Security Center:マルチアカウントでのセキュリティ管理

セキュリティ設定とリスク管理の一元化

• セキュリティ保護設定とセキュリティリスクの一元管理

メンバーアカウントのデータと設定はそれぞれ独立しています。Security Center の委任された管理者アカウントを使用して、複数のメンバーアカウントのセキュリティ保護設定を一元管理し、セキュリティリスクに対処し、セキュリティ強化を実行できます。これにより、セキュリティ運用の効率が向上し、複数アカウントにまたがるセキュリティ管理の課題を解決します。

• アカウントをまたいだログの取り込み、保存、脅威分析

Security Center の Agentic SOC 機能を使用して、メンバーアカウントから委任された管理者アカウントにデータを取り込み、一元的に保存・分析します。これにより、アカウントをまたいだセキュリティリスクを特定し、セキュリティイベントの全体像を把握できます。

複数アカウント間でのクォータ共有による請求の一元化

委任された管理者は、複数の Security Center 機能のクォータを一元的に購入し、対応する機能のクォータをメンバーアカウントに割り当てることができます。メンバーアカウントは、別途購入することなく、割り当てられたクォータを使用できます。これにより、企業は Security Center のセキュリティ機能を一元的に購入でき、社内のコスト計算が簡素化されます。

• メンバーアカウントが既に Security Center インスタンスを購入している場合、クォータ管理を通じてクォータを割り当てることはできません。クォータを割り当てるには、メンバーアカウントがまずサブスクリプションインスタンスを解約し、従量課金インスタンスを無効にする必要があります。

• 企業内のメンバーアカウントのすべてのクラウド製品コストを一元的に支払うには、財務信託機能を使用します。詳細については、「概要」をご参照ください。

• セキュリティ上の理由から、管理アカウントではなく、Security Center の委任された管理者アカウントを使用してクォータを購入してください。

クォータ割り当ての制限

委任された管理者アカウントのみが、その管理範囲内のメンバーアカウントに Security Center のサブスクリプションクォータを割り当てることができます。クォータは、Security Center のサブスクリプションインスタンスを購入しておらず、エージェントレス検出とサーバーレスセキュリティ以外の従量課金サービスを有効にしていないメンバーアカウントにのみ割り当てることができます。次の表に、クォータ割り当てをサポートする機能を示します。

クォータの表示と購入

1. 委任された管理者アカウントを使用して Security Center コンソールにログインします。Security Center コンソールにログインします。

2. 概要 ページの サービスのサブスクリプション セクションで、Security Center インスタンスのサブスクリプションクォータを表示します。

   このセクションには、購入したすべての機能とクォータが表示されます。たとえば、ランサムウェア対策 の右側に表示される サービスのサブスクリプション では、150 は現在の Alibaba Cloud アカウントで購入したランサムウェア対策容量の合計クォータ (150 GB)、132.9 は使用済みの容量 (中国本土内外のリージョンを含む) を示します。

   残りのランサムウェア対策容量が 20% を下回ると、対応する行に、残りの容量を示すプロンプトが表示され、[Expand] をクリックして容量を追加購入するよう促されます。

3. クォータを追加購入するには、今すぐ購入 または アップグレード をクリックして購入を完了します。

詳細については、「Security Center の購入」および「アップグレードとダウングレード」をご参照ください。

クォータの割り当て

マルチアカウントでのクォータ割り当て管理機能はベータテスト中です。この機能を使用するには、テクニカルサポートにお問い合わせください。

1. 委任された管理者アカウントを使用して Security Center コンソールにログインします。Security Center コンソールにログインします。

2. システム設定 > マルチアカウントのセキュリティ管理 ページの Configure タブで、監視アカウントの合計数 セクションの 権限付与 をクリックして、複数アカウント認証管理 ページに移動します。

3. 複数アカウント認証管理 ページで、編集 をクリックします。

4. 管理アカウントの追加 をクリックします。管理アカウントの追加 ダイアログボックスで、クォータを割り当てるメンバーアカウントを選択し、OK をクリックします。

   • クォータは、現在の委任された管理者の管理範囲内のメンバーアカウントにのみ割り当てることができます。管理されていないメンバーアカウントや、他の委任された管理者が管理するメンバーアカウントにはクォータを割り当てることはできません。

   • Security Center のサブスクリプションインスタンスを購入しておらず、エージェントレス検出とサーバーレスセキュリティ以外の従量課金サービスを有効にしていないメンバーアカウントのみを選択できます。

5. 権限割り当て管理 セクションで、メンバーアカウントにクォータを割り当てます。

   ライセンス購入済み セクションで、現在のアカウントで購入した機能とクォータを表示します。

   権限割り当て管理 セクションの最初のアカウントは、現在のアカウントの割り当て可能な残りのクォータを示します。この行は編集できず、割り当てられていないクォータは自動的に現在のアカウントに割り当てられます。機能クォータをメンバーアカウントに割り当てる場合、合計割り当て量は、その列の最初の行に初期表示されている値を超えてはなりません。メンバーアカウントにクォータを割り当てると、最初の行の値が減少します。

6. 保存 をクリックします。

サーバークォータをメンバーアカウントに割り当てた後、システムは割り当てられたクォータをメンバーアカウント内のサーバーにランダムに自動でバインドし、クォータの使用率を最大化します。後で割り当てられた追加のクォータは自動的にバインドされません。メンバーアカウントに切り替えて、追加のクォータを手動でバインドする必要があります。詳細については、「保護エディションまたはレベルを設定する」をご参照ください。

リスク概要の表示

• メンバーアカウントのリスク情報の概要を表示する

システム設定 > マルチアカウントのセキュリティ管理 ページの 概要 タブで、管理対象のメンバーアカウントのセキュリティスコア、リスクのあるアセット数、セキュリティアラート、脆弱性、ベースライン違反、その他の統計情報を表示できます。セキュリティリスクの高いメンバーアカウントを特定します。

このページでは、[Default Sort] および [Paid accounts only] によるフィルタリング、およびアカウント名、UID、またはエディションによるあいまい検索が可能です。セキュリティスコアは、深刻度に応じて色分けされたバーで表示されます：高リスク (0～70)、中リスク (71～95)、安全 (95 超)。

設定 > マルチアカウントのセキュリティ管理 ページの Configure タブで、メンバーアカウント内のセキュリティリスクに関する統計情報を表示できます。

アカウントリストには、[CSPM]、[Attack Count]、[AK Exposure Detection] などの列が含まれています。[CSPM] 列では、色分けされた数値バッジを使用して、各アカウントのリスク数を分類します。

• メンバーアカウントのリスク詳細を表示する

Security Center コンソールの左上隅で、メンバーアカウントに切り替えて、メンバーアカウント 概要ページでそのセキュリティ運用情報を表示します。詳細については、「概要」をご参照ください。

アカウントを切り替えた後、[Security Operations] エリアの [Risk Governance] セクションで、[CSPM risks] と [Critical function configuration] 項目の保留中の件数を表示できます。

メンバーアカウントのセキュリティ設定とリスクの管理

1. 委任された管理者アカウントを使用して Security Center コンソールにログインします。Security Center コンソールにログインします。

2. 左側のナビゲーションペインで、システム設定 > マルチアカウントのセキュリティ管理 を選択します。コンソールの左上隅で、保護対象のアセットが配置されているリージョンとして、中国本土 または 中国本土以外 を選択します。

3. [System Configuration] > マルチアカウントのセキュリティ管理 ページの Configure タブで、メンバーアカウントの [Actions] 列の 設定 をクリックします。

4. 設定 パネルで、メンバーアカウントのエージェント設定、脆弱性、ベースラインスキャン設定を行い、OK をクリックします。

   • エージェント管理：セキュリティ防御機能とアラート設定を構成します。

     • ホスト保護設定

     • コンテナ保護設定

     • クライアント設定

     • その他の設定タブで機能を有効にする

   • 脆弱性管理：メンバーアカウントの脆弱性スキャン設定を構成します。メトリックの説明については、「脆弱性スキャン」をご参照ください。

   • ベースラインチェック：メンバーアカウントのベースラインチェックポリシーを構成します。メトリックの説明については、「ベースラインチェックポリシーの設定と実行」をご参照ください。

[Host Protection Settings] タブの [Proactive Defense] エリアには、[Malicious Host Behavior Defense]、[Anti-ransomware (Bait Capture)]、[Web Backdoor Connection Defense]、[Malicious Network Behavior Defense]、[Proactive Defense Experience Optimization] の設定項目が含まれています。各機能のスイッチを有効または無効にし、防御範囲を設定できます。このタブには、[Web Backdoor Removal] および [Adaptive Threat Detection] エリアも含まれています。設定が完了したら [Next] をクリックします。

5. マルチアカウントのセキュリティ管理 ページの Configure タブで、メンバーアカウント名をクリックしてそのアカウントのコンソールに切り替えます。

切り替え後、委任された管理者は、アセットの棚卸し、リスク検出、セキュリティ強化、リアルタイム保護、および積極的な検出と対応を実行できます。Security Center の機能の概要については、「機能」をご参照ください。

割り当てられたクォータの使用

Security Center の委任された管理者がメンバーアカウントにクォータを割り当てた後、メンバーアカウントは割り当てられたクォータを使用できます。クォータが不十分な場合、メンバーアカウントは管理アカウントに連絡して追加の割り当てを依頼できます。メンバーアカウントは Security Center インスタンスを購入、更新、またはアップグレードすることはできません。委任された管理者またはメンバーアカウントは、以下の指示に従って各機能のクォータを使用し、クォータの浪費を避けることができます。メンバーアカウントは、サービスリンクロールの承認を完了する必要があります。

• 保護エディションまたはレベルを設定する：概要 または ホストアセット ページで、Ultimate Edition サーバークォータ、Enterprise Edition サーバークォータ、Premium Edition サーバークォータ、Anti-virus Edition サーバークォータを含むサーバー保護クォータを表示および管理できます。

• ランサムウェア対策：緩和ポリシーを作成して、サーバーまたはデータベース上のコアデータファイルをバックアップします。手順については、次のトピックをご参照ください。

  • 保護ポリシーの作成 - サーバーのランサムウェア対策

  • 保護ポリシーの作成 - データベースのランサムウェア対策

• ログ分析：すべてのログタイプの配信はデフォルトで有効になっています。手動での操作は不要です。

  委任された管理者アカウントは、コンソールの左上隅でアカウントを切り替えても、メンバーアカウントのログ分析機能を使用することはできません。メンバーアカウントは、自身のコンソールにログインしてログ分析機能を使用する必要があります。

• コンテナイメージスキャン：イメージスキャンを実行すると、対応するクォータが使用され、イメージ内のセキュリティリスクが検出されます。

• アプリケーション保護：アプリケーションをアプリケーション保護に追加する必要があります。

• クラウドハニーポット：サーバーにクラウドハニーポットを展開して攻撃を捕捉します。

• ファイル改ざん防止：サーバーに保護を追加して、Web サイトへの悪意のあるコンテンツの注入を防ぎ、Web サイトの正常な運用を確保します。

• CSPM：クラウド製品構成のリスクチェックポリシー、システムベースラインリスクチェックポリシー、および攻撃パススキャンルールを設定して、クラウドセキュリティ態勢管理 (CSPM) を実行します。

• Agentic 悪意のあるファイル検出：サーバーで SDK を呼び出してオフラインファイルをスキャンするか、Security Center コンソールから OSS に保存されているファイルをスキャンして悪意のあるファイルを検出します。

• Agentic SOC ログストレージ容量：Security Center ログと標準化されたログ配信を有効にします。詳細については、「ログ管理」をご参照ください。

• Agentic SOC ログの取り込みトラフィック：クラウド製品のログを Agentic SOC に取り込みます。詳細については、「製品ログ」をご参照ください。

メンバーアカウントの削除

委任された管理者アカウントでログインし、システム設定 > マルチアカウントのセキュリティ管理 ページの Configure タブに移動し、メンバーアカウントの [Actions] 列の 削除 をクリックして削除します。

メンバーアカウントへのクォータ割り当ての削除

委任された管理者アカウントでログインし、概要 ページに移動し、サービスのサブスクリプション セクションで マルチアカウント管理 をクリックします。権限割り当て管理 セクションで、アカウント名の上にポインターを合わせ、 アイコンをクリックし、確認ダイアログボックスで OK をクリックします。