成
まずはCortex Cloudへログインします。
画面左下の Settings から Data Sources & Integrations を開き、Add New を選択します。その後、データソース一覧から Oracle Cloud Infrastructure を追加します。
利用しているCortex Cloudテナントで初めてOCIをオンボードする場合は、以下のような画面が表示されることがあるようです。その場合は、少し待ってから編集画面を開きなおすと設定を入力できるようになります。
インスタンス名を設定
OCIごとにインスタンス名を設定できます。
未入力の場合はOCIのTenancy OCIDを利用した名前が自動的に割り当てられます。複数のOCI環境を管理する場合は、後から見分けやすい名前を付けておくと便利そうです。
必要に応じて詳細設定を行う
ウィザードでは詳細設定も用意されています。
Compartmentの対象範囲を制御
OCIのCompartmentを指定して収集対象を調整できます。
特定のCompartmentのみを対象にしたり、逆に特定のCompartmentを除外したりできます。設定は配下のサブCompartmentにも適用されます。なお、ルートCompartmentは常に対象となります。
追加のセキュリティ機能
必要に応じて追加機能を有効化できます。
主な機能は以下のとおりです。
- Data Security Posture Management
- Registry Scanning
- Agentless Disk Scanning
機能によっては追加のOCI権限が必要になります。
タグ設定
Cortex Cloudが作成するOCIリソースへタグを付与できます。
なお、managed_by=paloaltonetworks は必須タグとして自動的に付与され、変更や削除はできません。
ログ収集設定
監査ログの収集を有効化する設定もあります。
既存のOCI Object Storageバケットを利用する場合は、リージョン情報、バケット名、Compartment OCIDなどを指定します。ログ収集を有効化することで、より広い範囲のセキュリティ情報を取得できます。
Terraformテンプレートを取得
設定内容を確認したら Save をクリックして保存します。
保存後、Cortex Cloudは入力した内容をもとにTerraform認証テンプレートを生成します。この時点では接続状態はPendingとなります。続いて表示される Download Terraform からテンプレートをダウンロードします。
生成されたTerraformテンプレートは再利用可能で、作成から7日間有効です。
OCI側でTerraformを実行
次はOCI環境でTerraformを実行します。
事前に以下を準備しておきます。
- OCIアカウント
- Tenancy OCID
- OCIでリソースを作成できる権限
これらの準備ができたらOCIのCloud Shellへ接続します。
その後、Terraformファイルを格納するディレクトリを作成し、ダウンロードしたテンプレートをCloudShellにアップロードして展開します。
# cd<Terraformファイルを格納するディレクトリ名>
# tar -xzvf <ダウンロードしたテンプレート名>.tar.gz
展開後は、以下のコマンドを実行してTerraformの初期化を実施します。
初期化が正常に完了すると、「Terraform has been successfully initialized!」と表示されます。
初期化が完了したら変数ファイルを指定して適用します。
適用時にはTenancy OCIDの入力が求められます。
Tenancy OCIDを入力すると、実行内容および「Enter a value」と表示されるので、問題なければyesを入力して処理を続行します。
正常に完了すると、「Apply Complete！」と表示され、Terraformによる認証設定の構築が完了します。
オンボード完了
Terraformテンプレートのデプロイが完了すると、Cortex Cloudに自動的にオンボードされます。
Data Sources & Integrationsの画面を確認すると、今回接続したOCI環境のステータスがConnectedになっており、オンボードされていることが確認できました。
まとめ
今回、Cortex CloudへOCIをオンボードする流れを確認しました。
作業としては、Cortex Cloudのウィザードで設定を作成し、生成されたTerraformテンプレートをOCIへ適用するのが基本的な手順です。OCIを利用していてCortex Cloudとの連携を検討している方は、参考にしていただければ幸いです。
弊社では、豊富な実績をもとにお客様の状況やご要件を丁寧にヒアリングしたうえで、お客様にとって最適なCortex Cloudの導入から設計支援、運用までをトータルでサポートしております。
Cortex Cloudについてお困りごとがございましたら、ぜひ弊社へお気軽にご相談ください。
【お問い合わせご相談窓口】
Email：cloud-security-tech@scsk.jp