Agentic SOC は、Resource Directory (RD) のマルチアカウント管理機能を利用して、すべてのアカウントのセキュリティログを一元的に管理・分析します。このトピックでは、統合された脅威検知、イベントレスポンス、およびセキュリティオペレーションを実現するためのソリューション設定方法について説明します。
概要
アカウントタイプ
アカウントタイプ | 説明 | 責任範囲 |
管理アカウント (MA) | 企業の実名認証を完了した Alibaba Cloud アカウントです。リソースディレクトリの作成者であり、最上位の管理者として、組織全体を完全に制御します。 | 組織構造の作成、メンバーの招待または作成、特定のサービスに対する委任された管理者の指定を行います。1 つのリソースディレクトリには、管理アカウントが 1 つだけ存在します。 |
メンバーアカウント | リソースディレクトリに参加し、特定のサービスやプロジェクトをホストする Alibaba Cloud アカウントです。 | 管理ポリシーに従い、自身のアカウント内でサービスを実行し、必要な Alibaba Cloud プロダクトのログサービスを有効化します。 |
委任された管理者アカウント | 管理アカウントによって指定され、特定の Alibaba Cloud サービス (このトピックでは Security Center) の管理業務を実行するメンバーアカウントです。 | Agentic SOC の購入と設定、対象となるすべてのメンバーアカウントのセキュリティログの一元管理と分析、および Agentic SOC とログストレージの費用負担を行います。 |
設定例
以下に、Agentic SOC の一般的なマルチアカウント構造の例を示します。
リソースディレクトリ構造：
管理アカウント：アカウント A
メンバーアカウント：アカウント B、C、D、E
管理プラン：
アカウント A がアカウント B を委任された管理者として指定します。
アカウント B がアカウント C、D、E のログ統合、脅威検知、イベント処理を一元管理します。
仕組み
Agentic SOC のマルチアカウント管理の核となるのは、権限委任とデータ集約です。管理アカウント (MA) は、RD を通じて、セキュリティ管理の責任を特定のメンバーアカウント (委任された管理者アカウント) に委任します。その後、メンバーアカウントからの Alibaba Cloud プロダクトのログデータを委任された管理者アカウントの Agentic SOC インスタンスに集約して分析します。ワークフローは以下の通りです。
ログ生成：各メンバーアカウント内の Alibaba Cloud プロダクト (Web Application Firewall (WAF) や Cloud Firewall のログなど) からのログは、そのアカウント内の Simple Log Service (SLS) に書き込まれます。
集中収集：委任された管理者アカウントの Agentic SOC サービスは、サービスリンクロールを使用して、各メンバーアカウントの SLS からリアルタイムでログデータを読み取ります。
統合分析：収集されたすべてのログは、委任された管理者アカウントの Agentic SOC インスタンスに集約され、統合された脅威検知と分析が行われます。
適用範囲
開始する前に、以下の点をご確認ください。
すべてのアカウント (管理アカウントおよびメンバーアカウント) が同じ企業に属し、企業の実名認証を完了していること。
現在、ログ統合は Alibaba Cloud プロダクトのログのみをサポートしています。
マルチアカウントのログ統合
ステップ 1: Agentic SOC の購入と有効化
委任された管理者が Agentic SOC サービスを購入し、有効化します。詳細については、「Agentic SOC の購入と有効化」をご参照ください。
メンバーアカウントで Agentic SOC が有効になっているかどうかは、ログ統合に影響しません。
マルチアカウントシナリオでのログ統合は、リアルタイム消費 モードのみをサポートします。システムは生ログを自動的に永続化しません。履歴ログのトレース、監査、または分析を行うには、Log Storage Capacity を購入 (ログ管理 サービスを有効化) してください。
ステップ 2: マルチアカウントのディレクトリ構造の作成
リソースディレクトリの有効化：初めて RD を使用する場合は、管理アカウントで Resource Management コンソールにログインします。左側のナビゲーションウィンドウで、リソースディレクトリ > 概要 を選択します。
リソースディレクトリの有効化 をクリックし、画面の指示に従って RD を有効化します。詳細については、「リソースディレクトリの有効化」をご参照ください。
メンバーアカウントの追加：リソースディレクトリで、いずれかの方法でメンバーを追加します。
メンバーの作成：左側のナビゲーションウィンドウで、 を選択してリソースアカウントを作成します。詳細については、「メンバーの作成」をご参照ください。
メンバーの招待： を選択して、既存の Alibaba Cloud アカウントをリソースディレクトリに追加します。詳細については、「Alibaba Cloud アカウントをリソースディレクトリに招待する」をご参照ください。
委任された管理者の設定：左側のナビゲーションウィンドウで、 を選択します。Security Center の行で、[操作] 列の 管理 をクリックします。Agentic SOC を購入したアカウントを、信頼できるサービスの委任された管理者として追加します。詳細については、「委任された管理者アカウントの追加」をご参照ください。
重要Security Center の管理者を追加すると、そのアカウントは Security Center - 脅威分析の管理者にもなります。
ステップ 3: Agentic SOC へのメンバーアカウントの追加
委任された管理者アカウントを使用して Security Center コンソールにログインし、マルチアカウント管理設定ページに移動します。 左上隅で、アセットのリージョンとして[中国本土]または[中国本土以外]を選択します。
Configure タブの 監視アカウントの合計数 セクションで、アカウント管理 をクリックします。
マルチアカウント管理の設定 パネルで、リソースディレクトリのリストからメンバーアカウントを選択し、OK をクリックします。
重要追加された各メンバーアカウントに対して、システムは自動的に 2 つのサービスリンクロール (
AliyunServiceRoleForSasRdとAliyunServiceRoleForSasCloudSiem) を作成します。これらのロールは、Agentic SOC がメンバーアカウントからログデータを収集するために必要な最小限の権限を付与します。詳細については、「Security Center のサービスリンクロール」をご参照ください。
ステップ 4: クラウドプロダクトのログサービスの有効化
各メンバーアカウントについて、関連する Alibaba Cloud プロダクト (Security Center 自体を除く) のログサービスを有効化します。設定手順については、「Alibaba Cloud プロダクトのログと SLS の統合リファレンス」をご参照ください。
Alibaba Cloud サービスセンターの Logstore にあるセキュリティプロダクトのアラートログ (WAF アラートログやCloud Firewall アラートログなど) は、自動的に Agentic SOC に配信されます。これらのプロダクトに追加の設定は必要ありません。
ステップ 5: クロスアカウント統合の設定
以下のいずれかの方法を使用して、メンバーアカウントのログを Agentic SOC に統合します。
バッチ自動統合
バッチ自動統合は、複数のアカウントとデータソースに一度にアクセスポリシーを適用します。複数のアカウントをオンボーディングする場合や、推奨ポリシーを使用して迅速に開始したい場合に使用します。
委任された管理者アカウントでログインします。左側のナビゲーションウィンドウで、脅威の分析と応答 > インテグレーションセンター を選択します。
バッチアクセス設定 をクリックし、以下のパラメーターを設定します。
警告[フルアクセス] は上書き操作です。現在の設定で選択されていない実行中のポリシーはすべて無効になり、データ取り込みが中断される可能性があります。慎重に実行してください。
[推奨ポリシーを使用] をクリックすると、ベストプラクティスに基づいて最も価値のあるデータソースがシステムによって自動的に選択されます。これは、セキュリティデータの分析を開始する最も速い方法です。
パラメーター
オプション
使用シーン
アカウント範囲
増分アクセス：現在有効なすべてのアクセスポリシーを維持し、この設定から新しいポリシーを追加します。
既存の統合を中断せずに、新しいアカウントやデータソースを追加する場合に使用します。
フルアクセス：既存のすべてのアクセス設定を置き換えます。この設定で選択されていないポリシーは無効になります。
完全な再設定を行う場合に使用します。
アカウント範囲
統合するメンバーアカウントを選択します。
—
[Alibaba Cloud サービス]
取り込むクラウドサービスとそのデータソースを選択します。
—
[新しいデータソースを自動追加]
有効にすると、新しく作成された Logstore が現在のデータソースの範囲に自動的に含まれます。
新しい Logstore が追加される際の、手動でのメンテナンスを削減します。
OK をクリックします。システムは、選択されたアカウントの有効なすべての Logstore からログを自動的に取り込み、対応するアクセスポリシーを有効化します。
重要新しいアクセスポリシーのデプロイと初期化には時間がかかる場合があります。
統合ステータスを確認するには、統合リストに戻り、プロダクトを見つけて、操作する 列の マルチアカウントアクセス設定 をクリックします。アクセス ポリシー タブで、対象のデータソースの 操作する 列にある クロスアカウント連携 をクリックします。
手動統合
特定のプロダクトを個別に設定する必要がある場合は、手動統合を使用します。
委任された管理者アカウントでログインします。左側のナビゲーションウィンドウで、脅威の分析と応答 > インテグレーションセンター を選択します。
統合するクラウドプロダクトを見つけ、操作する 列の マルチアカウントアクセス設定 をクリックします。
重要マルチアカウント統合は Alibaba Cloud プロダクトのみをサポートします。
目的のポリシーテンプレートの 操作する 列で、クロスアカウント連携 をクリックします。アカウント統合設定パネルが表示されます。
システムは Alibaba Cloud プロダクト用の事前設定された統合ポリシーテンプレートを提供します。これらのテンプレートは変更できません。
アカウントのバッチ登録設定 をクリックし、以下のパラメーターを設定してから OK をクリックします。
アカウント：システムは、委任された管理者が管理できるすべてのアカウントを一覧表示します (すでに統合済みのアカウントは除く)。1 つ以上のアカウントを選択します。
ポリシーステータス：ポリシーをすぐに有効にするかどうかを設定します。
新しく追加されたアカウントが統合リストに表示されるまで、約 1 分間待ちます。
システムは、各クラウドプロダクトのログクエリ API またはデフォルトの Logstore 命名規則を使用して Logstore 情報を識別します。その後、統合テンプレートに一致する、統合されたメンバーアカウントからのすべてのログを取得します。
統合が完了すると、メンバーアカウントごとに以下のプロパティを持つデータソースが自動的に作成されます。
データソース名：統合テンプレート名_リージョン ID_メンバーアカウント UID
データソースタイプ：カスタム Log Service
アクセスアカウント UID / ユーザー名：メンバーアカウントの UID とユーザー名
ポリシーが有効になっていない場合でも、メンバーアカウントのデータソースは作成されます。
マルチアカウントのログ分析
統合が設定されると、委任された管理者は Agentic SOC コンソールで、すべてのメンバーアカウントのデータに対して以下の操作を実行できます。
統合脅威検知：脅威検知ルールの設定を行い、すべてのアカウントのログデータに対してリアルタイムの検知を実行します。
集中イベント処理：[セキュリティイベント] ページで、すべてのメンバーアカウントからのアラートを表示し、処理します。
自動レスポンス：レスポンスオーケストレーションを使用して自動化されたプレイブックを作成し、クロスアカウントのセキュリティイベントを自動的に処理します。
グローバルログトレース：ログ管理を使用して、すべてのメンバーアカウントの生ログを検索し、トレースします。
メンバーアカウントの削除
メンバーアカウントからのログデータが不要になった場合は、その統合ポリシーを手動でキャンセルします。
統合をキャンセルしてもデータソースは削除されません。必要に応じて、データソース管理タブでデータソースを管理してください。
マルチアカウントアクセス設定 タブで、統合テンプレートの 操作する 列にある クロスアカウント連携 をクリックします。
アカウント統合設定パネルで、ポリシーを無効にし、対象アカウントの 操作する 列にある サービスプロバイダーから Alibaba Cloud を削除 をクリックします。
(オプション) データソースの削除：データソース管理ページで、「統合テンプレート名_リージョン ID_メンバーアカウント UID」の命名フォーマットを使用してデータソースを検索し、削除 をクリックします。
よくある質問
委任された管理者として指定したいアカウントが見つかりません
2 つの点を確認してください。まず、そのアカウントがリソースディレクトリにメンバーとして正常に追加されていることを確認します。次に、管理アカウントでログインしていることを確認してください。委任された管理者を指定できるのは管理アカウントのみです。
統合ステータスが長時間「失敗」または「データなし」と表示されます
以下の項目を順にご確認ください。
メンバーアカウントでログサービスが有効になっていない：メンバーアカウントの所有者に連絡し、関連する Alibaba Cloud プロダクトのログサービスが有効になっており、SLS にログを配信していることを確認してください。これはデータ収集の前提条件です。
アカウントが Agentic SOC の管理範囲に含まれていない：委任された管理者アカウントの Security Center コンソールで、システム設定 > マルチアカウントのセキュリティ管理 に移動し、メンバーアカウントが選択されていることを確認します。
サービスリンクロールが作成されていない：メンバーアカウントの Resource Access Management (RAM) コンソールで、[ロール] ページに移動し、
AliyunServiceRoleForSasRdとAliyunServiceRoleForSasCloudSiemが存在するかどうかを確認します。存在しない場合は、Agentic SOC からメンバーアカウントを一度削除し、再度追加してロールの作成をトリガーしてください。統合がまだ初期化中である：統合の完了には時間がかかります。数分待ってから再度確認してください。