Cloudflare CASB は、コンピューティングアカウントが異常または古い状態になると検出します。よくある原因は、セキュリティや機能の更新と、API トークンの設定ミスです。
異常なコンピューティングアカウントを特定するには、次の手順を実行します。
- Cloudflare One ↗ で Integrations > Cloud & SaaS integrations を開きます。
- クラウドスキャン用に作成した連携を選びます。
- Manage compute accounts を選択します。
CASB は、各コンピューティングアカウントの名前の横に状態を表示します。壊れている、または古い場合は、状態が Unhealthy になります。状態が Healthy なら、対応は不要です。
CASB がコンピューティングアカウントを Unhealthy にすると、新しいスキャン設定の変更は使われず、新しいスキャン結果もダッシュボードに表示されません。
Unhealthy のコンピューティングアカウントを修復するには、まず コンピューティングアカウントをアップグレード します。それでも異常な場合は、API トークンをローテーション します。
アップグレードすると、最新のソフトウェア機能、バグ修正、インフラ変更がクラウドのコンピューティングアカウントに適用されます。ソフトウェアを最新に保つため、定期的に実行してください。Cloudflare から問題対応として推奨された場合も実行します。CASB は Terraform の更新でコンピューティングアカウントのアップグレードをデプロイします。
コンピューティングアカウントをアップグレードするには、次の手順を実行します。
- Cloudflare One ↗ で Integrations > Cloud & SaaS integrations を開きます。
- クラウドスキャン用に作成した連携を選びます。
- Open connection instructions を選択します。
- 表示される手順に従い、ローカルの Terraform と CLI の設定を検証します。
- Step 2: Deploy Terraform Configuration で、テンプレートをローカル設定にコピーします。このテンプレートは、連携の Terraform 設定の最新版です。
- ローカルターミナルで、キャッシュ済みの CDS Terraform モジュールを更新します。
terraform init --upgrade - アップグレードした Terraform 設定をコンピューティングアカウントに適用します。
terraform apply
セキュリティ上または運用上の問題が起きた場合、API トークンが漏洩した場合、またはコンピューティングアカウントから API トークンが削除された場合は、コンピューティングアカウントで使う Cloudflare API トークンをローテーションする必要があります。
トークンを紛失した、または漏洩したときは、新しいトークンを作成するか、トークンをロールして新しいシークレットを発行できます。API トークンをロールすると、以前のトークンは無効になります。アクセス範囲と権限は、以前の API トークンと同じです。新しいトークンは スキャン可能な形式 を使うため、資格情報スキャンツールが漏洩トークンを検出できます。
API トークンをロールする手順は次のとおりです。
-
My Profile > API Tokens を開きます。
API Tokens を開く ↗ -
ロールしたい API トークンの横で、三点リーダー > Roll を選びます。
-
Confirm を選ぶと、新しい API トークンが発行されます。
- API トークンをコピーします。
Cloudflare で API トークンをローテーションしたら、Amazon Web Services (AWS) ↗ または Google Cloud Platform (GCP) ↗ のシークレットマネージャーで、API トークンの値を更新できます。
コンピューティングアカウントでシークレットを再作成するには、次の手順を実行します。
- 正しいリージョンを選んでいることを確認します。
- コンピューティングアカウントをアップグレード して、シークレットを再作成します。
- コンピューティングアカウントで シークレットの値を更新 します。
Cloudflare API トークンをローテーション し、コンピューティングアカウントに追加します。コンピューティングアカウントの状態 が Healthy になれば、問題は解消しています。