Security Center:Onboard AWS assets via access key

Étape 1 : Créer les identifiants du compte racine dans AWS

1. Connectez-vous à la console de gestion AWS

   Connectez-vous à la console AWS IAM . Sur le tableau de bord, cliquez sur My security credentials.

   Important

   Seul le compte racine peut configurer les identifiants de sécurité.

2. Créez une clé d'accès

   Sur la page My security credentials, effectuez la configuration comme décrit ci-dessous, puis cliquez sur Create access key.

   • Use case : sélectionnez un cas d'utilisation en fonction de votre scénario métier. Si aucun ne convient, sélectionnez Other.

   • Set description tag (facultatif) : jusqu'à 256 caractères. Les caractères autorisés incluent les lettres, les chiffres, les espaces UTF-8 et les caractères spéciaux suivants : _ . : / = + - @.

3. Enregistrez la clé d'accès

   Après la création, accédez à la page Retrieve access keys pour afficher et enregistrer l'Access key ID et la Secret access key.

   Remarque

   Vous pouvez cliquer sur Download .csv file pour enregistrer la clé d'accès sur votre appareil local.

Étape 2 : Finaliser l'intégration dans Security Center

1. Accédez à la page d'autorisation :

   Vous pouvez démarrer le processus d'intégration des ressources AWS via l'un des chemins suivants :

   • Chemin recommandé :

     1. Connectez-vous à la console Security Center.

     2. Dans le volet de navigation de gauche, choisissez System Configuration > Feature Settings. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouve la ressource à protéger : Chinese Mainland ou Outside Chinese Mainland.

     3. Sur l'onglet Multi-cloud Configuration Management > Multi-cloud Assets, cliquez sur Grant Permission, puis sélectionnez AWS.

   • Autres points d'entrée :

     Sur les pages suivantes, dans la section Multi-cloud Service Access ou Add Multi-cloud Asset, recherchez et cliquez sur le bouton Onboard ou Authorize situé sous l'icône :

     • Asset Center > Host

     • Risk Governance > CSPM > Cloud Service Configuration Risk

     • Agentic SOC > Service Integration

     • Protection Configuration > Host Protection > Agentless Detection

2. Configurez les identifiants d'accès :

   1. Dans le panneau Add Assets Outside Cloud, sélectionnez Quick Configuration, choisissez les fonctionnalités que vous souhaitez intégrer, puis cliquez sur Next.

   2. Sur la page Submit AccessKey Pair, saisissez avec précision les informations d'identification que vous avez créées dans AWS.

      • Enter Master Account Secret ID et SecretKey : saisissez les identifiants de la clé d'accès du compte racine (Access key ID et Secret access key) créés à l'étape Étape 1 : Créer les identifiants du compte racine dans AWS.

      • Region to Obtain Cloud Service Information : sélectionnez la région AWS disponible. Le système vérifiera l'accessibilité des ressources dans la région sélectionnée.

      • Domain : configurez en fonction de la région d'intégration sélectionnée. Pour AWS China, sélectionnez « China Edition » ; pour toutes les autres, sélectionnez « International Edition ».

   3. Une fois les informations saisies, cliquez sur Next. Le système vérifiera automatiquement les identifiants et les autorisations.

   Si la vérification échoue, consultez la rubrique Intégration des ressources AWS

3. Configurez la politique de synchronisation :

   • Select region : sélectionnez la région AWS où se trouvent les ressources que vous souhaitez intégrer.

     Remarque

     Les données des ressources synchronisées seront attribuées au centre de données correspondant à la région sélectionnée dans le coin supérieur gauche de la console Security Center.

     • Chinese Mainland : centre de données de Chine continentale.

     • Outside Chinese Mainland : centre de données de Singapour.

   • Region Management : Recommandé. Une fois sélectionné, les ressources des nouvelles régions sous ce compte AWS seront automatiquement synchronisées sans configuration manuelle.

   • Host Asset Synchronization Frequency : définissez l'intervalle de synchronisation pour les ressources hôtes AWS (EC2). Si vous n'avez pas besoin de synchronisation, définissez-le sur « Off ».

   • AK Service Status Check : définissez l'intervalle auquel Security Center vérifie automatiquement la validité de la clé API du compte AWS. Vous pouvez sélectionner « Off » pour désactiver la détection.

4. Une fois la configuration terminée, cliquez sur Synchronize Assets. Le système synchronisera automatiquement les ressources hôtes du compte AWS vers Security Center.

   Important

   Après avoir effectué les opérations ci-dessus, Security Center créera automatiquement un sous-utilisateur dans AWS avec le préfixe AlibabaSasSubAccount_ pour autoriser la connexion. Ne supprimez ni ne désactivez le compte de sous-utilisateur créé automatiquement ou sa clé API ; sinon, l'intégration des ressources et la surveillance de la sécurité seront interrompues.

Étape 3 : Supprimer la clé d'accès du compte racine AWS

Une fois vos ressources intégrées avec succès, supprimez immédiatement la clé d'accès du compte racine utilisée pour l'autorisation initiale afin de réduire les risques de sécurité.

1. Connectez-vous à la console AWS IAM en tant que compte racine, et sur le tableau de bord, cliquez sur My security credentials.

2. Dans la section AccessKey Pair, localisez la clé d'accès utilisée pour cette autorisation, puis cliquez sur Delete sous Actions pour confirmer la suppression.

Étape 1 : Créer les identifiants d'autorisation du sous-compte dans AWS

Créez un sous-utilisateur IAM avec les autorisations minimales requises pour l'intégration à Security Center, et obtenez sa clé d'accès.

1. Connectez-vous à la console de gestion AWS

   Connectez-vous à la console AWS IAM . Dans le volet de navigation de gauche, cliquez sur Users. Sur la page Users, cliquez sur Create user.

2. Configurez les détails de l'utilisateur

   • User name : saisissez un nom personnalisé facile à identifier (par exemple, aliyun-security-center-user).

   • Provide user access to the AWS Management Console : ne sélectionnez pas. Cet utilisateur est destiné uniquement à l'accès API.

3. Définissez les autorisations de l'utilisateur

   • Sélectionnez Attach policies directly.

   • En fonction des fonctionnalités que vous prévoyez d'utiliser dans Security Center, sélectionnez les politiques d'autorisation correspondantes.

     Fonctionnalité	Politique AWS	Notes
     Host	AmazonEC2ReadOnlyAccessIAMReadOnlyAccess	Aucune
     CSPM (CSPM)	ReadOnlyAccess IAMReadOnlyAccess	Si vous avez besoin d'une détection complète des risques basée sur l'audit des journaux, consultez la rubrique Configuration des journaux d'audit des services AWS pour CSPM pour configurer les journaux d'audit des services pertinents dans AWS.
     Agentless Detection	Vous devez créer manuellement une politique personnalisée.	Vous devez établir un pipeline de livraison des journaux dans AWS composé de CloudTrail, S3 et SQS. Pour les étapes spécifiques, consultez la rubrique Création d'une politique personnalisée pour Agentless Detection.

     Dans Permission options, sélectionnez Attach policies directly, saisissez le nom de la politique dans la zone de recherche pour filtrer, sélectionnez la politique cible, puis cliquez sur Next.

4. Vérifiez et créez

   Après avoir confirmé que les informations de l'utilisateur et les politiques d'autorisation sont correctes, cliquez sur Create user.

5. Créez et enregistrez les clés API

   1. Une fois l'utilisateur créé avec succès, revenez à la liste Users et cliquez sur le nom de l'utilisateur nouvellement créé pour accéder à sa page de détails.

   2. Dans la section Summary, cliquez sur Create access key et effectuez la configuration de la clé comme décrit ci-dessous.

      1. Use case : sélectionnez un cas d'utilisation en fonction de votre scénario métier. Si aucun ne convient, sélectionnez Others.

      2. Description tag : laissez vide ou personnalisez un libellé (par exemple, for-aliyun-sasc).

   3. Cliquez sur Create access key pour accéder à la page Retrieve access keys, puis affichez et enregistrez l'Access key ID et la Secret access key.

   La clé d'accès secrète n'est affichée qu'une seule fois lors de la création et ne peut pas être récupérée en cas de perte. Cliquez sur Download .csv file pour enregistrer les informations de la clé, puis cliquez sur Done.

Étape 2 : Finaliser la configuration d'intégration dans Security Center

Après avoir créé avec succès la clé API du sous-utilisateur pour l'autorisation dans AWS, revenez à la console Security Center pour finaliser la configuration d'intégration.

1. Accédez à la page d'autorisation

   Remarque

   Pour plus de points d'entrée, consultez la rubrique autres points d'entrée.

   1. Connectez-vous à la console Security Center.

   2. Dans le volet de navigation de gauche, choisissez System Configuration > Feature Settings. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouve la ressource à protéger : Chinese Mainland ou Outside Chinese Mainland.

   3. Sur l'onglet Multi-cloud Configuration Management > Multi-cloud Assets, cliquez sur Grant Permission, puis sélectionnez AWS.

2. Configurez les identifiants d'accès

   1. Dans le panneau Add Assets Outside Cloud, sélectionnez Manual Configuration, choisissez les fonctionnalités que vous souhaitez intégrer, puis cliquez sur Next.

      • Host : permet à Security Center de découvrir et de synchroniser automatiquement vos ressources hôtes AWS EC2.

      • CSPM : utilisez Cloud Security Posture Management pour analyser les configurations des produits cloud AWS afin de gérer les risques de configuration.

      • Agentless Detection : utilisez la détection sans agent pour analyser les ressources AWS à la recherche de vulnérabilités et de risques.

   2. Sur la page Submit AccessKey Pair, saisissez avec précision les informations d'identification que vous avez créées dans AWS.

      • Sub-account SecretID et Sub-account SecretKey : saisissez les identifiants de l'étape Étape 1 : Créer les identifiants d'autorisation du sous-compte dans AWS.

      • Region to Obtain Cloud Service Information : sélectionnez la région AWS disponible. Le système vérifiera l'accessibilité des ressources dans la région sélectionnée.

      • Domain : configurez en fonction de la région d'intégration sélectionnée. Pour AWS China, sélectionnez « China Edition » ; pour toutes les autres, sélectionnez « International Edition ».

   3. Une fois les informations saisies, cliquez sur Next. Le système vérifiera automatiquement les identifiants et les autorisations.

   Si la vérification échoue, consultez la rubrique Intégration des ressources AWS

3. Configurez les journaux d'audit (facultatif)

   Si vous devez utiliser la fonctionnalité d'audit des journaux de CSPM (CSPM), configurez-la ici. Sinon, cliquez sur Skip.

   Important

   Commencez par effectuer toutes les configurations dans la console AWS comme décrit dans la rubrique Que faire si la vérification automatique des identifiants et des autorisations échoue après la saisie de la clé d'accès ?.

   • AWS Region : saisissez l'ID de la région où se trouve la file d'attente AWS. Pour consulter les ID de région, reportez-vous à la rubrique ID de région AWS.

   • SQS Queue Name : saisissez le nom de la file d'attente SQS que vous avez créée.

4. Configurez la politique de synchronisation

   Sur la page Policy Configuration, configurez les paramètres selon vos besoins :

   • Select region : sélectionnez la région AWS où se trouvent les ressources que vous souhaitez intégrer.

     Remarque

     Les données des ressources sont automatiquement attribuées au centre de données correspondant à la région sélectionnée dans le coin supérieur gauche de la console Security Center.

     • Chinese Mainland : centre de données de Chine continentale.

     • Outside Chinese Mainland : centre de données de Singapour.

   • Region Management : Recommandé. Une fois sélectionné, les ressources des nouvelles régions sous ce compte AWS seront automatiquement synchronisées sans configuration manuelle.

   • Host Asset Synchronization Frequency : définissez l'intervalle de synchronisation pour les ressources hôtes AWS (EC2). Si vous n'avez pas besoin de synchronisation, définissez-le sur « Off ».

     Remarque

     Ce paramètre doit être configuré uniquement lorsque la fonctionnalité intégrée inclut Host.

   • Cloud Service Synchronization Frequency : définissez l'intervalle de synchronisation pour les configurations des produits cloud AWS. Si vous n'avez pas besoin de synchronisation, définissez-le sur « Off ».

     Remarque

     Ce paramètre doit être configuré uniquement lorsque la fonctionnalité intégrée inclut CSPM.

   • AK Service Status Check : définissez l'intervalle auquel Security Center vérifie automatiquement la validité de la clé API du compte AWS. Vous pouvez sélectionner « Off » pour désactiver la détection.

5. Une fois la configuration terminée, cliquez sur Synchronize Assets. Le système synchronisera automatiquement les données du compte AWS vers Security Center.

Hôte

Accédez à la page Asset Center > Host. Dans la section Add Multi-cloud Asset, cliquez sur l'icône pour afficher les hôtes AWS intégrés. Suivez les étapes ci-dessous pour assurer une protection et une gestion approfondies des hôtes AWS EC2 intégrés.

1. Installer le client : installez le client Security Center sur vos hôtes AWS. Lors de l'exécution de la commande d'installation, sélectionnez AWS pour le champ Service Provider. Pour plus de détails, consultez la rubrique Installer l'agent.

2. Mettre à niveau votre édition pour la protection : l'édition gratuite par défaut offre uniquement une détection de sécurité de base. Pour bénéficier de fonctionnalités de sécurité complètes (telles que l'antivirus, la correction des vulnérabilités et la prévention des intrusions), associez une édition payante (édition Antivirus ou supérieure) à vos hôtes AWS. Pour plus de détails, consultez la rubrique Configurer les éditions ou niveaux de protection.

Cloud Security Posture Management (CSPM)

Dans la console Security Center, accédez à la page Asset Center > Overview > Cloud Product. Dans le volet de navigation de gauche All Alibaba Cloud Services, cliquez sur AWS pour afficher vos ressources AWS intégrées. Les fonctionnalités CSPM suivantes sont disponibles pour les ressources AWS intégrées :

1. Exécuter des vérifications des risques de configuration : vérifiez les risques de configuration dans vos produits AWS. Pour plus de détails, consultez la rubrique Configurer et exécuter des politiques de vérification des risques de configuration de la plateforme cloud.

2. Traiter les éléments à risque : en fonction des résultats de la vérification, affichez et corrigez les éléments ayant échoué aux contrôles de risque afin d'améliorer la conformité et la sécurité de vos ressources cloud. Pour plus de détails, consultez la rubrique Afficher et traiter les éléments ayant échoué aux vérifications des risques de configuration de la plateforme cloud.

Détection sans agent

Dans la console Security Center, accédez à la page Protection Configuration > Host Protection > Agentless Detection. Dans la section Add Multi-cloud Asset, cliquez sur l'icône pour afficher le nombre de ressources AWS intégrées. Après l'intégration, vous pouvez utiliser la détection sans agent pour analyser les hôtes AWS à la recherche de vulnérabilités, de lignes de base, etc.