Security Center:Tambahkan aset cloud untuk pemeriksaan konfigurasi

Langkah 1: Buat kredensial akses di platform cloud pihak ketiga

• AWS

  1. Buat pengguna IAM dan berikan izin: Login ke Konsol AWS IAM, buat pengguna IAM baru, lalu lampirkan kebijakan sistem ReadOnlyAccess dan IAMReadOnlyAccess ke pengguna tersebut.

  2. Buat dan catat kunci akses: Hasilkan kunci akses untuk pengguna baru tersebut, lalu catat dengan baik Access Key ID dan Secret Access Key.

• Huawei Cloud

  1. Buat grup pengguna dan berikan izin: Login ke konsol Huawei Cloud, buka halaman User Group, buat grup pengguna baru, lalu lampirkan kebijakan sistem Tenant Guest dan IAM ReadOnlyAccess ke grup pengguna tersebut.

  2. Buat pengguna dan catat kunci akses: Buat pengguna IAM baru, tambahkan pengguna tersebut ke grup pengguna yang dibuat pada langkah sebelumnya, buat kunci akses untuk pengguna tersebut, lalu catat dengan baik Access Key Id dan Secret Access Key.

• Tencent Cloud

  1. Buat sub-akun dan berikan izin: Login ke konsol Tencent Cloud, buka halaman User List, buat sub-akun baru, lalu kaitkan kebijakan sistem CloudResourceReadOnlyAccess dan QcloudCamReadOnlyAccess dengan sub-akun tersebut.

  2. Buat dan catat Kunci API: Pada halaman manajemen API Key di detail sub-akun, buat Kunci API baru, lalu catat dengan baik SecretId dan SecretKey.

• Azure

  1. Daftarkan aplikasi: Login ke Portal Azure, buka layanan App registrations, daftarkan aplikasi baru, lalu catat Application (client) ID dan Directory (tenant) ID-nya.

  2. Buat rahasia klien: Di aplikasi yang baru didaftarkan, buka halaman Certificates & secrets, buat rahasia klien baru, lalu catat dengan baik Value-nya.

  3. Tetapkan role: Buka layanan Subscriptions, pilih langganan Anda, lalu tetapkan role Reader ke aplikasi yang baru didaftarkan pada halaman Access control (IAM).

• Volcano Engine

  1. Buat sub-akun dan berikan izin: Login ke konsol Volcano Engine, buka halaman Users, buat sub-akun baru, lalu lampirkan kebijakan sistem IAMReadOnlyAccess dan ECSReadOnlyAccess ke pengguna tersebut.

  2. Buat dan catat kunci akses: Saat membuat pengguna, pastikan bahwa Programmatic access diaktifkan. Setelah pengguna dibuat, catat dengan baik Access Key ID dan Secret Access Key.

Langkah 2: Selesaikan integrasi di Security Center

1. Akses Konsol Security Center - System Settings - Feature Settings. Di pojok kiri atas halaman, pilih wilayah aset Anda: Chinese Mainland atau Outside Chinese Mainland.

2. Pada tab Multi-cloud Configuration Management > Multi-cloud Assets, klik Grant Permission.

3. Di panel Add Assets Outside Cloud, pilih rencana konfigurasi dan masukkan kredensial akses yang diperoleh pada langkah sebelumnya ke bidang input yang sesuai berdasarkan petunjuk.

4. Konfigurasikan log audit (opsional): Jika Anda ingin menggunakan fitur auditing log Cloud Platform Configuration Check (CSPM), Anda juga perlu mengonfigurasi pengaturan terkait.

   Catatan

   Platform pihak ketiga harus menyediakan layanan Kafka yang sesuai. Saat ini, hanya Tencent Cloud dan AWS yang mendukung konfigurasi log audit.

Langkah 1: Tambahkan kluster

Langkah ini membuat akun autentikasi dan akun layanan yang diperlukan di kluster agar agen Security Center dapat berkomunikasi secara aman dengan kluster.

1. Pada halaman Risk Governance > CSPM, klik Policy Management di pojok kanan atas. Di panel Policy Management, klik tab Configure Container Cluster, lalu klik Self-built cluster access.

   Catatan

   Jika instans saat ini adalah Edisi Ultimate, Anda juga dapat membuka Asset Center > Container > Cluster lalu klik Self-built cluster access.

2. Di panel Access Self-built K8s cluster, lengkapi konfigurasi akses K8s, lalu klik Generate Command.

3. Login ke server tempat kluster dideploy, buat file text-001.yaml, lalu salin perintah yang dihasilkan ke dalam file tersebut.

4. Jalankan perintah berikut:

   # Terapkan konfigurasi akses
   kubectl apply -f text-001.yaml

Langkah 2: Instal komponen pemeriksaan

Langkah ini men-deploy agen komponen pemeriksaan di kluster untuk menjalankan tugas pemindaian konfigurasi.

1. Kembali ke daftar kluster pada tab Configure Container Cluster, temukan kluster yang baru saja Anda tambahkan. Component Status kluster tersebut adalah Not Installed. Klik Component Access.

2. Di panel Scan Component Access, salin perintah yang dihasilkan. Kemudian, login ke server tempat kluster dideploy, lalu salin perintah yang dihasilkan ke dalam file deploy.yaml.

3. Jalankan perintah berikut:

   # Deploy komponen pemeriksaan
   kubectl apply -f deploy.yaml

4. (Opsional) Aktifkan Webhook untuk pemeriksaan inkremental: Jika Anda ingin secara otomatis memicu pemeriksaan inkremental saat sumber daya kluster (seperti pod) berubah, Anda dapat mengaktifkan fitur Webhook.

   Peringatan

   Setelah fitur Webhook diaktifkan, hanya pemeriksaan inkremental untuk pod yang didukung. Jika fitur Webhook tidak dikonfigurasi dengan benar atau terjadi pengecualian, pembuatan sumber daya kluster mungkin terpengaruh.

   1. Di panel Scan Component Access, salin perintah terkait Webhook. Kemudian, login ke server tempat kluster dideploy, lalu salin perintah yang dihasilkan ke dalam file webhook.yaml.

   2. Jalankan perintah berikut untuk men-deploy komponen:

      # Deploy komponen pemeriksaan
      kubectl apply -f webhook.yaml

Langkah 3: Verifikasi instalasi

1. Di server kluster, jalankan perintah berikut untuk memeriksa apakah pod agen sedang berjalan.

   Catatan

   Hasil yang diharapkan adalah status pod terkait agen adalah Running.

   # Ganti <agent-namespace> dengan namespace aktual tempat agen dideploy.
   kubectl get pods -n <agent-namespace>

2. Di daftar Configure Container Cluster di konsol Security Center, pastikan Component Status kluster dalam daftar kluster adalah Online, yang menunjukkan bahwa komponen telah terinstal.