Todos los productos
Search

Este producto

    Security Center:Add cloud assets for configuration checks

    Centro de documentos

    Security Center:Add cloud assets for configuration checks

    Última actualización: Sep 18, 2026

    Las configuraciones incorrectas de los activos en la nube (como el acceso de lectura público en buckets) o las vulnerabilidades de seguridad pueden provocar incidentes graves, como filtraciones de datos e interrupciones del servicio. Cloud Security Posture Management (CSPM) detecta y gestiona de forma continua los riesgos de configuración en Alibaba Cloud, entornos multinube y clústeres de Kubernetes (K8s) autogestionados mediante comprobaciones de seguridad automatizadas. Además, ofrece sugerencias de remediación para mejorar la seguridad y el cumplimiento general de los activos. En este tema se describe cómo agregar diversos tipos de activos en la nube a Security Center para habilitar la función de comprobación de riesgos de configuración.

    Alcance

    • Elementos de comprobación compatibles:

      • Ofrece algunos elementos básicos gratuitos para la comprobación de la configuración.

        Nota

        Solo la detección y la validación son gratuitas. La remediación requiere un servicio de pago.

      • Para habilitar todos los elementos de comprobación de riesgos de configuración de servicios en la nube, adquiera el servicio de pago CSPM (subscription o pay-as-you-go). Para obtener más información, consulte Billing details.

    • Plataformas en la nube compatibles:

      • Alibaba Cloud

      • Plataformas en la nube de terceros: AWS, Azure, Huawei Cloud, Tencent Cloud y Volcano Engine.

      • Entornos de contenedores: clústeres de Kubernetes autogestionados.

    Consultar los servicios en la nube compatibles

    Actualmente, Security Center admite el acceso a activos de Alibaba Cloud y de plataformas en la nube de terceros para Cloud Security Posture Management. En la consola de Security Center puede consultar los servicios de Alibaba Cloud, las plataformas en la nube de terceros y sus respectivos servicios que Security Center admite para el acceso y las comprobaciones.

    1. Acceda a la consola de Security Center - Risk Governance - Cloud Security Posture Management. En la esquina superior izquierda de la página, seleccione la región de sus activos: Chinese Mainland o Outside Chinese Mainland.

    2. En la pestaña Cloud Service Configuration Risk, encima de la lista de elementos de comprobación, seleccione Cloud Product y haga clic en Alibaba Cloud o en una plataforma en la nube de terceros (como Tencent Cloud o AWS) para consultar la lista de servicios en la nube que Security Center admite actualmente para el acceso.

    Acceder a los servicios de Alibaba Cloud

    Security Center sincroniza automáticamente los servicios en la nube de la cuenta actual de Alibaba Cloud. No se requiere ninguna acción manual.

    Agregar activos de plataformas en la nube de terceros

    Cloud Security Posture Management ofrece capacidades de comprobación de configuración para activos en distintas plataformas en la nube. Puede agregar servicios en la nube de terceros, como AWS, Azure, Huawei Cloud, Tencent Cloud y Volcano Engine, a Security Center para implementar el escaneo unificado de configuraciones y la gestión de riesgos de los servicios en la nube. A continuación se describen los pasos de configuración.

    Nota

    Para consultar la documentación de referencia detallada, vea Related topics.

    Paso 1: Crear credenciales de acceso en la plataforma en la nube de terceros

    • AWS

      1. Crear un usuario de IAM y otorgar permisos: Inicie sesión en la consola de IAM de AWS, cree un nuevo usuario de IAM y asigne al usuario las políticas del sistema ReadOnlyAccess y IAMReadOnlyAccess.

      2. Crear y registrar la clave de acceso: Genere una clave de acceso para el nuevo usuario y registre correctamente el Access Key ID y la Secret Access Key.

    • Huawei Cloud

      1. Crear un grupo de usuarios y otorgar permisos: Inicie sesión en la consola de Huawei Cloud, vaya a la página User Group, cree un nuevo grupo de usuarios y asigne al grupo las políticas del sistema Tenant Guest y IAM ReadOnlyAccess.

      2. Crear un usuario y registrar la clave de acceso: Cree un nuevo usuario de IAM, agréguelo al grupo de usuarios creado en el paso anterior, genere una clave de acceso para el usuario y registre correctamente el Access Key Id y la Secret Access Key.

    • Tencent Cloud

      1. Crear una subcuenta y otorgar permisos: Inicie sesión en la consola de Tencent Cloud, vaya a la página User List, cree una nueva subcuenta y vincule a esta las políticas del sistema CloudResourceReadOnlyAccess y QcloudCamReadOnlyAccess.

      2. Crear y registrar la clave de API: En la página de administración API Key de los detalles de la subcuenta, cree una nueva clave de API y registre correctamente el SecretId y la SecretKey.

    • Azure

      1. Registrar una aplicación: Inicie sesión en el portal de Azure, vaya al servicio App registrations, registre una nueva aplicación y anote su Application (client) ID y su Directory (tenant) ID.

      2. Crear un secreto de cliente: En la aplicación recién registrada, vaya a la página Certificates & secrets, cree un nuevo secreto de cliente y registre correctamente su Value.

      3. Asignar un rol: Vaya al servicio Subscriptions, seleccione su suscripción y asigne el rol Reader a la aplicación recién registrada en la página Access control (IAM).

    • Volcano Engine

      1. Crear una subcuenta y otorgar permisos: Inicie sesión en la consola de Volcano Engine, vaya a la página Users, cree una nueva subcuenta y asigne al usuario las políticas del sistema IAMReadOnlyAccess y ECSReadOnlyAccess.

      2. Crear y registrar la clave de acceso: Al crear el usuario, compruebe que Programmatic access esté habilitado. Una vez creado el usuario, registre correctamente el Access Key ID y la Secret Access Key.

    Paso 2: Completar la integración en Security Center

    1. Acceda a la consola de Security Center - System Settings - Feature Settings. En la esquina superior izquierda de la página, seleccione la región de sus activos: Chinese Mainland o Outside Chinese Mainland.

    2. En la pestaña Multi-cloud Configuration Management > Multi-cloud Assets, haga clic en Grant Permission.

    3. En el panel Add Assets Outside Cloud, seleccione un plan de configuración e introduzca las credenciales de acceso obtenidas en el paso anterior en los campos correspondientes, según las indicaciones.

    4. Configurar registros de auditoría (opcional): Si desea usar la función de auditoría de registros de CSPM (CSPM), también debe configurar los ajustes relacionados.

      Nota

      La plataforma de terceros debe proporcionar el servicio Kafka correspondiente. Actualmente, solo Tencent Cloud y AWS admiten la configuración de registros de auditoría.

    Agregar un clúster de K8s autogestionado

    Paso 1: Agregar el clúster

    Este paso crea las cuentas de autenticación y de servicio necesarias en el clúster para que el agente de Security Center se comunique con él de forma segura.

    1. En la página Risk Governance > CSPM, haga clic en Policy Management en la esquina superior derecha. En el panel Policy Management, haga clic en la pestaña Configure Container Cluster y luego en Self-built cluster access.

      Nota

      Si la instancia actual corresponde a la edición Ultimate, también puede ir a Asset Center > Container > Cluster y hacer clic en Self-built cluster access.

    2. En el panel Access Self-built K8s cluster, complete la configuración de acceso de K8s y haga clic en Generate Command.

    3. Inicie sesión en el servidor donde se despliega el clúster, cree un archivo text-001.yaml y copie el comando generado en dicho archivo.

    4. Ejecute el siguiente comando:

      # Apply the access configuration
kubectl apply -f text-001.yaml

    Paso 2: Instalar el componente de comprobación

    Este paso despliega el agente del componente de comprobación en el clúster para ejecutar las tareas de escaneo de configuración.

    1. Regrese a la lista de clústeres en la pestaña Configure Container Cluster y busque el clúster que acaba de agregar. El Component Status del clúster será Not Installed. Haga clic en Component Access.

    2. En el panel Scan Component Access, copie el comando generado. Luego, inicie sesión en el servidor donde se despliega el clúster y copie el comando generado en el archivo deploy.yaml.

    3. Ejecute el siguiente comando:

      # Deploy the check component
kubectl apply -f deploy.yaml

    4. (Opcional) Habilitar Webhook para comprobaciones incrementales: Si desea activar automáticamente comprobaciones incrementales cuando cambien los recursos del clúster (como los pods), habilite la función Webhook.

      Aviso

      Una vez habilitada la función Webhook, solo se admiten comprobaciones incrementales para pods. Si esta función no se configura correctamente o se produce una excepción, la creación de recursos del clúster podría verse afectada.

      1. En el panel Scan Component Access, copie el comando relacionado con Webhook. Después, inicie sesión en el servidor donde se despliega el clúster y copie el comando generado en el archivo webhook.yaml.

      2. Ejecute el siguiente comando para desplegar el componente:

        # Deploy the check component
kubectl apply -f webhook.yaml

    Paso 3: Comprobar la instalación

    1. En el servidor del clúster, ejecute el siguiente comando para comprobar si el pod del agente se está ejecutando.

      Nota

      El resultado esperado es que el estado del pod relacionado con el agente sea Running.

      # Replace <agent-namespace> with the actual namespace where the agent is deployed.
kubectl get pods -n <agent-namespace>

    2. En la lista Configure Container Cluster de la consola de Security Center, compruebe que el Component Status del clúster en la lista sea Online, lo cual indica que el componente está instalado.

    Sincronizar activos

    • Si durante el acceso se configuró la sincronización automática (por ejemplo, si se habilitó la opción Cloud Service Synchronization Frequency para configuraciones multinube), el sistema sincroniza automáticamente los nuevos servicios en la nube o las actualizaciones de configuración de productos.

    • También puede ir manualmente a la pestaña Cloud Product o Configure Container Cluster en la consola de Security Center y hacer clic en Synchronize Assets.

    Facturación

    • Acceso a activos: Agregar activos en la nube a Security Center no tiene costo.

    • Comprobación de configuración: La función de pago CSPM se mide en unidades de autorización. Cada operación exitosa (escaneo, validación o remediación) realizada sobre una instancia de activo consume una unidad de autorización. Para obtener más información, consulte Billing details.

    Cuotas y límites

    • Límites de funciones: La función de auditoría de registros actualmente solo es compatible con Tencent Cloud y AWS.

    • Límites de acceso a K8s:

      • Límites de versión:

        • Servicio subscription: Adquiera el servicio de edición Ultimate o compre por separado el servicio complementario CSPM.

        • Servicio pay-as-you-go: Habilite Host and Container Security o la función pay-as-you-go de CSPM.

      • Límites de región:

        • Si el tipo de red del clúster de K8s autogestionado es VPC, el clúster solo se puede conectar en las regiones China (Hangzhou), China (Beijing), China (Shanghai), China (Shenzhen) y China (Hong Kong).

        • Si el tipo de red del clúster de K8s autogestionado es red pública, no aplican restricciones de región.

    Temas relacionados