Security Center:クラウドサービスのログを追加する

siemBasePolicyとsiemNormalPolicyという名前の2つのカスタムポリシーを作成します。 詳細については、次をご参照ください： カスタムポリシーを作成

• siemBasePolicy: グローバルレベルのクラウドサービスに対する権限。 次のコードは、ポリシーの内容を示しています。

  {
      "Version": "1.1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "iam:roles:listRoles",
                  "iam:roles:getRole",
                  "iam:groups:listGroupsForUser",
                  "iam:groups:listGroups",
                  "iam:users:getUser",
                  "iam:groups:getGroup"
              ]
          },
          {
              "Effect": "Allow",
              "Action": [
                  "rms:resources:list",
                  "rms:resources:summarize"
              ]
          },
          {
              "Effect": "Allow",
              "Action": [
                  "obs:object:GetObject",
                  "obs:bucket:GetBucketLocation",
                  "obs:bucket:HeadBucket",
                  "obs:object:GetObjectVersionAcl",
                  "obs:bucket:ListAllMyBuckets",
                  "obs:bucket:ListBucket",
                  "obs:object:GetObjectVersion",
                  "obs:object:GetObjectAcl"
              ]
          }
      ]
  }

• siemNormalPolicy: プロジェクトレベルのクラウドサービスに対する権限。 次のコードは、ポリシーの内容を示しています。

  {
      "Version": "1.1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "cfw:ipGroup:list",
                  "cfw:acl:list",
                  "cfw:ipMember:put",
                  "cfw:ipMember:create",
                  "cfw:ipGroup:create",
                  "cfw:instance:get",
                  "cfw:ipGroup:put",
                  "cfw:ipMember:list",
                  "cfw:ipGroup:get",
                  "cfw:ipMember:delete"
              ]
          },
          {
              "Effect": "Allow",
              "Action": [
                  "waf:whiteBlackIpRule:list",
                  "waf:whiteBlackIpRule:put",
                  "waf:ipgroup:get",
                  "waf:whiteBlackIpRule:get",
                  "waf:ipgroup:list",
                  "waf:whiteBlackIpRule:create",
                  "waf:whiteBlackIpRule:delete"
              ]
          }
      ]
  }

siemUserおよびreadonlyuserという名前のユーザーグループを作成し、ユーザーグループに必要な権限を付与します。 次の表に、必要な権限を示します。 詳細については、次をご参照ください： ユーザーグループを作成し、権限を割り当てます。

Identity and Access Management (IAM) ユーザーを作成し、IAMユーザーをsiemUserユーザーグループに関連付けます。 詳細については、次をご参照ください： IAMユーザーを作成します。

IAMユーザーのAccessKeyペアを作成します。 詳細については、次をご参照ください： IAMユーザーのAccessKeyペアの管理。

ポリシー構文に基づいてsiemPolicyという名前のカスタムポリシーを作成します。

次のコードは、ポリシーの内容を示しています。

{
    "statement": [
        {
            "action": [
                "cfw:DescribeAclApiDispatch",
                "cfw:DescribeBorderACLList",
                "cfw:CreateAcRules"
            ],
            "effect": "allow",
            "resource": [
                "*"
            ]
        },
        {
            "action": [
                "waf:DescribeDomains",
                "waf:DescribeIpAccessControl",
                "waf:DeleteIpAccessControl",
                "waf:UpsertIpAccessControl",
                "waf:PostAttackDownloadTask"
            ],
            "effect": "allow",
            "resource": [
                "*"
            ]
        },
        {
            "action": [
                "ckafka:DescribeDatahubGroupOffsets",
                "ckafka:DescribeGroup",
                "ckafka:DescribeGroupInfo",
                "ckafka:DescribeGroupOffsets",
                "ckafka:CreateDatahubGroup",
                "ckafka:ModifyDatahubGroupOffsets",
                "ckafka:ListConsumerGroup"
            ],
            "effect": "allow",
            "resource": [
                "*"
            ]
        },
        {
            "action": [
                "cam:GetUser",
                "cam:CheckSubAccountName",
                "cam:CheckUserPolicyAttachment",
                "cam:GetAccountSummary",
                "cam:GetPolicy",
                "cam:GetPolicyVersion",
                "cam:ListAllGroupsPolicies",
                "cam:ListAttachedGroupPolicies",
                "cam:ListAttachedRolePolicies",
                "cam:ListAttachedUserAllPolicies",
                "cam:ListAttachedUserPolicies",
                "cam:ListGroupsPolicies",
                "cam:ListPolicies",
                "cam:ListUsers"
            ],
            "effect": "allow",
            "resource": [
                "*"
            ]
        }
    ],
    "version": "2.0"
}

サブアカウントの作成 詳細については、次をご参照ください： サブアカウントを作成します。

作成したサブアカウントにsiemPolicyポリシーをアタッチします。 詳細については、次をご参照ください： 権限付与の管理

サブアカウントのAccessKeyペアを作成します。 詳細については、次をご参照ください： AccessKeyペア

Tencent Cloud Firewallのアラートログを追加するには、eventLogタイプのログのログシッピングスイッチをオンにします。 詳細については、「ログ配布」をご参照ください。

Tencent Cloud FirewallのeventLogタイプのログのみを脅威分析および対応機能に追加できます。 ログを追加する前に、ログを特定のCKafkaトピックに送信する必要があります。