Security Center:クラウドサービスの追加

サブアカウントとアカウントのAccessKeyペアの作成

1. サブアカウントの作成 詳細については、「

   サブユーザーの作成。

2. CloudResourceReadOnlyAccessおよびQcloudCamReadOnlyAccess権限をサブアカウントに付与します。 詳細については、「

   権限付与の管理

   Tencent CloudアセットにSecurity Centerのきめ細かいアクセス制御を実装する場合は、カスタムポリシーを使用できます。

   重要

   Security Centerが構成評価機能に新しいチェック項目を導入する場合は、サブアカウントにアタッチされているカスタムポリシーを更新する必要があります。 これにより、新しいチェック項目を使用して構成チェックを実行できます。 カスタムポリシーを使用して、サブアカウントに必要な権限のみを付与することをお勧めします。

   1. ポリシー構文に基づいてカスタムポリシーを作成します。 次のポリシーコンテンツでは、actionの値は、呼び出すことができるAPI操作を指定します。 詳細については、「

      ポリシー構文によるカスタムポリシーの作成。

      次のコードは、ポリシーの内容を示しています。 詳細については、「

      要素参照。

      ポリシーの内容

      {
      	"version": "2.0",
      	"statement": [{
      			"effect": "allow",
      			"action": [
      				"cam:DescribeRoleList",
      				"cam:DescribeSafeAuthFlagColl",
      				"cam:GetPolicy",
      				"cam:GetRole",
      				"cam:GetRolePermissionBoundary",
      				"cam:GetUser",
      				"cam:GetUserPermissionBoundary",
      				"cam:ListAccessKeys",
      				"cam:ListAttachedRolePolicies",
      				"cam:ListAttachedUserAllPolicies",
      				"cam:ListCollaborators",
      				"cam:ListUsers"
      			],
      			"resource": [
      				"*"
      			]
      		},
      		{
      			"effect": "allow",
      			"action": [
      				"cbs:DescribeDiskAssociatedAutoSnapshotPolicy",
      				"cbs:DescribeDisks",
      				"cdb:DescribeAccountPrivileges",
      				"cdb:DescribeAccounts",
      				"cdb:DescribeAuditConfig",
      				"cdb:DescribeBackupConfig",
      				"cdb:DescribeDBFeatures",
      				"cdb:DescribeDBInstances",
      				"cdb:DescribeDBSecurityGroups"
      			],
      			"resource": [
      				"*"
      			]
      		},
      		{
      			"effect": "allow",
      			"action": [
      				"clb:DescribeLoadBalancers",
      				"clb:DescribeTargetHealth",
      				"clb:DescribeTargets"
      			],
      			"resource": [
      				"*"
      			]
      		},
      		{
      			"effect": "allow",
      			"action": [
      				"cvm:DescribeInstances"
      			],
      			"resource": [
      				"*"
      			]
      		},
      		{
      			"effect": "allow",
      			"action": [
      				"cwp:DescribeAssetMachineDetail"
      			],
      			"resource": [
      				"*"
      			]
      		},
      		{
      			"effect": "allow",
      			"action": [
      				"dcdb:DescribeDCDBInstances"
      			],
      			"resource": [
      				"*"
      			]
      		},
      		{
      			"effect": "allow",
      			"action": [
      				"es:DescribeInstances"
      			],
      			"resource": [
      				"*"
      			]
      		},
      		{
      			"effect": "allow",
      			"action": [
      				"mariadb:DescribeAccountPrivileges",
      				"mariadb:DescribeAccounts",
      				"mariadb:DescribeBackupTime",
      				"mariadb:DescribeDBInstanceDetail",
      				"mariadb:DescribeDBInstances",
      				"mariadb:DescribeDBSecurityGroups"
      			],
      			"resource": [
      				"*"
      			]
      		},
      		{
      			"effect": "allow",
      			"action": [
      				"postgres:DescribeBackupPlans",
      				"postgres:DescribeDBInstanceSecurityGroups",
      				"postgres:DescribeDBInstances"
      			],
      			"resource": [
      				"*"
      			]
      		},
      		{
      			"effect": "allow",
      			"action": [
      				"redis:DescribeAutoBackupConfig",
      				"redis:DescribeDBSecurityGroups",
      				"redis:DescribeInstanceMonitorTopNCmd",
      				"redis:DescribeInstances"
      			],
      			"resource": [
      				"*"
      			]
      		},
      		{
      			"effect": "allow",
      			"action": [
      				"region:DescribeRegions"
      			],
      			"resource": [
      				"*"
      			]
      		},
      		{
      			"effect": "allow",
      			"action": [
      				"ssl:DescribeCertificate",
      				"ssl:DescribeCertificates"
      			],
      			"resource": [
      				"*"
      			]
      		},
      		{
      			"effect": "allow",
      			"action": [
      				"tcr:DescribeInstances",
      				"tcr:DescribeRepositories"
      			],
      			"resource": [
      				"*"
      			]
      		},
      		{
      			"effect": "allow",
      			"action": [
      				"vpc:DescribeNetworkAcls",
      				"vpc:DescribeSecurityGroupPolicies",
      				"vpc:DescribeSecurityGroups",
      				"vpc:DescribeSubnets"
      			],
      			"resource": [
      				"*"
      			]
      		},
      		{
      			"effect": "allow",
      			"action": [
      				"mysql:DescribeDBInstances"
      			],
      			"resource": [
      				"*"
      			]
      		}
      	]
      }

   2. 作成したカスタムポリシーをサブアカウントにアタッチして、サブアカウント内のTencent CloudアセットにSecurity Centerがアクセスできるようにします。 詳細については、「

      権限付与の管理

3. サブアカウントのAccessKeyペアを作成します。 詳細については、「

   アクセスキー。

監査ログ設定の構成

サードパーティのクラウドサービスからのシステムアクティビティまたは操作のログをSecurity Centerに追加する場合は、サードパーティのクラウドサービスプロバイダーのプラットフォームでログサービスを設定し、Security Centerにログサービスの読み取り権限を付与します。

1. Tencent CloudのCloud Log Service (CLS) コンソールにログインし、ログトピックを作成します。 詳細については、「

   ログトピックの管理。
   重要

   追加するCLSとクラウドサービスに同じリージョンを選択することを推奨します。

2. Tencent CloudのCloudAuditコンソールにログインし、ログを配信するトラッキングセットを作成します。 詳細については、「

   トラッキングセット付き配送ログ

   トラッキングセットを作成するには、次のパラメーターを設定します。

   • イベントタイプの管理: [すべて] を選択します。

   • リソースタイプ: すべてのリソースタイプを選択します。

   • 配送先: [イベントをCLSに配送] を選択し、作成したログトピックを配信するログのトピックとして指定します。 次に、[過去3か月 (90日間) の補完イベント] を選択します。

3. カスタムポリシーを作成し、Security Centerに追加するサブアカウントにポリシーをアタッチします。

   次のコードを使用して、カスタムポリシーを作成します。

   {
       "statement": [
           {
               "action": [
                   "cls:OpenKafkaConsumer"
               ],
               "effect": "allow",
               "resource": [
                   "qcs::cls:${Region ID of CLS}:uin/${Master Account ID}:topic/${CLS Topic ID}",
                   "qcs::cls:${Region ID of CLS}:uin/${Master Account ID}:logset/${CLS Logset ID}"
               ]
           }
       ],
       "version": "2.0"
   }

   上記のコードの変数を、ログトピックに関する実際の情報に置き換える必要があります。 情報を取得するには、ログトピックの基本情報ページに移動します。

   • ${CLS Topic ID}: Log Topic IDパラメーターの値を入力します。

   • ${CLS Logset ID}: Logset IDパラメーターの値を入力します。

   • ${Region ID of CLS}: regionパラメーターの値に対応するリージョンIDを入力します。

   • ${マスターアカウントID}: マスターアカウントのIDを入力します。 右上隅のプロフィール写真をクリックしてIDを取得できます。

4. ログトピックのKafkaトピック名、Kafkaパブリックエンドポイント、およびログセットIDを取得します。 これらの詳細は、サブアカウントをSecurity Centerに追加するときに必要です。

   • ログトピックの基本情報ページに移動し、Logset IDパラメーターの値を取得します。

   • Kafka消費ページに移動し、Kafkaトピック名とKafkaパブリックエンドポイントを取得します。 詳細については、「

     カフカの消費

サブアカウントとアカウントのAccessKeyペアの作成

1. IAM Identity Centerコンソールにログインし、Identity and Access Management (IAM) ユーザーを作成します。 詳細については、「ユーザーの追加」をご参照ください。

2. IAMユーザーにReadOnlyAccess権限を付与します。 詳細については、「ユーザーへの権限の追加 (コンソール) 」をご参照ください。

監査ログ設定の構成

サードパーティのクラウドサービスからのシステムアクティビティまたは操作のログをSecurity Centerに追加する場合は、サードパーティのクラウドサービスプロバイダーのプラットフォームでログサービスを設定し、Security Centerにログサービスの読み取り権限を付与します。

1. Amazon SQSコンソールにログインし、SQSキューを作成します。 詳細については、「Amazon SQS標準キューの作成とメッセージの送信」または「Amazon SQS FIFOキューの作成とメッセージの送信」をご参照ください。

2. Amazon Simple Storage Service (Amazon S3) コンソールにログインし、既存のS3バケットを選択するか、S3バケットを作成します。 詳細については、「手順1: 最初のS3バケットの作成」をご参照ください。

   重要

   S3バケットとSQSキューが同じリージョンにあることを確認してください。

3. S3バケットおよび関連オブジェクトのCloudTrailイベントログを有効にします。 詳細については、「S3バケットとオブジェクトのCloudTrailイベントログの有効化」をご参照ください。

   重要

   CloudTrailトレイルを作成するときは、[ログファイルSSE-KMS暗号化] パラメーターを [有効] に設定しないでください。

4. Amazon S3コンソールにログインし、S3バケットのイベント通知を有効にします。 詳細については、「Amazon S3コンソールを使用したイベント通知の有効化と設定」をご参照ください。

   • イベントタイプ: [送信] を選択します。

   • 宛先: SQSキューを選択し、SQSキューのAmazonリソース名 (ARN) を入力します。

5. S3バケットの読み取りおよび書き込み権限をSQSキューに付与するカスタムポリシーを作成します。 詳細については、「IAMポリシーの作成」をご参照ください。

   次のコードを使用して、カスタムポリシーを作成します。

   {
     "Version": "2012-10-17",
     "Id": "__default_policy_ID",
     "Statement": [
       {
         "Sid": "__owner_statement",
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::${Account ID}:root"
         },
         "Action": "SQS:*",
         "Resource": "${System-provided SQS Queue ARN}"
       },
       {
               "Sid": "example-statement-ID",
               "Effect": "Allow",
               "Principal": {
                   "Service": "s3.amazonaws.com"
               },
               "Action": [
                   "SQS:SendMessage"
               ],
               "Resource": "${System-provided SQS Queue ARN}",
               "Condition": {
                   "ArnLike": {
                       "aws:SourceArn": "arn:aws:s3:*:*:${S3 Bucket Name}"
                   }
               }
           }
     ]
   }

   • SQSキューのデフォルトポリシーで、サブアカウントのIDとSQSキューのARNを取得できます。 上記のコードの ${Account ID} と ${System-provided SQS ARN} を取得した情報に置き換えます。

     

   • バケットの詳細ページでS3バケットの名前を取得できます。 上記のコードの ${S3バケット名} を取得した情報に置き換えます。

     

6. IAMユーザーにカスタムポリシーをアタッチします。 詳細については、「ユーザーへの権限の追加 (コンソール) 」をご参照ください。

7. SQSキューの詳細ページに移動し、SQSキューの名前とリージョンIDを取得します。 これらの詳細は、IAMユーザーをSecurity Centerに追加するときに必要です。

   

1. オペレーティングシステムにAzure CLIをインストールします。 詳細については、「Azure CLIのインストール方法」をご参照ください。

   オペレーティングシステムがLinux Ubuntuの場合、次のコードを実行してリポジトリ情報を更新し、azure-cliパッケージをインストールします。

   sudo apt-get update
   sudo apt-get install azure-cli

2. Azure CLIを使用してAzureにログインします。 次のコマンドを実行し、必要なAzureアカウントのログオン情報を入力します。

   • 21Vianetが运営するMicrosoft Azureのユーザー

     次のコマンドを実行してAzureのcloudをAzureChinaCloudに設定し、現在のAzure環境をChinaに切り替えます。

     az cloud set -n AzureChinaCloud
     az login

   • Microsoft Azureのユーザーは21Vianetによって操作されません

     az login

3. 次のコマンドを実行して、AccessKeyペア情報を照会します。

   [your-account-ID] を、AccessKeyペアを作成するカスタムユーザー名に置き換えます。 ID1、ID2、およびID3を、Security Centerに追加するAzureサブスクリプションのIDに置き換えます。

   az ad sp create-for-rbac \
   --name [your-account-ID] \
   --role Reader \
   --scopes /subscriptions/[ID1, ID2, ID3]

   次の図は、AccessKeyペアの情報を示しています。