プロダクト · アクセスマップ

設定したソースからアクセスを確認

権限と、設定したソースからの観測を比較します。マップは解決済みの起点とリソースを表示し、ソースが対応する場合は読み取り・書き込みモードとアイデンティティの帰属も示します。解決できない起点やリソースは表示されません。データ経路に必須のプロキシはありません。

図解：設定したソースからの許可済みアクセスと観測済みアクセス。解決できない起点やリソースは表示されません。

モデル

読み取り・書き込みモード

各ソースは分類できるアクセスモードを提供します。マップは関係と限定的なメタデータを記録し、SQL本文、パラメータ、ペイロード、シークレットは記録しません。

ソースが読み取りと分類したアクセス。中立色で表示します。

ソースが書き込みまたは読み取り・書き込みと分類したアクセス。確認対象として強調します。

ソースがアクセスを読み取りまたは書き込みに分類できなければ、モードは不明のままです。これはエージェントへの帰属の確実さとは別です。

最小権限からの逸脱

エージェントに関連付けられたアイデンティティが利用できる場合はそれを使い、受け取った権限と観測を比較します。収集範囲内で、予期しないアクセス、保留中の比較、未使用の権限を確認してください。

予期しないアクセス
受け取ったデータ内に適用する権限がない観測です。違反と判断する前に収集範囲を確認してください。
照合保留中
アイデンティティの関連付けやアクセスモードが未確定のため、まだ判断できません。確認済みの違反ではなく、保留中として表示します。
未使用の権限
ソースが収集を開始してから観測されていない権限です。権限を縮小する前に、有効なソース、保存済みの観測、結果の切り詰めの有無を確認してください。LDAPディレクトリ、Okta/Entraアプリ、Infisicalプロジェクトの権限はインベントリのままです。

仕組み

この図は、関連する起点間で権限と観測を比較する例です。一致するアクセス、相違点、宣言された関係を示します。

カバレッジ

リソースのカバレッジと起点の帰属の確度は別です。各関係には両方のレベルが付きます。欠落したシグナルを証拠として扱いません。

リソース種別ごとに対応する監査シグナルのレベルです。

クリーン: pgAuditやCloudTrailなど、対応するネイティブ監査ソース。グラフは設定して収集したシグナルに依存します。
不完全: ドキュメントストアやベクトルストア：シグナルは部分的で、部分的なものとして表示します。切り上げて誇張することはありません。
不透明: 現在のマップではRedis、SQLite、D1、memcachedを不透明として扱います。インベントリの記録から個々のアクセスを推測しません。
混合: MCPツール、HTTP API、シェルなど、その他のリソース種別に対する協調シグナルやツールのシグナル。

アクセスを特定のエージェントにどれだけ確実に結びつけられるか。

確実: 対応するアイデンティティまたは協調シグナルで、単一のエージェントまたは専用の非人間アイデンティティを特定します。実線で表示し、マップ自体は認証情報を発行しません。
推定: アイデンティティは分かっていますが、単一のエージェントを特定する証拠がありません。推定の帰属として表示します。
不明: 利用できるシグナルではエージェントごとの帰属を確定できません。不透明なリソースも、帰属が確実でない場合はこのレベルを使用します。

カバレッジと帰属は独立しています。リソースのカバレッジが不透明でも、協調シグナルでエージェントを確実に特定できる場合があります。

実際に動くもの

グラフは受け取った観測と権限を比較します。グラフの読み取りには認可と監査記録が必要です。監査への追記が失敗するとクエリは拒否されます。

プロキシやインラインエージェントは必要ですか？

必須のプロキシはありません。対応する監査・観測ソースを設定すると、それらが提供するシグナルだけがグラフに入ります。ソースを設定しても、すべてのエージェントやリソースが見えるわけではありません。

マップはSQL、ペイロード、シークレットを保存しますか？

グラフは関係と限定的なメタデータを保存します。メタデータの許可リストにはSQL本文、パラメータ、ペイロード、シークレットを含めません。読み取り・書き込みモードは対応するソースから取得します。

マップが不透明として扱うリソースはどうなりますか？

現在のマップではこれらのリソース種別を不透明として表示します。インベントリの記録は個々のアクセスの証拠ではありません。起点の帰属は別途、受け取ったアイデンティティのシグナルに依存します。

読み取りと読み取り／書き込みをどのように見分けますか？

対応するソースが分類したモードを提供し、グラフはそのモードを保持します。分類されていないアクセスは不明のままです。

アクセスマップとIDインベントリはCommunityの機能です。ディレクトリからインベントリを取り込む機能はBusiness（Identity & Scale）です。