Hubungkan Aset Tencent Cloud ke Security Center - Security Center

Setelah Anda memberikan kunci API sub-akun Tencent Cloud ke Alibaba Cloud Security Center, Security Center dapat mengakses API Tencent Cloud untuk mengintegrasikan host Tencent Cloud, produk cloud, dan sumber daya lainnya ke dalam sistem perlindungan keamanannya. Topik ini menjelaskan cara menghubungkan aset Tencent Cloud dengan menyediakan kunci API sub-akun, sehingga memungkinkan manajemen keamanan terpusat lintas penyedia cloud dan mengurangi kompleksitas pengelolaan lingkungan multi-cloud.

Metode konfigurasi

Fitur yang didukung oleh masing-masing metode

Metode konfigurasi	Deskripsi	Fitur yang didukung
Konfigurasi manual	Buat sub-akun di Tencent Cloud, berikan izin yang diperlukan, lalu kirimkan kunci API sub-akun tersebut di Security Center untuk menyelesaikan proses onboarding.	Host assets Cloud Security Posture Management (CSPM) - konfigurasi produk cloud Agentic SOC
Konfigurasi cepat	Setelah Anda mengirimkan kunci API akun root, Security Center secara otomatis membuat sub-akun dan menyelesaikan otorisasi onboarding.	Host assets

Alur kerja konfigurasi

Konfigurasi manual

Konfigurasi cepat

Penting

Langkah-langkah Konsol Tencent Cloud yang dijelaskan dalam topik ini hanya bersifat referensi. Untuk instruksi spesifik, lihat dokumentasi Tencent Cloud yang ditautkan di setiap bagian.

Konfigurasi manual

Langkah 1: Buat sub-akun dan berikan izin

Untuk informasi lebih lanjut, lihat Buat sub-user dan Konfigurasi izin untuk sub-user.

Login ke konsol Tencent Cloud dan buka halaman User List.
Pada halaman User List, klik Create User dan pilih Quick Create.
Pada halaman Quick Create User, konfigurasikan parameter berikut:
- Username: Masukkan nama yang membantu Anda mengidentifikasi dan mengelola akun tersebut.
- Access Mode: Pilih Programmatic Access.

Klik ikon pada kolom User Permissions. Berikan izin yang diperlukan berdasarkan fitur yang ingin Anda gunakan, lalu klik OK.

Host assets:
- QcloudCVMReadOnlyAccess: Memberikan akses read-only ke sumber daya Cloud Virtual Machine (CVM).
- QcloudCamReadOnlyAccess: Memberikan akses read-only ke Cloud Access Management (CAM).

Cloud Security Posture Management - Konfigurasi Produk Cloud:

Saat menggunakan Cloud Security Posture Management, Anda dapat memilih kebijakan preset atau kebijakan kustom untuk otorisasi.

Kebijakan preset

Untuk menggunakan kebijakan preset, berikan izin berikut kepada user yang sedang Anda buat.

CloudResourceReadOnlyAccess: Kebijakan ini memungkinkan akses read-only ke semua layanan cloud dalam akun, kecuali informasi finansial dan beberapa API CAM (seperti properti sub-user, kunci, dan grup pengguna).
QcloudCamReadOnlyAccess: Akses read-only ke Cloud Access Management (CAM).

Kebijakan kustom

Penting

Jika item pemeriksaan baru ditambahkan ke Cloud Security Posture Management di Security Center, Anda harus segera memperbarui kebijakan kustom yang sesuai. Jika tidak, item pemeriksaan baru tersebut tidak dapat terdeteksi. Gunakan kebijakan kustom dengan hati-hati.

Jika Anda memerlukan kontrol detail halus atas izin yang dimiliki Security Center untuk mengakses aset Tencent Cloud Anda, Anda dapat membuat kebijakan kustom. Hal ini memungkinkan Anda membatasi akses secara fleksibel berdasarkan jenis operasi dan cakupan sumber daya, sehingga menjamin keamanan aset sekaligus alokasi izin yang wajar. Ikuti langkah-langkah berikut:

Klik Create Custom Policy untuk membuat kebijakan kustom bernama cspmPolicy. Lalu sambungkan kebijakan ini ke user yang sedang Anda buat. Untuk informasi lebih lanjut, lihat Buat kebijakan kustom menggunakan sintaks kebijakan. Untuk deskripsi rinci elemen dalam konten kebijakan, lihat Referensi elemen.

Konten cspmPolicy

{
	"version": "2.0",
	"statement": [{
			"effect": "allow",
			"action": [
				"cam:DescribeRoleList",
				"cam:DescribeSafeAuthFlagColl",
				"cam:GetPolicy",
				"cam:GetRole",
				"cam:GetRolePermissionBoundary",
				"cam:GetUser",
				"cam:GetUserPermissionBoundary",
				"cam:ListAccessKeys",
				"cam:ListAttachedRolePolicies",
				"cam:ListAttachedUserAllPolicies",
				"cam:ListCollaborators",
				"cam:ListUsers"
			],
			"resource": [
				"*"
			]
		},
		{
			"effect": "allow",
			"action": [
				"cbs:DescribeDiskAssociatedAutoSnapshotPolicy",
				"cbs:DescribeDisks",
				"cdb:DescribeAccountPrivileges",
				"cdb:DescribeAccounts",
				"cdb:DescribeAuditConfig",
				"cdb:DescribeBackupConfig",
				"cdb:DescribeDBFeatures",
				"cdb:DescribeDBInstances",
				"cdb:DescribeDBSecurityGroups"
			],
			"resource": [
				"*"
			]
		},
		{
			"effect": "allow",
			"action": [
				"clb:DescribeLoadBalancers",
				"clb:DescribeTargetHealth",
				"clb:DescribeTargets"
			],
			"resource": [
				"*"
			]
		},
		{
			"effect": "allow",
			"action": [
				"cvm:DescribeInstances"
			],
			"resource": [
				"*"
			]
		},
		{
			"effect": "allow",
			"action": [
				"cwp:DescribeAssetMachineDetail"
			],
			"resource": [
				"*"
			]
		},
		{
			"effect": "allow",
			"action": [
				"dcdb:DescribeDCDBInstances"
			],
			"resource": [
				"*"
			]
		},
		{
			"effect": "allow",
			"action": [
				"es:DescribeInstances"
			],
			"resource": [
				"*"
			]
		},
		{
			"effect": "allow",
			"action": [
				"mariadb:DescribeAccountPrivileges",
				"mariadb:DescribeAccounts",
				"mariadb:DescribeBackupTime",
				"mariadb:DescribeDBInstanceDetail",
				"mariadb:DescribeDBInstances",
				"mariadb:DescribeDBSecurityGroups"
			],
			"resource": [
				"*"
			]
		},
		{
			"effect": "allow",
			"action": [
				"postgres:DescribeBackupPlans",
				"postgres:DescribeDBInstanceSecurityGroups",
				"postgres:DescribeDBInstances"
			],
			"resource": [
				"*"
			]
		},
		{
			"effect": "allow",
			"action": [
				"redis:DescribeAutoBackupConfig",
				"redis:DescribeDBSecurityGroups",
				"redis:DescribeInstanceMonitorTopNCmd",
				"redis:DescribeInstances"
			],
			"resource": [
				"*"
			]
		},
		{
			"effect": "allow",
			"action": [
				"region:DescribeRegions"
			],
			"resource": [
				"*"
			]
		},
		{
			"effect": "allow",
			"action": [
				"ssl:DescribeCertificate",
				"ssl:DescribeCertificates"
			],
			"resource": [
				"*"
			]
		},
		{
			"effect": "allow",
			"action": [
				"tcr:DescribeInstances",
				"tcr:DescribeRepositories"
			],
			"resource": [
				"*"
			]
		},
		{
			"effect": "allow",
			"action": [
				"vpc:DescribeNetworkAcls",
				"vpc:DescribeSecurityGroupPolicies",
				"vpc:DescribeSecurityGroups",
				"vpc:DescribeSubnets"
			],
			"resource": [
				"*"
			]
		},
		{
			"effect": "allow",
			"action": [
				"mysql:DescribeDBInstances"
			],
			"resource": [
				"*"
			]
		}
	]
}

Agentic SOC: Klik Create Custom Policy untuk membuat kebijakan kustom bernama siemPolicy. Lalu sambungkan kebijakan ini ke user yang sedang Anda buat. Untuk informasi lebih lanjut, lihat Buat kebijakan kustom menggunakan sintaks kebijakan.

Konten siemPolicy

{
    "statement": [
        {
            "action": [
                "cfw:DescribeAclApiDispatch",
                "cfw:DescribeBorderACLList",
                "cfw:CreateAcRules"
            ],
            "effect": "allow",
            "resource": [
                "*"
            ]
        },
        {
            "action": [
                "waf:DescribeDomains",
                "waf:DescribeIpAccessControl",
                "waf:DeleteIpAccessControl",
                "waf:UpsertIpAccessControl",
                "waf:PostAttackDownloadTask"
            ],
            "effect": "allow",
            "resource": [
                "*"
            ]
        },
        {
            "action": [
                "ckafka:DescribeDatahubGroupOffsets",
                "ckafka:DescribeGroup",
                "ckafka:DescribeGroupInfo",
                "ckafka:DescribeGroupOffsets",
                "ckafka:CreateDatahubGroup",
                "ckafka:ModifyDatahubGroupOffsets",
                "ckafka:ListConsumerGroup"
            ],
            "effect": "allow",
            "resource": [
                "*"
            ]
        },
        {
            "action": [
                "cam:GetUser",
                "cam:CheckSubAccountName",
                "cam:CheckUserPolicyAttachment",
                "cam:GetAccountSummary",
                "cam:GetPolicy",
                "cam:GetPolicyVersion",
                "cam:ListAllGroupsPolicies",
                "cam:ListAttachedGroupPolicies",
                "cam:ListAttachedRolePolicies",
                "cam:ListAttachedUserAllPolicies",
                "cam:ListAttachedUserPolicies",
                "cam:ListGroupsPolicies",
                "cam:ListPolicies",
                "cam:ListUsers"
            ],
            "effect": "allow",
            "resource": [
                "*"
            ]
        }
    ],
    "version": "2.0"
}

Pada halaman Quick Create User, klik Create User.

Langkah 2: Buat kunci API untuk sub-akun

Untuk informasi lebih lanjut, lihat Kelola kunci akses sub-akun.

Di konsol Tencent Cloud, buka halaman User List dan klik nama sub-akun yang telah Anda buat. Pada halaman User Details, buka tab API Key dan klik Create Key.
Pada kotak dialog Create SecretKey, klik Download CSV File atau Copy untuk menyimpan SecretId dan SecretKey, lalu klik OK.

Langkah 3: Konfigurasi izin fitur dan kirimkan kunci API

Login ke Security Center console.
Di panel navigasi kiri, pilih System Configuration > Feature Settings. Di pojok kiri atas konsol, pilih wilayah tempat aset yang akan dilindungi berada: Chinese Mainland atau Outside Chinese Mainland.
Pada tab Multi-cloud Configuration Management > Multi-cloud Assets, klik Grant Permission dan pilih Tencent Cloud dari daftar drop-down.
Anda juga dapat membuka panel Add Assets Outside Cloud dari salah satu titik masuk berikut:
- Pada halaman Asset Center > Host, arahkan pointer ke area Add Multi-cloud Asset dan klik Tencent Cloud di bawah Add.
- Pada halaman Risk Governance > CSPM, buka tab Cloud Service Configuration Risk, arahkan pointer ke area Multi-cloud Service Integration dan klik Tencent Cloud di bawah Add.
- Pada halaman Agentic SOC > Service Integration, arahkan pointer ke area Multi-cloud Service Access dan klik Tencent Cloud di bawah Grant Permission.
Pada panel Add Assets Outside Cloud, biarkan Manual Configuration dipilih secara default. Pada bagian Permission Description, pilih fitur yang ingin Anda gunakan, lalu klik Next.
- Host: Pilih opsi ini jika Anda ingin Security Center secara otomatis menyinkronkan aset host Tencent Cloud Anda.
- CSPM: Pilih opsi ini jika Anda ingin menggunakan Cloud Security Posture Management untuk memindai konfigurasi produk Tencent Cloud dan mengelola risiko konfigurasi.
- Agentic SOC: Pilih opsi ini jika Anda ingin menggunakan Agentic SOC untuk melakukan tindakan respons, seperti memblokir alamat IP berbahaya, pada aset Tencent Cloud Anda.
Pada halaman wizard Submit AccessKey Pair, masukkan kunci API yang dibuat pada Langkah 2 dan klik Next.
Nama akun digunakan untuk membedakan aset dari akun berbeda di bawah penyedia cloud yang sama. Kami menyarankan Anda menetapkan nama yang bermakna berdasarkan tujuan akun tersebut.
Penting
Jangan menghapus atau menonaktifkan sub-user atau kunci API tersebut. Jika dilakukan, koneksi dapat terputus.

Langkah 4 (Opsional): Konfigurasi log audit

Jika Anda memilih CSPM pada bagian Permission Description dan Anda ingin Security Center mengambil log aktivitas sistem atau log operasi dari Tencent Cloud untuk deteksi yang lebih komprehensif, lengkapi konfigurasi pada halaman wizard Log Audit Settings lalu klik Next. Jika Anda tidak perlu mengambil log audit, klik Skip.

Penting

Data Kafka dan pengumpulan log yang dikonfigurasi untuk log audit digunakan untuk deteksi Cloud Infrastructure Entitlement Management (CIEM) dalam Cloud Security Posture Management. Jika Anda tidak mengonfigurasi log audit, Security Center tidak dapat mendeteksi item pemeriksaan terkait CIEM.

Buka konsol Tencent Cloud Log Service (CLS) dan buat topik log. Untuk informasi lebih lanjut, lihat Manage log topics.
Kami menyarankan Anda memilih wilayah yang sama untuk layanan log dengan produk cloud Anda.
Buka konsol Tencent Cloud Cloud Audit dan konfigurasikan trail untuk mengirimkan log. Untuk informasi lebih lanjut, lihat Use a trail to deliver logs.
Konfigurasi utama saat membuat trail:
- Management Event Type: Pilih All.
- Resource Type: Pilih All resource types.
- Delivery Location: Pilih CLS, konfigurasikan topik log ke topik yang telah Anda buat pada langkah sebelumnya, dan pilih Backfill events for the last 3 months (90 days).
Buat kebijakan kustom bernama ciemPolicy dan sambungkan ke sub-akun yang perlu terhubung ke Security Center.
Konten kebijakan kustom adalah sebagai berikut:
Konten ciemPolicy
```
{
    "statement": [
        {
            "action": [
                "cls:OpenKafkaConsumer"
            ],
            "effect": "allow",
            "resource": [
                "qcs::cls:${CLS_Region_ID}:uin/${Root_Account_ID}:topic/${CLS_Topic_ID}",
                "qcs::cls:${CLS_Region_ID}:uin/${Root_Account_ID}:logset/${CLS_Logset_ID}"
            ]
        }
    ],
    "version": "2.0"
}
```
Buka halaman Basic Information topik log untuk mendapatkan detail dan ganti placeholder dalam kebijakan di atas.
- ${CLS_Topic_ID}: Masukkan Log Topic ID.
- ${CLS_Logset_ID}: Masukkan Logset ID.
- ${CLS_Region_ID}: Masukkan ID wilayah yang sesuai dengan Region.
- ${Root_Account_ID}: Klik gambar profil Anda di pojok kanan atas konsol untuk mendapatkan ID akun root.
Dapatkan nama topik Kafka, titik akhir publik Kafka, dan Logset ID dari topik log untuk terhubung ke Security Center.
- Buka halaman Basic Information topik log untuk mendapatkan Logset ID.
- Buka halaman Kafka Protocol Consumption untuk mendapatkan nama topik Kafka dan titik akhir publik Kafka. Untuk informasi lebih lanjut, lihat Kafka protocol consumption.
Di panel Add Assets Outside Cloud di konsol Security Center, pada wizard Log Audit Settings, masukkan Kafka Topic Name, Kafka Service Address, dan Log Set ID yang diperoleh dari langkah-langkah sebelumnya, lalu klik Next.

Langkah 5: Konfigurasi kebijakan onboarding

Di panel Add Assets Outside Cloud di konsol Security Center, pada wizard Policy Configuration, konfigurasikan wilayah dan frekuensi sinkronisasi data untuk aset Tencent Cloud yang akan di-onboard, lalu klik OK.

Parameter	Deskripsi
Select region	Pilih wilayah tempat aset yang akan di-onboard berada. Security Center menghubungkan data aset ke pusat manajemen data yang sesuai berdasarkan pusat manajemen data yang Anda pilih di pojok kiri atas konsol (China atau Singapore).
Region Management	Jika Anda memilih opsi ini, Security Center secara otomatis menghubungkan data aset dari wilayah baru apa pun di bawah akun Tencent Cloud saat ini ke pusat manajemen data saat ini. Jika Anda tidak memilih opsi ini, wilayah baru tidak akan terhubung ke Security Center.
Host Asset Synchronization Frequency	Pilih interval sinkronisasi aset host Tencent Cloud oleh Security Center secara otomatis. Jika Anda memilih Close, sinkronisasi dinonaktifkan. Catatan Parameter ini wajib diisi ketika Permission Description diatur ke Host.
Cloud Service Synchronization Frequency	Pilih interval sinkronisasi produk Tencent Cloud oleh Security Center secara otomatis. Jika Anda memilih Close, sinkronisasi dinonaktifkan. Catatan Parameter ini wajib diisi ketika Permission Description diatur ke CSPM.
AK Service Status Check	Pilih interval pemeriksaan validitas kunci API akun Tencent Cloud oleh Security Center secara otomatis. Jika Anda memilih Close, pemeriksaan dinonaktifkan.

Klik Synchronize Assets untuk menyinkronkan semua aset dari akun Tencent Cloud Anda ke Security Center.

Konfigurasi cepat (hanya untuk host assets)

Langkah 1: Buat kunci API untuk akun root

Untuk informasi lebih lanjut, lihat Kelola kunci akses akun root.

Login ke konsol Tencent Cloud dan buka halaman API Key Management. Pada halaman API Key Management, klik Create Key Pair.
Pada kotak dialog Create SecretKey, klik Download CSV File atau Copy untuk menyimpan SecretId dan SecretKey, lalu klik OK.

Langkah 2: Kirimkan kunci API akun root

Login ke Security Center console.
Di panel navigasi kiri, pilih System Configuration > Feature Settings. Di pojok kiri atas konsol, pilih wilayah tempat aset yang akan dilindungi berada: Chinese Mainland atau Outside Chinese Mainland.
Pada tab Multi-cloud Configuration Management > Multi-cloud Assets, klik Grant Permission dan pilih Tencent Cloud dari daftar drop-down.
Anda juga dapat membuka panel Add Assets Outside Cloud dari salah satu titik masuk berikut:
- Pada halaman Asset Center > Host, arahkan pointer ke area Add Multi-cloud Asset dan klik Tencent Cloud di bawah Add.
- Pada halaman Risk Governance > CSPM, buka tab Cloud Service Configuration Risk, arahkan pointer ke area Multi-cloud Service Integration dan klik Tencent Cloud di bawah Add.
- Pada halaman Agentic SOC > Service Integration, arahkan pointer ke area Multi-cloud Service Access dan klik Tencent Cloud di bawah Grant Permission.
Di panel Add Assets Outside Cloud, pilih Quick Configuration, lalu klik Next.
Pada halaman wizard Submit AccessKey Pair, masukkan kunci API akun dan nama akun, lalu klik Next.
Nama akun digunakan untuk membedakan aset dari akun berbeda di bawah penyedia cloud yang sama. Kami menyarankan Anda menetapkan nama yang bermakna berdasarkan tujuan akun tersebut.

Penting

Setelah menyelesaikan langkah-langkah di atas, Security Center secara otomatis membuat sub-user dengan awalan AlibabaSasSubAccount_ di konsol Tencent Cloud. Sub-user ini digunakan untuk mengotorisasi koneksi ke Security Center. Kami menyarankan Anda tidak menghapus atau menonaktifkan sub-user ini atau kunci API-nya, karena tindakan tersebut dapat mengganggu koneksi aset Tencent Cloud Anda.

Langkah 3: Konfigurasi kebijakan onboarding

Parameter	Deskripsi
Select region	Pilih wilayah tempat aset yang akan di-onboard berada. Security Center menghubungkan data aset ke pusat manajemen data yang sesuai berdasarkan pusat manajemen data yang Anda pilih di pojok kiri atas konsol (Chinese Mainland atau Outside Chinese Mainland).
Region Management	Jika Anda memilih opsi ini, Security Center secara otomatis menghubungkan data aset dari wilayah baru apa pun di bawah akun Tencent Cloud saat ini ke pusat manajemen data saat ini. Jika Anda tidak memilih opsi ini, wilayah baru tidak akan terhubung ke Security Center.
Host Asset Synchronization Frequency	Pilih interval sinkronisasi aset host Tencent Cloud oleh Security Center secara otomatis. Jika Anda memilih Close, sinkronisasi dinonaktifkan.
AK Service Status Check	Pilih interval pemeriksaan validitas kunci API sub-akun Tencent Cloud oleh Security Center secara otomatis. Jika Anda memilih Close, pemeriksaan dinonaktifkan.

Klik Synchronize Assets untuk menyinkronkan semua aset dari akun Tencent Cloud Anda ke Security Center.

Langkah 4: Hapus kunci API akun root

Setelah koneksi selesai, demi keamanan akun root, kami menyarankan Anda menghapus kunci API akun root yang digunakan untuk otorisasi di konsol Tencent Cloud. Security Center menggunakan sub-akun yang dibuat secara otomatis untuk otorisasi, sehingga menghapus kunci API akun root tidak memengaruhi penggunaan fitur Security Center Anda. Untuk informasi lebih lanjut, lihat Hapus kunci API akun root console.cloud.tencent.com/cam/capi" id="32285a1cb8j0l" props="china" data-init-id="dc7d5c100dzuo">API Key Management API Key Management dan klik Disable pada kolom Actions untuk kunci API yang telah Anda kirimkan di Security Center.

Pada kotak dialog konfirmasi, klik Disable.

Pada halaman API Key Management, klik Delete pada kolom Actions untuk kunci API guna menyelesaikan penghapusan.

Verifikasi koneksi

Host assets

Di konsol Security Center, buka halaman Asset Center > Host. Di bagian koneksi aset multi-cloud, klik ikon untuk melihat host Tencent Cloud yang terhubung. Untuk informasi lebih lanjut, lihat Server assets.

CSPM

Di konsol Security Center, buka halaman Asset Center > Overview > Cloud Product untuk melihat daftar produk Tencent Cloud yang terhubung melalui kunci API. Untuk informasi lebih lanjut, lihat View cloud service information.

Agentic SOC

Di konsol Security Center, buka halaman System Configuration > Feature Settings dan buka tab Multi-cloud Configuration Management. Periksa status layanan Agentic SOC. Jika status layanan Normal, koneksi berhasil.

Klik tab Multi-cloud Assets, perluas baris akun cloud target, temukan baris Threat Analysis - Read permissions for all cloud services and partial write permissions pada sub-tabel detail izin, dan pastikan status layanannya Normal.

Langkah selanjutnya

Host assets

Instal agen Security Center pada host Tencent Cloud Anda. Untuk informasi lebih lanjut, lihat Install the agent.
Penting
Saat membuat perintah instalasi, atur Service Provider ke Tencent Cloud.
Free Edition hanya menyediakan kemampuan deteksi dasar dan tidak menawarkan perlindungan keamanan. Anda dapat mengikat edisi berbayar (Anti-virus, Advanced, Enterprise, atau Ultimate) ke server Tencent Cloud yang terhubung untuk menggunakan fitur perlindungan keamanan Security Center. Untuk informasi lebih lanjut, lihat Configure protection editions or levels.

CSPM

Atur dan jalankan kebijakan pemeriksaan risiko konfigurasi platform cloud untuk memeriksa apakah terdapat risiko konfigurasi pada produk Tencent Cloud Anda.
Lihat dan tangani item pemeriksaan risiko konfigurasi platform cloud yang gagal.

Agentic SOC

Untuk menggunakan kemampuan deteksi ancaman dan respons event keamanan yang disediakan oleh Agentic SOC, Anda harus menghubungkan log dari Tencent Cloud Web Application Firewall dan Cloud Firewall. Ikuti langkah-langkah berikut untuk menghubungkan log:

Hubungkan log Tencent Cloud ke Agentic SOC.
Gunakan fitur Agentic SOC untuk deteksi ancaman dan respons event keamanan.

Dokumentasi terkait

Untuk informasi lebih lanjut tentang Cloud Security Posture Management, lihat CSPM overview.
Untuk informasi lebih lanjut tentang Agentic SOC, lihat Agentic SOC (formerly CTDR).