auditing-cloud-cluster-security

クラウドクラスターのセキュリティ監査

ネットワークアクセス制御、認証と SSO の設定、ユーザー認可、暗号化、監査ログ、バックアップの状態を調べ、CockroachDB Cloud クラスターのセキュリティ態勢を評価します。各検出事項への修正リンクを含む、構造化された PASS／WARN／FAIL レポートを作成します。CockroachDB Cloud とセルフホスト型クラスターの両方に対応しており、デプロイモデルに適用されないチェックは N/A として表示されます。

読み取り専用の監査： すべての操作は読み取り専用です。評価中にクラスターの状態が変更されることはありません。

このスキルを使用する場面

• SOC 2、HIPAA、その他のコンプライアンス審査に備える場合
• セキュリティ態勢の定期評価を実施する場合
• 新しい本番クラスターを導入し、セキュリティのベースラインを検証する場合
• インシデント後にセキュリティ設定の不足を調査する場合
• 大規模リリースや顧客のオンボーディング前にクラスターのセキュリティを確認する場合

前提条件

ツール：

ツール	クラウド	セルフホスト	用途
ccloud CLI	必須	N/A	クラスターのメタデータ、ネットワーク設定、CMEK
cockroach sql	必須	必須	SQL セキュリティチェック
openssl (v3+)	推奨	推奨	TLS／PQC 暗号スイートのプローブ（-starttls postgres）
sslyze	任意	任意	包括的な TLS 列挙（--starttls postgres）

認証情報：

認証情報	クラウド	セルフホスト
ccloud auth login セッション	必須	N/A
SQL 接続文字列	必須（ccloud cluster sql --url から取得）	必須（ユーザーが提供）
DB ユーザー名／パスワード	必須（admin または VIEWACTIVITY）	必須（admin または VIEWACTIVITY）
TLS 証明書ディレクトリ	N/A（管理対象）	証明書の有効期限チェックに必須
CA 証明書ファイル	N/A	openssl による TLS プローブに必須

必要な権限の詳細については、権限リファレンスを参照してください。

セキュリティ監査の対象項目

項目	ツール	チェック内容
ネットワークセキュリティ	ccloud	IP 許可リスト、プライベートエンドポイント
認証と SSO	ccloud + sql	Cloud Console SSO、データベース SSO（Cluster SSO）、SCIM 2.0 プロビジョニング、自動ユーザープロビジョニング
認可	sql	ユーザー、ロール、admin 権限の付与、PUBLIC 権限
暗号化	ccloud + sql	CMEK の状態、TLS 設定
監査ログ	sql	監査ログ設定、セッションログ
バックアップと復旧	ccloud + sql	管理対象バックアップの状態、セルフマネージドバックアップのスケジュール
暗号化の態勢	sql + openssl + sslyze	TLS バージョン、PQC ハイブリッド暗号スイートのサポート、暗号化キーのサイズ
クラスターのコンテキスト	ccloud + ユーザー入力	デプロイモデル、環境、コンプライアンス、データの機密性
クラスター構成	ccloud	バージョン、プラン、リージョン

評価ワークフロー

ステップ 0：前提条件を確認する

以下のチェックを実行し、利用可能なツールを判定します。監査は続行されます。ツールが不足している場合、監査が中断されるのではなく、該当するチェックの精度が低下します。

クラウドクラスター：

# Verify ccloud authentication
ccloud auth whoami

# Verify cluster access
ccloud cluster list -o json

両方のデプロイモデル：

# Verify SQL connectivity
cockroach sql --url "<connection-string>" -e "SELECT current_user();"

# Check openssl version (v3+ recommended for PQC probes)
openssl version

# Check sslyze availability
which sslyze && sslyze --version

続行する前に、ツールの利用可否を報告してください：

ツール	状態	不足している場合の影響
ccloud	利用可能／不足	ネットワーク、CMEK、管理対象バックアップのチェックをスキップします（クラウドのみ）
cockroach sql	利用可能／不足	SQL ベースのすべてのチェックをスキップします — 監査の範囲が大幅に制限されます
openssl (v3+)	利用可能／不足	TLS 暗号スイートと PQC のプローブの精度が低下します
sslyze	利用可能／不足	包括的な TLS 列挙を利用できません。代わりに openssl を使用します

cockroach sql を利用できない場合は、監査が ccloud のみを使用したチェックに限られることをユーザーに警告し、続行前に接続性の問題を解決するよう推奨してください。省略可能なツール（openssl、sslyze）が不足している場合は、結果が不完全になるチェックを明示して続行してください。

ステップ 1：クラスターのメタデータを収集し、監査のコンテキストを確認する

クラウドクラスター：

# List clusters and identify target
ccloud cluster list -o json

# Get cluster details (use cluster name or ID)
ccloud cluster info <cluster-name> -o json

セルフホストクラスター：

# Gather metadata via SQL and cockroach CLI
cockroach node status --certs-dir=<certs-dir> --host=<host>
cockroach sql --url "<connection-string>" -e "SELECT version();"

記録する項目：クラスター ID、プランの種類（Basic／Standard／Advanced またはセルフホスト）、クラウドプロバイダー、リージョン、CockroachDB のバージョン。Cloud CLI の構文については、ccloud commands reference を参照してください。

監査のコンテキストを確認する： 自動検出されたメタデータ（クラスター名、バージョン、プロバイダー、リージョン、プラン）を提示し、ユーザーに確認を求め、以下の情報を提供してもらいます。

1. デプロイモデル： CockroachDB Cloud／セルフホスト
2. 環境： 本番／ステージング／開発／サンドボックス
3. コンプライアンスフレームワーク： SOC 2、HIPAA、PCI DSS、ISO 27001、GDPR、または該当なし
4. データの機密性： PII／PHI、金融／決済、社内業務、公開／機密性なし

デフォルト値（ユーザーが変更せずに確認した場合）：Cloud、本番、コンプライアンス要件なし、社内業務データ。デプロイモデルによって、各チェックの適用可否が決まります（以下を参照）。環境とコンプライアンス要件は、重大度の調整に使用します（「重大度の調整」を参照）。

デプロイモデル別のチェック適用可否

チェック	Cloud	セルフホスト
IP 許可リスト（ccloud）	はい（すべてのティア）	該当なし — ファイアウォール／VPC を介して外部で管理
Ingress Private Endpoints（ccloud）	はい（Standard 以上、Advanced）	該当なし
Egress Private Endpoints（ccloud）	はい（Advanced）	該当なし
HBA 設定（SQL）	はい	はい — ネットワークレベルの主要な認証制御
Cloud Console SSO	はい	該当なし
SCIM 2.0	はい	該当なし
データベース SSO（OIDC）	はい	はい
データベース SSO（LDAP／AD）	はい	はい
ユーザーとロール（SQL）	はい	はい
権限（SQL）	はい	はい
CMEK（ccloud）	はい	該当なし — 代わりに Enterprise Encryption を確認
Enterprise Encryption	該当なし	はい — ストア設定で保存データの暗号化を確認
TLS	常に PASS（強制適用）	要確認 — 証明書、有効期限、設定を確認
TLS 1.3／PQC／鍵サイズ	はい（INFO）	はい（INFO）
監査ログ（SQL）	はい	はい
マネージドバックアップ（ccloud）	はい（自動）	該当なし
セルフマネージドバックアップ（SQL）	任意（マネージドバックアップがある場合）	はい — バックアップスケジュールが存在し、実行されていることを確認

検出されたデプロイモデルで該当しないチェックはスキップし、レポートでは PASS／FAIL ではなく [N/A] としてマークします。

ステップ 2：ネットワークセキュリティを評価する

クラウドクラスター： クラスターのティアに基づいて、次の 3 つのレイヤーをすべて確認します。

# IP allowlists (all tiers)
ccloud cluster networking allowlist list <cluster-id> -o json

# Ingress private endpoints (Standard+, Advanced) — via Cloud Console or API
# Cloud Console: Networking > Private endpoint tab
# API: GET /api/v1/clusters/{cluster_id}/networking/private-endpoint-connections

# Egress private endpoints (Advanced only) — via Cloud Console or API
# Cloud Console: Networking > Egress tab
# API: GET /api/v1/clusters/{cluster_id}/networking/egress-endpoints

-- HBA configuration (all tiers)
SHOW CLUSTER SETTING server.host_based_authentication.configuration;

評価（Cloud）：

• IP 許可リストに 0.0.0.0/0 が含まれる場合は FAIL（すべてのトラフィックに公開されています）
• 許可リストに広範な CIDR 範囲（例：/8 や /16）が含まれる場合は WARN
• Advanced プランでプライベートエンドポイントが設定されていない場合は WARN
• 現在のティアではプライベートエンドポイントを利用できない場合は INFO
• 許可リストに限定的で範囲の狭い CIDR 範囲のみが含まれる場合、またはプライベートエンドポイントが設定されている場合は PASS

セルフホストクラスター： ネットワークレベルの主要な認証制御として、HBA 設定を確認します。

SHOW CLUSTER SETTING server.host_based_authentication.configuration;

評価（セルフホスト）：

• HBA 設定が空またはデフォルトの場合は WARN — ネットワークセキュリティは外部（ファイアウォール、セキュリティグループ、VPC）で管理されている可能性があるため、FAIL ではなく WARN とします
• HBA ルールで接続が IP、サブネット、または認証方式によって制限されている場合は PASS

ステップ 3：SSO と SCIM の設定を確認する

セルフホストクラスターでは、Cloud Console の SSO と SCIM の確認をスキップします（該当なし）。データベース SSO の確認は引き続き必要です。OIDC および／または LDAP/AD の設定を確認してください。

Cloud Console SSO（Cloud Console UI > Organization Settings > Authentication — ccloud CLI 経由ではありません）：

• SSO が設定されていない場合は FAIL
• SAML または OIDC SSO が有効化され、強制されている場合は PASS

データベース SSO（クラスター SSO）— OIDC：

-- Check if Cluster SSO is enabled for SQL authentication
SHOW CLUSTER SETTING server.oidc_authentication.enabled;
SHOW CLUSTER SETTING server.oidc_authentication.provider_url;

• server.oidc_authentication.enabled が false の場合は FAIL
• 有効で、有効なプロバイダー URL が設定されている場合は PASS

データベース SSO — LDAP/AD（Cloud およびセルフホスト）：

-- Check if LDAP authentication is configured via HBA
SHOW CLUSTER SETTING server.host_based_authentication.configuration;
-- Look for ldap auth method entries in the HBA configuration

• HBA に ldap 認証方式のエントリーが含まれている場合は PASS
• LDAP が設定されていない場合は INFO（代わりに OIDC が使用されている可能性があります）

SCIM 2.0（Cloud Console UI > Organization Settings > Authentication > SCIM）：

• SCIM エンドポイントが有効化されていない場合は FAIL、有効化され IdP に接続されている場合は PASS

データベースでのユーザー自動プロビジョニング：

-- Check if SQL users are automatically provisioned from SSO identities
SHOW CLUSTER SETTING server.identity_map.configuration;

• ID マッピングが設定されていない場合は FAIL
• ID マッピングによって IdP の ID が SQL ユーザーに割り当てられている場合は PASS

ステップ 4：ユーザーとロールを監査する

-- List all users and their roles
SELECT
  username,
  options,
  member_of
FROM [SHOW USERS]
ORDER BY username;

追加のロール監査クエリについては、SQL クエリのリファレンスを参照してください。

ステップ 5：権限を確認する

-- Count admin role members
SELECT COUNT(*) AS admin_count
FROM [SHOW GRANTS ON ROLE admin];

-- Check PUBLIC role privileges on the current database
-- Note: SHOW GRANTS FOR public is scoped to the current database.
-- Run this query from each application database to get full coverage.
SELECT
  database_name,
  schema_name,
  object_name,
  object_type,
  privilege_type
FROM [SHOW GRANTS FOR public]
WHERE privilege_type NOT IN ('USAGE')
  AND schema_name = 'public'
ORDER BY database_name, object_name;

重要： SHOW GRANTS FOR public の対象は現在のデータベースです。完全に確認するには、SHOW DATABASES; を実行し、各データベースでクエリを繰り返してください。

評価基準：

• admin ロールを持つユーザーが 5 人を超える場合は FAIL
• PUBLIC にアプリケーションテーブルへの SELECT、INSERT、UPDATE、または DELETE 権限がある場合は FAIL
• admin の数が 3～5 人の場合は WARN
• admin の数が 1～2 人で、PUBLIC の権限が最小限の場合は PASS

ステップ 6：暗号化を確認する

CMEK のステータス（Cloud クラスター）：

# Check CMEK configuration (Advanced plan with Advanced Security Add-on)
ccloud cluster info <cluster-name> -o json
# Look for cmek_config in the output

プランの種類ごとの評価（Cloud）：

• Standard プラン： INFO — 「CMEK を有効にするには、Advanced Security Add-on 付きの Advanced プランにアップグレードしてください」
• Advanced Security Add-on なしの Advanced プラン： INFO — 「CMEK を有効にするには、Advanced Security Add-on を追加してください」
• Advanced Security Add-on 付きの Advanced プランで、CMEK が無効： FAIL — プランが対応しているにもかかわらず CMEK が有効になっていません
• Advanced Security Add-on 付きの Advanced プランで、CMEK が有効： PASS

Enterprise Encryption（セルフホスト — CMEK はスキップし、代わりにこちらを確認）：

Enterprise Encryption-at-Rest は、ノードの起動時に --enterprise-encryption フラグで設定され、SQL クラスター設定としては公開されません。次の方法で確認してください。

• ノードの起動引数（プロセスのコマンドライン／systemd ユニット／Kubernetes ポッド仕様）に --enterprise-encryption=... があるか確認する

• ノードごとの Prometheus エンドポイントを確認する： curl -ks https://<node>:8080/_status/vars | grep '^rocksdb_encryption_'

• DB Console の Advanced Debug → Stores ビューで、ストアごとのアクティブな暗号化方式を確認する

• 有効になっておらず、クラスターに機密データが保存されている場合は FAIL

• 暗号化のステータスを確認できない場合は WARN

• AES-256 で有効になっている場合は PASS

TLS（Cloud）： すべての接続で強制されるため、常に PASS です。

TLS（セルフホスト）： 証明書の有効性と有効期限を確認してください（自動的に PASS にはなりません）。

cockroach cert list --certs-dir=<certs-dir>
openssl x509 -in <certs-dir>/node.crt -noout -enddate

• いずれかの証明書の有効期限が 30 日以内の場合は FAIL
• いずれかの証明書の有効期限が 90 日以内の場合は WARN
• すべての証明書が有効で、有効期限まで 90 日以上ある場合は PASS

修復（セルフホスト）： TLS 証明書の管理

暗号化の状況（Cloud とセルフホストの両方 — 情報提供のみ）：

# Primary: sslyze with STARTTLS postgres (if available)
sslyze <host>:26257 --starttls postgres

# Supplementary: openssl with STARTTLS postgres
openssl s_client -connect <host>:26257 -starttls postgres -showcerts -tlsextdebug 2>&1

# PQC probe: offer ML-KEM hybrid, check if server accepts
openssl s_client -connect <host>:26257 -starttls postgres -groups X25519MLKEM768:x25519 2>&1

• INFO — TLS バージョン（TLS 1.3 が推奨です。TLS 1.2 のみの場合は記録してください）
• INFO — PQC ハイブリッド暗号スイートのサポート（例：X25519MLKEM768）— 普及が始まった段階であり、現時点では FAIL の条件ではありません
• INFO — 暗号化キーのサイズ（AES-256 か確認し、AES-128 の場合は記録してください）

注： CockroachDB は PostgreSQL ワイヤープロトコルを使用するため、TLS を正しくネゴシエートするには openssl s_client に -starttls postgres が必要です。このフラグがないと接続に失敗します。同様に、sslyze でも --starttls postgres が必要です。

ステップ 7：監査ログを確認する

-- Check audit log configuration
SHOW CLUSTER SETTING sql.log.user_audit;

-- Check admin audit logging
SHOW CLUSTER SETTING sql.log.admin_audit.enabled;

評価：

• sql.log.user_audit が空で、sql.log.admin_audit.enabled が false の場合は FAIL
• 管理者監査のみが有効で、ユーザー監査が設定されていない場合は WARN
• ユーザー監査と管理者監査の両方が設定されている場合は PASS

ステップ 8：バックアップの状態を評価する

クラウドクラスター： 管理バックアップは自動実行されるため、常に PASS です。必要に応じて、セルフマネージドのスケジュールを確認します。

ccloud cluster info <cluster-name> -o json  # Look for backup_config

SHOW SCHEDULES;  -- Check for additional self-managed backup schedules

セルフホストのクラスター： 管理バックアップはありません。セルフマネージドのバックアップスケジュールを確認します。

SHOW SCHEDULES;
SELECT id, label, schedule_status, next_run, created
FROM [SHOW SCHEDULES]
WHERE label ILIKE '%backup%' OR command @> '{"backup":{}}';

• バックアップスケジュールがない場合は FAIL
• スケジュールは存在するものの、エラーがある、または最近実行されていない場合は WARN
• スケジュールが有効で、実行されている場合は PASS

修正方法（セルフホスト）：

CREATE SCHEDULE 'nightly-full-backup'
  FOR BACKUP INTO 'gs://bucket/backups'
  RECURRING '@daily'
  WITH SCHEDULE OPTIONS first_run = 'now';

PASS／WARN／FAIL の基準

チェック項目	PASS	WARN	FAIL
IP 許可リスト	特定の CIDR のみ	広い範囲（/8、/16）	0.0.0.0/0 が含まれる
クラウドコンソールの SSO	SSO が有効で、強制されている	SSO は有効だが、強制されていない	未設定
データベースの SSO	クラスターの SSO が有効	—	未設定
SCIM 2.0	SCIM が有効で、接続済み	—	無効
DB 自動ユーザープロビジョニング	ID マッピングが設定済み	—	未設定
管理者ユーザー	管理者 1～2 人	管理者 3～5 人	管理者 6 人以上
PUBLIC 権限	データへの権限付与なし	USAGE のみ権限付与	SELECT／INSERT／UPDATE／DELETE
CMEK（Standard）	該当なし	—	—（INFO：アップグレード方法あり）
CMEK（Advanced + Security Add-on）	CMEK が有効	—	無効
エンタープライズ暗号化（セルフホスト）	AES-256 が有効	判定できない	無効（機密データ）
TLS（セルフホスト）	証明書の有効期限が 90 日以上	証明書の有効期限が 30～90 日	証明書の有効期限が 30 日未満
TLS 1.3／PQC／キーサイズ	—	—	—（INFO のみ）
HBA（セルフホスト）	制限的なルール	空／デフォルト	—
監査ログ	ユーザー監査と管理者監査が有効	管理者監査のみ	無効
パスワードポリシー	最小長が 12 以上	最小長が 8～11	最小長が 8 未満
バックアップ（クラウド）	該当なし	—	—（INFO：管理バックアップあり）
バックアップ（セルフホスト）	スケジュールが有効	スケジュールにエラーあり	スケジュールなし

環境別の重大度調整

重大度は、デフォルトで本番環境向けに設定されています。非本番環境では、一部の検出結果の重大度が引き下げられます。コンプライアンス要件がある場合は、引き下げよりもコンプライアンス要件が優先されます。

チェック項目	本番環境	ステージング	開発環境	サンドボックス
IP 許可リストに 0.0.0.0/0（クラウド）	FAIL	FAIL	WARN	WARN
Advanced でプライベートエンドポイントが未設定（クラウド）	WARN	WARN	INFO	INFO
HBA 設定が空（セルフホスト）	WARN	WARN	INFO	INFO
SSO が未設定	FAIL	FAIL	INFO	INFO
SCIM が無効	FAIL	FAIL	INFO	INFO
データベースの SSO が無効	FAIL	FAIL	INFO	INFO
管理者が 6 人以上	FAIL	FAIL	WARN	WARN
CMEK が無効（クラウド）	FAIL	FAIL	WARN	WARN
エンタープライズ暗号化が無効（セルフホスト）	FAIL	FAIL	WARN	WARN
監査ログが無効	FAIL	FAIL	WARN	INFO
バックアップスケジュールなし（セルフホスト）	FAIL	FAIL	WARN	INFO

コンプライアンスによる上書き — コンプライアンスフレームワークが指定されている場合、以下のチェックの重大度は引き下げられません（環境よりもコンプライアンス要件が優先されます）。

フレームワーク	重大度を引き下げられないチェック
SOC 2	SSO、監査ログ、管理者ユーザー、パスワードポリシー
HIPAA	SSO、CMEK／エンタープライズ暗号化、監査ログ、暗号化、パスワードポリシー、バックアップ
PCI DSS	IP 許可リスト／HBA、CMEK／エンタープライズ暗号化、監査ログ、管理者ユーザー、パスワードポリシー、バックアップ
ISO 27001	SSO、監査ログ、管理者ユーザー
GDPR	監査ログ、暗号化

注記： *(FAIL から引き下げ — 開発クラスター)* または *(PCI DSS 準拠 — 重大度の引き下げ不可)*

レポート形式

各監査レポートを reports/security-audit-<cluster-name>-<YYYY-MM-DD>-<sequence>.md に保存します（Git の追跡対象外、ローカルのみ）。reports/ ディレクトリはバージョン管理にコミットされません。過去との比較や修正状況の追跡に使用するローカルログです。

次の構成で Markdown レポートを生成します。

# Security Audit Report — <Cluster Name>

**Date:** YYYY-MM-DD
**Cluster ID:** <cluster-id>
**Plan:** Standard | Advanced | Self-hosted
**CockroachDB Version:** vXX.X.X
**Regions:** us-east-1, us-west-2
**Deployment:** CockroachDB Cloud | Self-hosted
**Environment:** production | staging | development | sandbox
**Compliance:** SOC 2, PCI DSS | (none specified)
**Data Sensitivity:** PII/PHI | financial | internal | public

## Summary

| Status | Count |
|--------|-------|
| PASS   | X     |
| WARN   | X     |
| FAIL   | X     |
| INFO   | X     |
| N/A    | X     |

## Findings

### Network Security
- [PASS|WARN|FAIL|N/A] IP allowlist: <details>
- [PASS|WARN|INFO|N/A] Private endpoints: <details>
- [PASS|WARN|N/A] HBA configuration: <details>

### Authentication & SSO
- [PASS|FAIL|N/A] Cloud Console SSO: <details>
- [PASS|FAIL] Database SSO (OIDC): <details>
- [PASS|INFO] Database SSO (LDAP/AD): <details>
- [PASS|FAIL|N/A] SCIM 2.0 provisioning: <details>
- [PASS|FAIL] Auto user provisioning: <details>

### Authorization
- [PASS|WARN|FAIL] Admin user count: X users with admin role
- [PASS|FAIL] PUBLIC role privileges: <details>

### Encryption
- [PASS|FAIL|INFO|N/A] CMEK: <details>
- [PASS|FAIL|WARN|N/A] Enterprise Encryption: <details>
- [PASS|FAIL|N/A] TLS: <details>
- [INFO] Cryptographic posture: TLS version, PQC support, key size

### Audit Logging
- [PASS|WARN|FAIL] Audit log configuration: <details>

### Backup & Recovery
- [PASS|INFO|N/A] Managed backups: <details>
- [PASS|WARN|FAIL|N/A] Self-managed backups: <details>

### Cluster Configuration
- [INFO] Version: vXX.X.X
- [INFO] Plan: Standard | Advanced | Self-hosted
- [INFO] Regions: <list>

ステータスマーカー： [PASS]、[WARN]、[FAIL]、[INFO]、[N/A]。デプロイモデルに該当しないチェックには [N/A] を使用します。該当する場合は、重大度の調整に関する注釈を追加します（「重大度の調整」を参照）。

修正

各検出事項には、対応する修正スキルを個別に使用できます。

検出事項	修正スキル
IP 許可リストが開放されている	configuring-ip-allowlists
SSO が未設定／SCIM が無効	configuring-sso-and-scim
CMEK が無効	enabling-cmek-encryption
監査ログが無効	configuring-audit-logging
管理者権限が過剰	hardening-user-privileges
パスワードポリシーが弱い	enforcing-password-policies
TLS／証明書の問題	managing-tls-certificates
プライベート接続がない	configuring-private-connectivity
ログのエクスポートが未設定	configuring-log-export
コンプライアンス上の不足	preparing-compliance-documentation

各 FAIL の検出事項について、「修正方法を説明する」（手順に沿ったガイダンス）または 「今すぐ修正を支援する」（対話形式での修正）を提示します。

安全に関する考慮事項

• すべての操作は読み取り専用です。 監査中にクラスターの設定、ユーザー、ロール、ネットワーク構成が変更されることはありません。
• SQL クエリでは SHOW と SELECT のみを使用します。 DDL または DML 文は実行されません。
• ccloud コマンドは読み取り専用です。 使用するサブコマンドは list、info、auth のみです。
• シークレットは記録されません。 接続文字列とトークンはレポート出力に含まれません。
• 権限チェック： 実行ユーザーに admin または VIEWACTIVITY 権限がない場合、監査結果が不完全になることがあります。レポートには権限の不足が記載されます。

参考資料

スキルの参考資料：

• 監査レポートのサンプル — 指摘事項と修正リンクを含むレポートの例
• セキュリティ監査用の SQL クエリ
• ccloud CLI コマンド
• RBAC と権限の設定

修正スキル：

• configuring-ip-allowlists — ネットワークアクセスの強化
• enabling-cmek-encryption — 顧客管理の暗号化キー
• configuring-audit-logging — SQL 監査ログ
• hardening-user-privileges — RBAC の強化
• enforcing-password-policies — パスワード強度の適用
• configuring-sso-and-scim — SSO と SCIM のプロビジョニング
• managing-tls-certificates — TLS 証明書の管理
• configuring-private-connectivity — プライベートエンドポイントと VPC ピアリング
• configuring-log-export — ログとメトリクスのエクスポート
• preparing-compliance-documentation — コンプライアンス対応とドキュメント作成

CockroachDB 公式ドキュメント：

• CockroachDB Cloud セキュリティ概要
• IP 許可リストの管理
• Cloud Console の SSO
• クラスター SSO（データベース SSO）
• SCIM プロビジョニング
• CMEK の概要
• 監査ログ
• セキュリティリファレンス：認可