Security Center:構成チェックのためのクラウド資産の追加

ステップ 1: アクセス認証情報の作成

サードパーティクラウドプラットフォームで、読み取り専用権限を持つアクセス認証情報を作成します。次の表は、各プラットフォームで必要な認証情報をまとめたものです：

ステップ 2: Security Center での統合の完了

1. Security Center コンソールにログインします。

2. マルチクラウドの設定と管理 > マルチクラウドアセット タブで、権限の新規付与 をクリックします。

3. マルチクラウドアセット パネルで：

   1. 構成プランを選択します。

   2. 前のステップで取得したアクセス認証情報を対応するフィールドに入力します。

4. (オプション) 監査ログの構成：

   1. CSPM のログ監査機能を使用するには、必要な設定を構成します。

   2. 説明

      サードパーティプラットフォーム上で Kafka サービスが必要です。現在、監査ログの構成は Tencent Cloud と AWS のみでサポートされています。

ステップ 1: クラスターの追加

Security Center エージェントがクラスターと安全に通信できるように、クラスターに必要な認証とサービスアカウントを作成します。

1. リスクガバナンス > CSPM ページで、右上の ポリシー管理 をクリックします。

2. ポリシー管理 パネルで、Configure Container Cluster タブをクリックし、次に Self-built cluster access をクリックします。

   説明

   Ultimate エディションを使用している場合は、アセットセンター > コンテナアセット > Cluster に移動し、Self-built cluster access をクリックすることもできます。

3. Access Self-built K8s cluster パネルで、K8s アクセスを構成し、Generate Command をクリックします。

4. クラスターサーバーにログインし、text-001.yaml ファイルを作成し、生成されたコマンドをコピーします。

5. 次のコマンドを実行します：

# アクセス構成を適用します。
kubectl apply -f text-001.yaml

ステップ 2: チェックコンポーネントのインストール

構成スキャンタスクを実行するために、クラスターにチェックコンポーネントエージェントをデプロイします。

1. Configure Container Cluster タブのクラスターリストに戻ります。

2. 追加したばかりのクラスターを見つけます。このクラスターの Component Status は Not Installed です。

3. 「操作」列で、Component Access をクリックします。

4. Scan Component Access パネルで、生成されたコマンドをコピーします。

5. クラスターをホストしているサーバーにログインし、コマンドを deploy.yaml ファイルに貼り付けます。

6. 次のコマンドを実行します：

   # チェックコンポーネントをデプロイします。
   kubectl apply -f deploy.yaml

7. (オプション) 増分チェックのために Webhook を有効にする：Pod などのクラスターリソースが変更されたときに自動的に増分チェックをトリガーするには、Webhook 機能を有効にします。

   警告

   Webhook 機能は現在、Pod の増分チェックのみをサポートしています。Webhook 機能が正しく構成されていないか、例外が発生した場合、クラスターリソースの作成に影響が出る可能性があります。

   Webhook を有効にするには：

   1. Scan Component Access パネルで、Webhook コマンドをコピーします。

   2. クラスターが配置されているサーバーにログインし、コマンドを webhook.yaml ファイルに貼り付けます。

   3. 次のコマンドを実行します：

      # チェックコンポーネントをデプロイします。
      kubectl apply -f webhook.yaml

ステップ 3: インストールの確認

1. クラスターサーバーで次のコマンドを実行して、エージェント Pod が実行中かどうかを確認します：

   # <agent-namespace> をエージェントがデプロイされている実際の名前空間に置き換えます。
   kubectl get pods -n <agent-namespace>

   <agent-namespace> をエージェントがデプロイされている実際の名前空間に置き換えます。

   説明

   エージェント関連の Pod の期待されるステータスは Running です。

2. Security Center コンソールで、Configure Container Cluster リストに移動します。

3. クラスターのリストで、Component Status が オンライン であることを確認します。これは、コンポーネントがインストールされていることを示します。

自動同期

資産を追加する際に自動同期を有効にします (たとえば、マルチクラウド構成の クラウドプロダクトの同期頻度 オプションを設定します)。システムは新しいクラウドサービスや構成の更新を自動的に同期します。

手動同期

Security Center コンソールのクラウドプロダクトタブまたはConfigure Container Clusterタブで、最新のアセットの同期をクリックしてアセットを手動で同期します。

資産アクセス

Security Center へのクラウド資産の追加は無料です。

設定のチェック

有料の CSPM 機能は、クォータの消費に基づいて課金されます。資産インスタンスに対するスキャン、検証、修正などの操作が成功するたびに、1 クォータが消費されます。

課金の詳細：

機能制限

K8s アクセス制限

サービス制限

CSPM には以下の制限が適用されます：