監査機能を発表いたしました。セキュリティサービスです。意図しないリソースへのアクセスを過渡に許可するようなポリシーなどのセキュリティ上の誤設定は、セキュリティインシデントの主な原因となり、ソリューションのセキュリティ体制を損なう可能性があります。ポリシーの誤設定の可能性の監査機能を使用すると、より簡単に不備を特定し、問題をトラブルシューティングし、必要な是正措置を講じることができます。ソリューションのセキュリティ体制を向上させることができます。ポリシーと同じ規則に従っています。データプレーンへのアクセスを制御できます。メッセージの送受信を可能にするオペレーションで構成されています。介してデバイスの状態を取得または更新するのにも役立ちます。ポリシーを誤って設定してしまう場合があります。ポリシーを設定すると、デバイスが明示的にサブスクリプションを拒否されるべきであるにもかかわらず、トピックに関するデータを受信するために過渡にサブスクライブすることが可能になってしまいます。ポリシーの潜在的な誤設定を特定して修正する方法について説明します。ポリシーとでは、ワイルドカード文字が異なるため、慎重に検討した上で選択する必要があります。トピックフィルターで使用されます。トピックレベルには「#」を使用します。ポリシーの規則に従います。おけるワイルドカード文字である「+」と「#」は、特別な意味を持たない文字として扱われます。おけるワイルドカード文字である「+」や「#」の代わりにワイルドカード文字「*」と「?」を使用します。トピックフィルターの「+」文字のように、「*」文字は単一のトピックレベルに限定されないことに注意してください。トピックフィルターレベルに制限するために、複数の「?」文字の使用を検討してください。ポリシーで使用されるワイルドカード文字の例については、ドキュメントを参照してください。誤設定には2種類あります。トピック空間「building/*」全体のメッセージを受信し、「buiding/control_room/*」に関連する特定のサブトピックのメッセージは受信しないようにしたい場合この例では、トピックフィルターではアクセスを拒否することを意図していますが、ワイルドカードの使用により、結果的にアクセスが許可されてしまいます。許可ステートメントにワイルドカードを使用したトピックフィルターと、許可リソースのサブセットを含む拒否ステートメントとを含むポリシーでは、ワイルドカード文字をサブスクライブすることで拒否されるべきトピックのメッセージにアクセスできる可能性があります。/topics/building/*}実際に、デバイスが「building/#」をサブスクライブすると、「building/control_room/3」からメッセージを取得できてしまいます。これは、トピック「building/#」が「building/*」の許可ステートメントに合致し、デバイスのサブスクライブが認可されるためです。アプリケーションコードの下部では「building/#」はすべてのデータに合致し、デバイスが既にサブスクライブしていれば、合致するすべてのトピックのデータを受信することに注意してください。ワイルドカード文字「+」と「#」はリテラル文字列として扱われます。これらを使用すると、意図しない動作が発生する可能性があります。修正後のポリシーは下記の通りです。/topic/building/control_room/*}このポリシーにより、デバイスはトピック「/」配下の任意のトピック(例えば、「building/common_area」)にパブリッシュされたメッセージは受信できますが、「building/control_room/」の配下のトピック(例えば、「building/control_room/3」)にパブリッシュされたメッセージは受信できません。保守員が特定のスペース(例えば、「/building/control_room/3」)にアクセスすることを許可するために、作成者が意図的に設定するようなユースケースがあるかもしれません。監査チェックでは、これを潜在的な誤設定と名付け、意図的なものか、または意図しない誤設定なのかの判断はユーザーに委ねています。拒否ステートメントのワイルドカードを特定の文字列で置き換えると、デバイスによって回避される可能性があります。/topicfilter/building/camera/*}望ましい動作は、「building/camera/control_room」へのデバイスのアクセスは拒否するが、「building/camera/resident1」へのアクセスは許可することです。デバイスはトピック「/building/+/control_room」にリクエストを送信し、トピック「/building/camera/control_room」からのメッセージを受信できてしまいます。ポリシーは、デバイスが下記のトピックからのメッセージを受信できるようになります。/building/camera/resident1/building/camera/resident2/building/camera/resident3しかし、下記のトピックからのメッセージは受信できません。コンソールで設定、実行、および修正アクションを行う方法を紹介します。ポリシーの誤設定の可能性が見つかった場合には、以下の理由コードが返されます。ワイルドカード文字(「+」または「#」)があるかどうかが検査されます。ワイルドカードは、ポリシードキュメントでリテラル文字列として扱われるため、意図したよりも広い権限が許可される可能性があります。修正方法この監査チェックでは、誤検出が発生する可能性があるため、誤設定を含む可能性のあるポリシーにフラグを立てます。使用して、誤検出をマークします。以下の手順に従って、モノ、モノのグループ、またはその他のエンティティにアタッチされているコンプライアンス違反のポリシーを修正することもできます。設定します(これにより、この新しいバージョンは、ポリシーを使用するすべてのエンティティで有効になります)。接続できることを確認します。使用してデフォルトポリシーを以前のバージョンにロールバックし、再度ポリシーを修正して、再試行します。ポリシーの潜在的な誤設定を見つけることについて学びました。ポリシーでのワイルドカードの使用をチェックし、誤設定の可能性がある場合に警告します。次に、セキュリティの推奨事項に従い、必要に応じて是正措置を講じることができます。ソリューションのセキュリティ体制の向上に役立ちます。監査セクションで新しい監査チェックを有効にすることができます。デバイスフリートのセキュリティ体制を向上させることができます。ドキュメントを参照してください。プリンシパルソリューションアーキテクトです。広範かつ奥深い機能を活用し、より安全でスケーラブルな革新的ソリューションの設計、開発、運用を支援し、測定可能なビジネス成果を実現します。セキュリティなど、多様な業界において25年以上の経験を積んでいます。勤務し、顧客のデジタル変革の取り組みに貢献しました。シニアプロダクトマネージャ-テックです。お客様が、エッジからクラウドまでデバイスを監視し、セキュリティを確保できるような製品とサービスの開発に注力しています。製品を開発し、立ち上げました。