0. はじめに

こんにちは！クラウド＆ネットワーク技術統括部のM.Cです。
こちらの技術ブログで紹介されているSteampipeですが、AWSだけでなくOCIでも利用が可能です。

• AWSのセキュリティ監視に向けて：主要OSSアセスメントツールの特徴と概要比較 〜AWS Service Screener V2 / Prowler / Steampipe の特性調査〜
• Steampipe を使ってAWS環境のセキュリティチェックを実施してみよう！

今回はSteampipeを使ってOCIの環境を調査したり、セキュリティ診断を行ったりする方法をご紹介します！

1. 本手順で使用するツール

手順に入る前に、今回使用する主なツールをご説明します。

1. Steampipe：クラウドの構成情報をSQLでクエリできるオープンソースのツール
2. Steampipe OCI Plugin：SteampipeをOCI環境で使用するためのプラグイン
3. Powerpipe：Steampipeで収集したデータを元にダッシュボードやレポートへの可視化を行うツール
4. OCI用Powerpipe Mod：PowerpipeのMod（拡張機能）。「セキュリティ監査」、「リソースの可視化」など、収集したデータを元に特定の観点でダッシュボードやレポートを作成できる。
   現在提供されている拡張機能は以下の3種類。
   

   Mod名	観点	チェック内容例
   Oracle Cloud Infrastructure Compliance	セキュリティ・コンプライアンスの遵守	CISベンチマークへの適合性
   Oracle Cloud Infrastructure Insights	OCI環境のリソース可視化	リソースの数、経過日数、詳細
   Oracle Cloud Infrastructure Thrifty	不要なリソースの発見	使用率が低いボリューム、古いバックアップデータ

今回はセキュリティチェックを実施できるComplianceの拡張機能を使用します。

2. 環境情報

• Windows 11 Pro
  • WSL上: Ubuntu 24.04.2 LTS Windows端末でSteampipeを利用する場合はWSL2を利用して、Linux上で動作させる必要があります。

本記事ではWSL2の利用方法は割愛させていただきます。利用したことのない方は、以下のMicrosoftの公式ドキュメントサイトを参考にして導入してください。
WSL を使用して Windows に Linux をインストールする方法

3. Steampipeインストール手順

1. WSLのUbuntu端末を起動する

• PowerShell を「管理者として実行」で起動後、WSL(Ubuntu) 起動コマンドを実行します。

wsl.exe -d Ubuntu

2. Steampipeをインストールする

• 以下のコマンドでインストールを行います。

# Steampipeインストールコマンド実行
sudo /bin/sh -c "$(curl -fsSL https://steampipe.io/install/steampipe.sh)"

• インストール完了時、以下のように"installed successfully"と表示されていればOKです。

Steampipe was installed successfully to /usr/local/bin/steampipe

3. OCIプラグインをインストールする

• Steampipeを用いてOCIリソースをチェックするためにはプラグインの導入が必要となります。

# Steampipeプラグインのインストールコマンド実行
steampipe plugin install oci

• 以下のようにInstalledと表示されていればOKです

Installed plugin: oci@latest v1.2.1
Documentation: https://hub.steampipe.io/plugins/turbot/oci

4. OCIアカウント接続手順

1. 操作ユーザーに必要な権限設定

SteampipeがOCIの情報を読み取るために必要なIAMポリシーを設定します。
OCIコンソールにて、操作ユーザーのグループに以下2つの権限を付与してください 。

①テナンシーの全リソースのRead権限

• • Allow group {group_name} to read all-resources in tenancy

②テナンシーの構成情報を取得する権限

• • Allow group {group_name} to manage all-resources in tenancy where request.operation='GetConfiguration'

※今回の検証で使用した社内OCI検証環境は、コンパートメントの権限制限により、セキュリティチェック実行に必要な上記権限の一部が付与されていない状態です。そのため、後続のセキュリティチェック結果でも権限不足によるエラー（確認不可）が出力されています。あらかじめご了承ください。

2. OCI 認証情報設定

• SteampipeがテナンシーにアクセスするためのAPIキーを設定します。

OCIコンソールでの作業

# クエリコンソール起動コマンド実行
steampipe query

# クエリコンソールが起動する
Welcome to Steampipe v2.4.2
For more information, type .help

# 以下のSQLを入力して Enterキーを押す。
select name from oci_identity_tenancy;

• 自分の所属しているテナンシー名が返ってくれば、接続は成功です。
• 接続を終了する時は ".exit"を入力、または Ctrl + D キーを押します。

5. Powerpipeインストール手順

1. Powerpipeをインストールする

• 引き続きWSL環境でPowerpipeインストールを行います。

sudo /bin/sh -c "$(curl -fsSL https://powerpipe.io/install/powerpipe.sh)"

• インストール完了時、以下のように"installed successfully"と表示されていればOKです。

Powerpipe was installed successfully to /usr/local/bin/powerpipe

2. Modをインストールする

• 専用ディレクトリを作成し、移動します。
  

# ディレクトリ作成
mkdir -p ~/steampipe-oci-compliance

#作成したディレクトリへ移動
cd ~/steampipe-oci-compliance

• Oracle Cloud Infrastructure Compliance Mod をインストールします。

# Powerpipe Modの初期化
powerpipe mod init

# Compliance Modのインストール
powerpipe mod install github.com/turbot/steampipe-mod-oci-compliance

6. セキュリティチェック（ブラウザ版）

1. Steampipeを起動する

# Steampipe起動
steampipe service start

• "Steampipe service is running:"と出力されていればOKです。

2. Powerpipeサーバーを起動する

# Powerpipeサーバー起動
powerpipe server

• 以下のように出力されていればOKです

[ Ready ] Dashboard server started on 9033 and listening on local

3. ブラウザでセキュリティチェックを実行する

• ブラウザで 「http://localhost:9033」 にアクセスすると、以下の画面が表示されます。

• 左メニューから見たい項目をクリックすると、チェックが始まります。
• 今回は「OCI CIS v3.0.0」を実行しました。
• 今回の検証では操作ユーザの権限不足によりエラーがたくさん出ていますが、OCIアカウント接続手順の「1. 操作ユーザーに必要な権限設定」でご紹介した権限が操作ユーザーに付与できていれば問題なくチェック可能です。

• Goole翻訳にかけるとこんな感じです。
• 「アイデンティティおよびアクセス管理」、「ネットワーキング」のように項目ごとに結果が表示されます。
• 全項目でチェックが可能なわけではなく、手動での確認が必要な項目もあります。
• その他、「ネットワークセキュリティグループが0.0.0.0/0からポート22へのイングレスを許可していないことを確認する」、「オブジェクトストレージバケットがパブリックに公開されていないことを確認する」など基本ではあるものの気を付けたい項目もチェックされていました。

7. セキュリティチェック（レポート版）

ブラウザ以外にもHTML、CSV、JSONなど様々な形式でのレポート出力が可能です。試しにHTMLレポートを出力してみます。
※レポート出力の場合は、Powerpipeサーバーの起動は不要です。

# 実行可能なベンチマーク一覧を表示する
powerpipe benchmark list

• 以下のように一覧が出力されます。

MOD NAME TYPE
oci_compliance oci_compliance.benchmark.cis_v110 control
oci_compliance oci_compliance.benchmark.cis_v120 control
oci_compliance oci_compliance.benchmark.cis_v200 control
oci_compliance oci_compliance.benchmark.cis_v300 control

• 実行例（例：oci_compliance.benchmark.cis_v300）
  

powerpipe benchmark run oci_compliance.benchmark.cis_v300 --export=html

# HTMLのほか、`--export=csv` や `--export=json` を指定して複数形式で同時に出力することも可能です。

• このようなHTMLファイルが作成されました。
• チーム内での結果共有や生成AIを使用した分析にはHTMLやCSVでの出力が適していそうです。
  （生成AIでの分析の際は、個人情報やAIの再学習設定にご注意ください！）

8. おわりに

最後までお読みいただきありがとうございます。
今回検証したSteampipeによるセキュリティチェックは、CISベンチマークに沿って網羅的に環境をチェックでき、自分で準拠状況を一つ一つ判断する必要がないのが非常に便利でした。
OCI公式のCloud Guardでもセキュリティチェックは可能ですが、あちらは常時監視や継続運用を前提としたサービスのため、スポット的に環境の状態を確認したい場面では少し大掛かりに感じることもあります。その点、Steampipeは手軽にセットアップができ、必要なタイミングで即座にチェックを実施できるところがメリットだと感じました。
自社環境の状態を手軽に可視化してみたいという方は、ぜひ試してみてはいかがでしょうか。