Security Center:Ajouter des ressources cloud pour les vérifications de configuration

Étape 1 : Créer des identifiants d'accès sur la plateforme cloud tierce

• AWS

  1. Créer un utilisateur IAM et accorder des autorisations : Connectez-vous à la console AWS IAM, créez un nouvel utilisateur IAM et attachez-lui les stratégies système ReadOnlyAccess et IAMReadOnlyAccess.

  2. Créer et enregistrer la clé d'accès : Générez une clé d'accès pour le nouvel utilisateur, puis notez soigneusement l'Access Key ID et la Secret Access Key.

• Huawei Cloud

  1. Créer un groupe d'utilisateurs et accorder des autorisations : Connectez-vous à la console Huawei Cloud, accédez à la page User Group, créez un nouveau groupe d'utilisateurs et attachez-lui les stratégies système Tenant Guest et IAM ReadOnlyAccess.

  2. Créer un utilisateur et enregistrer la clé d'accès : Créez un nouvel utilisateur IAM, ajoutez-le au groupe créé à l'étape précédente, générez une clé d'accès pour cet utilisateur, puis notez soigneusement l'Access Key Id et la Secret Access Key.

• Tencent Cloud

  1. Créer un sous-compte et accorder des autorisations : Connectez-vous à la console Tencent Cloud, accédez à la page User List, créez un nouveau sous-compte et associez-lui les stratégies système CloudResourceReadOnlyAccess et QcloudCamReadOnlyAccess.

  2. Créer et enregistrer la clé API : Sur la page de gestion des API Key des détails du sous-compte, créez une nouvelle clé API, puis notez soigneusement le SecretId et la SecretKey.

• Azure

  1. Enregistrer une application : Connectez-vous au portail Azure, accédez au service App registrations, enregistrez une nouvelle application et notez son Application (client) ID ainsi que son Directory (tenant) ID.

  2. Créer un secret client : Dans l'application nouvellement enregistrée, accédez à la page Certificates & secrets, créez un nouveau secret client et notez soigneusement sa Value.

  3. Attribuer un rôle : Accédez au service Subscriptions, sélectionnez votre abonnement, puis attribuez le rôle Reader à l'application nouvellement enregistrée sur la page Access control (IAM).

• Volcano Engine

  1. Créer un sous-compte et accorder des autorisations : Connectez-vous à la console Volcano Engine, accédez à la page Users, créez un nouveau sous-compte et attachez-lui les stratégies système IAMReadOnlyAccess et ECSReadOnlyAccess.

  2. Créer et enregistrer la clé d'accès : Lors de la création de l'utilisateur, assurez-vous que l'Programmatic access est activé. Une fois l'utilisateur créé, notez soigneusement l'Access Key ID et la Secret Access Key.

Étape 2 : Finaliser l'intégration dans le Security Center

1. Accédez à la console Security Center - System Settings - Feature Settings. Dans le coin supérieur gauche de la page, sélectionnez la région de vos ressources : Chinese Mainland ou Outside Chinese Mainland.

2. Dans l'onglet Multi-cloud Configuration Management > Multi-cloud Assets, cliquez sur Grant Permission.

3. Dans le panneau Add Assets Outside Cloud, sélectionnez un plan de configuration et saisissez les identifiants d'accès obtenus à l'étape précédente dans les champs correspondants, en suivant les instructions affichées.

4. Configurer les journaux d'audit (facultatif) : Si vous souhaitez utiliser la fonctionnalité d'audit des journaux CSPM (CSPM), vous devez également configurer les paramètres associés.

   Remarque

   La plateforme tierce doit fournir le service Kafka correspondant. Actuellement, seules les plateformes Tencent Cloud et AWS prennent en charge la configuration des journaux d'audit.

Étape 1 : Ajouter le cluster

Cette étape crée les comptes de service et d'authentification nécessaires au sein du cluster, permettant à l'agent Security Center de communiquer avec celui-ci de manière sécurisée.

1. Sur la page Risk Governance > CSPM, cliquez sur Policy Management en haut à droite. Dans le panneau Policy Management, cliquez sur l'onglet Configure Container Cluster, puis sur Self-built cluster access.

   Remarque

   Si l'instance actuelle utilise l'édition Ultimate edition, vous pouvez également accéder à Asset Center > Container > Cluster et cliquer sur Self-built cluster access.

2. Dans le panneau Access Self-built K8s cluster, complétez la configuration d'accès K8s, puis cliquez sur Generate Command.

3. Connectez-vous au serveur sur lequel le cluster est déployé, créez un fichier text-001.yaml et copiez-y la commande générée.

4. Exécutez la commande suivante :

   # Apply the access configuration
   kubectl apply -f text-001.yaml

Étape 2 : Installer le composant de vérification

Cette étape déploie l'agent du composant de vérification dans le cluster afin d'exécuter les tâches d'analyse de configuration.

1. Revenez à la liste des clusters dans l'onglet Configure Container Cluster, localisez le cluster que vous venez d'ajouter. Le Component Status du cluster indique Not Installed. Cliquez sur Component Access.

2. Dans le panneau Scan Component Access, copiez la commande générée. Ensuite, connectez-vous au serveur sur lequel le cluster est déployé et copiez la commande générée dans le fichier deploy.yaml.

3. Exécutez la commande suivante :

   # Deploy the check component
   kubectl apply -f deploy.yaml

4. (Facultatif) Activer Webhook pour les vérifications incrémentielles : Si vous souhaitez déclencher automatiquement des vérifications incrémentielles lors de modifications des ressources du cluster (telles que les pods), vous pouvez activer la fonctionnalité Webhook.

   Avertissement

   Une fois la fonctionnalité Webhook activée, seules les vérifications incrémentielles pour les pods sont prises en charge. Si la fonctionnalité Webhook n'est pas correctement configurée ou si une exception se produit, la création des ressources du cluster peut être affectée.

   1. Dans le panneau Scan Component Access, copiez la commande relative à Webhook. Ensuite, connectez-vous au serveur sur lequel le cluster est déployé et copiez la commande générée dans le fichier webhook.yaml.

   2. Exécutez la commande suivante pour déployer le composant :

      # Deploy the check component
      kubectl apply -f webhook.yaml

Étape 3 : Vérifier l'installation

1. Sur le serveur du cluster, exécutez la commande suivante pour vérifier si le pod de l'agent est en cours d'exécution.

   Remarque

   Le résultat attendu est que le statut du pod associé à l'agent soit Running.

   # Replace <agent-namespace> with the actual namespace where the agent is deployed.
   kubectl get pods -n <agent-namespace>

2. Dans la liste Configure Container Cluster de la console Security Center, vérifiez que le Component Status du cluster dans la liste est défini sur Online, ce qui indique que le composant est installé.