クラウド インフラストラクチャエンタイトルメント管理 (CIEM) を有効にする

Microsoft Defender for Cloudは、クラウド インフラストラクチャ エンタイトルメント管理 (CIEM) セキュリティ モデルを提供します。 これは、組織がクラウド インフラストラクチャのユーザー アクセスと権利を管理および制御するのに役立ちます。 CIEM は、クラウド ネイティブ アプリケーション保護プラットフォーム (CNAPP) ソリューションの中核部分です。 リソースにアクセスできるユーザーまたはエンティティを示し、最小権限アクセスの適用に役立ちます。 CIEM を使用すると、ユーザーとワークロード ID は、タスクを実行するために必要なアクセス権のみを取得します。 CIEM は、Azure、アマゾン ウェブ サービス (AWS)、Google Cloud Platform (GCP) 全体のアクセス許可の監視と管理にも役立ちます。

この記事では、Defender for CloudでAzure、AWS、GCPのCIEMを有効にする方法を説明します。 始める前に、環境が整っているか確認するために 前提条件 を確認してください。

開始する前に

CIEMを有効にする前に、以下の前提条件を満たしていることを確認してください。 権限管理は、Defenderクラウドセキュリティポスチャー管理(Defender CSPM)におけるCIEM拡張機能で、ID権限の分析と管理を可能にします。

  1. Defender CSPM で Permissions Management (CIEM) 拡張機能を有効にするために、各クラウド環境に適切なロールとアクセス許可があることを確認します。

  2. AWS または GCP 環境を Defender for Cloud にオンボードします。

  3. Azure サブスクリプション、AWS アカウント、または GCP プロジェクトで、Defender CSPM を有効にします。

Azure の CIEM を有効にする

AzureアカウントでDefender CSPMプランを有効にすると、Azure CSPMの規制コンプライアンス標準がサブスクリプションに割り当てられます。 この基準にはCIEM勧告が含まれています。

CIEMがオフにされている場合、これらの推奨値は計算されません。

CIEM for Azure を有効にするには:

  1. Azure portal にサインインする

  2. 「Microsoft Defender for Cloud」を検索して選択します。

  3. [環境設定] に移動します。

  4. 関連するサブスクリプションを選択します。

  5. Defender CSPM プランを見つけて、[設定] を選びます。

  6. Permissions Management (CIEM) を有効にします。

    Permissions Management のトグルがある場所を示すスクリーンショット。

  7. 続行を選択します。

  8. 保存を選びます。

該当する CIEM の推奨事項は、数時間以内にサブスクリプションに表示されます。

Azure 推奨事項の一覧:

  • Azure のオーバープロビジョニングされた ID には、必要なアクセス許可のみを割り当てる必要があります

  • Azure サブスクリプション内の非アクティブな ID のアクセス許可を取り消す必要がある

AWS の CIEM を有効にする

Note

2026年8月6日より、パフォーマンスとスケーラビリティを向上させるために、Microsoft Defender for CloudはAWSの過剰プロビジョニングされたアイデンティティに必要な権限推奨のみを含まない未使用権限アクションの詳細を公開しなくなります。 推奨は引き続き過剰にプロビジョニングされたアイデンティティの特定を行いますが、未使用のAWS権限アクションの詳細リストはDefender for Cloudで計算・表示されません。 この変更により、評価ペイロードのサイズを削減し、特に多数のアイデンティティ、権限、またはマルチクラウドコネクタを持つ環境で推奨性能の向上に寄与します。 未使用のAWS権限を確認する必要がある場合は、AWS内で直接AWSのIAM Last-access情報を使ってください。 AWS IAMはユーザー、ロール、グループ、ポリシーの最終アクセス情報を提供し、未使用の権限を特定し、適切なサイズのアクセスを助けます。 AWSで未使用の権限を確認するには:

  1. AWS マネジメントコンソールにサインインします。
  2. IAMコンソールを開けてください。
  3. ナビゲーションペインで 「Users」「 Roles」「 User groups」「 ポリシー」を選択します。
  4. 該当するアイデンティティまたはポリシーを選択してください。
  5. 「最後にアクセスした」タブを開きます。
  6. AWSの追跡期間中にアクセスされなかったサービスや支援されたアクションをレビューしてください。 詳細については、IAM の最終アクセス情報を表示する および 最終アクセス情報を使用して AWS のアクセス許可を絞り込む を参照してください。

AWS アカウントでDefender CSPMプランを有効にすると、AWS CSPM規制コンプライアンス標準がサブスクリプションに自動的に割り当てられます。 AWS CSPM 標準では、CIEM の推奨事項が提供されます。 アクセス許可管理が無効になっている場合、AWS CSPM 標準の CIEM レコメンデーションは計算されません。 AWSアカウントでDefender CSPMプランを有効にすると、AWS CSPMの規制遵守基準がサブスクリプションに追加されます。 この基準にはCIEM勧告が含まれています。 権限管理(CIEM)がオフの場合、これらの推奨値は計算されません。

AWSでCIEMを有効にするには:

  1. Azure portal にサインインする

  2. 「Microsoft Defender for Cloud」を検索して選択します。

  3. [環境設定] に移動します。

  4. 関連する AWS アカウントを選択します。

  5. Defender CSPM プランを見つけて、[設定] を選びます。

    AWS アカウントと有効にされた Defender CSPM プラン、および設定ボタンの場所を示すスクリーンショット。

  6. Permissions Management (CIEM) を有効にします。

  7. AWS CloudTrail ログを取り込んで 、より正確な CIEM の推奨事項と分析情報を取得します。

  8. [アクセスの構成] を選択します。

  9. デプロイメント方法を選びます。

  10. 画面の指示に従って、AWS 環境で CloudFormation デプロイ スクリプトを実行します。

  11. [AWS 環境で CloudFormation テンプレートが更新されました (スタック)] チェックボックスをオンにします。

    チェックボックスが画面のどこにあるかを示すスクリーンショット。

  12. [確認と生成] を選択します。

  13. [更新] を選択します。

適用されるCIEM推奨事項は数時間以内にあなたのAWSアカウントに表示されます。

AWS 推奨事項の一覧:

  • AWS のオーバープロビジョニングされた ID には、必要なアクセス許可のみを割り当てる必要があります

  • AWS アカウント内の非アクティブな ID のアクセス許可を取り消す必要があります

GCP の CIEM を有効にする

Note

2026年8月6日より、パフォーマンスとスケーラビリティを向上させるために、Microsoft Defender for CloudはGCPの過剰プロビジョニングされたアイデンティティに必要な権限推奨のみを持つべきで、未使用の権限アクション詳細を公開しなくなります。 推奨は引き続き過剰にプロビジョニングされたアイデンティティの特定を行いますが、未使用のGCP権限アクションの詳細リストはDefender for Cloudで計算・表示されません。 この変更により、評価ペイロードのサイズを削減し、特に多数のアイデンティティ、権限、またはマルチクラウドコネクタを持つ環境で推奨性能の向上に寄与します。 未使用のGCP権限を確認する必要がある場合は、Google CloudのPolicy IntelligenceとIAMロール推奨をGoogle Cloud内で直接使用してください。 Google Cloudのポリシーインサイトは、不要な権限を持つプリンシパルを特定するのに役立ち、ロールの推奨は適切なアクセスサイズの確保に役立ちます。 GCPで未使用の権限を確認するには:

  1. Google Cloud コンソールにサインインします。
  2. IAMのページにアクセスしてください。
  3. 該当するプロジェクト、フォルダ、または組織を選択します。
  4. 過剰または未使用権限に関するポリシーの洞察については、 セキュリティインサイト 欄をご覧ください。
  5. IAMの役割推奨事項を確認し、役割を削除すべきか、より適切な役割に置き換えるべきかを判断してください。 詳細については、「 プロジェクト、フォルダ、組織のポリシーインサイト管理 」および 「IAM ロール推奨の概要」をご覧ください。

GCP プロジェクトでDefender CSPMプランを有効にすると、GCP CSPM規制コンプライアンス標準がサブスクリプションに自動的に割り当てられます。 GCP CSPM 標準では、CIEM の推奨事項が提供されます。 GCPプロジェクトでDefender CSPMプランを有効にすると、GCP CSPM規制遵守基準がサブスクリプションに追加されます。 この基準にはCIEM勧告が含まれています。

権限管理(CIEM)を無効にすると、Defender for Cloudはこれらの推奨を計算しません。

GCPでCIEMを有効にするには:

  1. Azure portal にサインインする

  2. 「Microsoft Defender for Cloud」を検索して選択します。

  3. [環境設定] に移動します。

  4. 関連する GCP プロジェクトを選択します。

  5. Defender CSPM プランを見つけて、[設定] を選びます。

    GCP プロジェクトの Defender CSPM プランの設定を選ぶ場所を示すスクリーンショット。

  6. Permissions Management (CIEM) を [オン] に切り替えます。

  7. GCP クラウド ログを取り込み 、GCP ID がアクセス許可のリスクについて評価されるようにします。

  8. 保存を選びます。

  9. [次: アクセスの構成] を選択します。

  10. 関連するアクセス許可の種類を選びます。

  11. デプロイメント方法を選びます。

  12. 画面の指示に従って、GCP 環境で Cloud Shell または Terraform デプロイ スクリプトを実行します。

  13. [変更を有効にするために展開テンプレートを実行しました] チェックボックスをオンにします。

    オンにする必要があるチェックボックスを示すスクリーンショット。

  14. [確認と生成] を選択します。

  15. [更新] を選択します。

適用されるCIEM勧告は数時間以内にGCPプロジェクトに掲載されます。

GCP 推奨事項の一覧:

  • GCP の過剰プロビジョニングされた ID には必要なアクセス許可のみを持たせる必要がある

  • GCP プロジェクト内の非アクティブな ID のアクセス許可を取り消す必要がある

制限事項

次の CIEM の制限事項に注意してください。

  • AWS のサーバーレス ID とコンピューティング ID は CIEM 非アクティブロジックに含まれなくなり、推奨事項の数が変更される可能性があります。
  • Permissions Creep Index (PCI) メトリックは非推奨となり、Defender for Cloud推奨事項には表示されなくなります。

次のステップ

Defender CSPM プランの設定を確認する

  • Last updated on