Security Center:サーバーレスセキュリティ

ACK Serverless クラスター

1. Container Service for Kubernetes (ACK) コンソールにログインし、対象クラスターの管理ページに移動します。

2. 左側のナビゲーションペインで、ワークロード > ポッド を選択し、YAML のリソースの作成 をクリックします。

3. YAML テンプレートで、spec > template > metadata の下に次のアノテーションを追加します。

   annotations:
     k8s.aliyun.com/eci-aliyundun-enabled: 'true'

   YAML サンプル：

   apiVersion: apps/v1 # 1.8.0 より前のバージョンでは apps/v1beta1 を使用します
   kind: Deployment
   metadata:
     name: nginx-deployment-basic
     labels:
       app: nginx
   spec:
     replicas: 2
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         annotations:
           k8s.aliyun.com/eci-aliyundun-enabled: 'true'
         labels:
           app: nginx
       spec:
       #  nodeSelector:
       #    env: test-team
         containers:
         - name: nginx
           image: nginx:1.7.9 # 実際の  に置き換えてください
           ports:
           - containerPort: 80
           resources:
             limits:
               cpu: "500m"

YAML の代わりにイメージからリソースを作成する場合、上級 セクションで Pod アノテーション k8s.aliyun.com/eci-aliyundun-enabled=true を追加します。詳細については、「イメージからステートレスアプリケーションを作成する」をご参照ください。

マネージドまたは専用 ACK クラスター

1. ACK コンソールにログインし、クラスター管理ページに移動します。[ack-virtual-node] コンポーネントをデプロイして、Pod を ECI にスケジュールします。詳細については、「Pod を ECI にスケジュールする」をご参照ください。

2. 左側のナビゲーションペインで、ワークロード > ポッド を選択し、YAML のリソースの作成 をクリックします。 サンプル YAML：

   • metadata の下に：アノテーション k8s.aliyun.com/eci-aliyundun-enabled: "true" を追加します

   • spec > containers の下に：環境変数 ECI_CONTAINER_TYPE = sidecar を設定します

   apiVersion: v1
   kind: Pod
   metadata:
     name: test-aegis-alinux2-lifsea-x86
     labels:
       eci: "true"
     annotations:
       k8s.aliyun.com/eci-aliyundun-enabled: "true"
   spec:
     containers:
     - name: sidecar
       image: registry-vpc.cn-shanghai.aliyuncs.com/eci_open/centos:7
       command:
       - /bin/sh
       - -c
       args:
       - sleep inf
       env:
       - name: ECI_CONTAINER_TYPE
         value: sidecar
     - name: nginx
       image: registry-vpc.cn-shanghai.aliyuncs.com/eci_open/centos:7
       command:
       - /bin/sh
       - -c
       args:
       - sleep inf

ACS クラスター

1. Container Compute Service コンソールにログインし、対象クラスターの管理ページに移動します。

2. 左側のナビゲーションペインで、ワークロード > デプロイメント を選択し、YAML のリソースの作成 をクリックします。

3. YAML テンプレートで、spec > template > metadata の下に次のアノテーションを追加します。

   annotations:
     security.alibabacloud.com/aliyundun-enabled: 'true'

   YAML サンプル：

   apiVersion: apps/v1 # 1.8.0 より前のバージョンでは apps/v1beta1 を使用します
   kind: Deployment
   metadata:
     name: nginx-deployment-basic
     labels:
       app: nginx
   spec:
     replicas: 2
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
           alibabacloud.com/compute-class: general-purpose
           alibabacloud.com/compute-qos: default
         annotations:
            security.alibabacloud.com/aliyundun-enabled: 'true'
       spec:
       #  nodeSelector:
       #    env: test-team
         containers:
         - name: nginx
           image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6 # 実際の  に置き換えてください
           ports:
           - containerPort: 80
           resources:
             limits:
               cpu: "500m"

イメージからリソースを作成する場合は、上級 セクションで Pod アノテーション security.alibabacloud.com/aliyundun-enabled=true を追加します。 詳細については、「イメージからリソースを作成する」および「ACS Pod の概要」をご参照ください。

無料版または無料トライアルのユーザー

1. Security Center 購入ページに移動し、Alibaba Cloud アカウントでログインします。

2. 購入方法 を従量課金に設定し、Serverless アセット を 従量課金 に設定します。

3. カスタムアタッチ をクリックします。ダイアログボックスで、全量アタッチ または [特定のサーバー] を選択して、承認するアセットを設定します。

   重要

   カスタムバインディングを行わない場合、デフォルトですべての資産が承認され、新しい資産も今後自動的に承認されます。

4. セキュリティセンターの利用規約を読み、今すぐ注文をクリックします。

注文が完了すると、Security Center は [Running] 状態の ECI インスタンスと SAE アプリケーションに自動的に接続し、[Authorization Management] の設定に基づいて承認をアタッチします。

有料版 (ウイルス対策、プレミアム、エンタープライズ、またはアルティメット) のユーザー

1. Security Center コンソールにログインします。

2. 左側のナビゲーションペインで、アセットセンター > コンテナ資産 を選択します。左上隅で、資産が配置されているリージョンとして [中国本土] または [中国本土以外] を選択します。

3. サーバーレスアセット ページで、今すぐ有効にする をクリックします。 または、[概要] ページの右側にある 従量課金サービスの有効化 エリアで Serverless アセット スイッチをオンにします。

4. 「確認」ダイアログボックスで、カスタムアタッチ をクリックして承認するアセットを選択し、OK をクリックします。

   重要

   カスタムバインディングを行わない場合、承認は次のロジックに従います。 - 初めて有効にする場合：すべての資産がデフォルトで承認され、新しい資産も自動的に承認されます。 - 再有効化する場合：以前に承認された資産が再アタッチされます。以前に ECI インスタンスや SAE アプリケーションが承認されていなかった場合は、すべての資産がデフォルトで承認され、新しい資産にも自動的に承認がアタッチされます。 - 支払い期限切れを解消した後：以前に承認された資産が自動的に再アタッチされます。

5. [セキュリティセンターサービスレベルアグリーメント]を選択し、今すぐ有効にするをクリックします。