Security Center:サーバーレスセキュリティ

ACK Serverless クラスターの ECI Pod でクライアントを起動する

Container Service for Kubernetes (ACK) コンソールで、ターゲットクラスターの管理ページに移動します。左側のナビゲーションウィンドウで、[ワークロード] > [Pod] を選択します。[YAML から作成] をクリックします。YAML テンプレートで、spec > template > metadata の下に annotations パラメーターを追加し、k8s.aliyun.com/eci-aliyundun-enabled: "true" に設定します。

以下は YAML テンプレートのサンプルです。

apiVersion: apps/v1 # 1.8.0 より前のバージョンでは apps/v1beta1 を使用
kind: Deployment
metadata:
  name: nginx-deployment-basic
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      annotations:
        k8s.aliyun.com/eci-aliyundun-enabled: 'true'
      labels:
        app: nginx
    spec:
    #  nodeSelector:
    #    env: test-team
      containers:
      - name: nginx
        image: nginx:1.7.9 # これを正確な <image_name:tags> に置き換えてください
        ports:
        - containerPort: 80
        resources:
          limits:
            cpu: "500m"

イメージからリソースを作成する場合、[高度な構成] セクションに Pod アノテーション k8s.aliyun.com/eci-aliyundun-enabled=true を追加できます。リソースの作成方法の詳細については、「イメージからステートレスアプリケーションを作成する」をご参照ください。

マネージドまたは専用 ACK クラスターの ECI Pod でクライアントを起動する

マネージドまたは専用 ACK クラスターの ECI Pod でクライアントを起動する

1. ACK コンソールにログインし、クラスターの管理ページに移動し、[ack-virtual-node] コンポーネントをデプロイして Pod を ECI にスケジュールします。詳細については、「Pod を ECI にスケジュールする」をご参照ください。

2. ACK コンソールで、クラスター管理ページの左側のナビゲーションウィンドウで、[ワークロード] > [Pod] を選択します。次に、[YAML から作成] をクリックします。YAML テンプレートで、metadata の下に annotations パラメーターを追加し、k8s.aliyun.com/eci-aliyundun-enabled: "true" に設定します。spec > containers の下に env 環境変数を構成し、コンテナータイプを ECI_CONTAINER_TYPE = sidecar に設定します。

   以下は YAML テンプレートのサンプルです。

   apiVersion: v1
   kind: Pod
   metadata:
     name: test-aegis-alinux2-lifsea-x86
     labels:
       eci: "true"
     annotations:
       k8s.aliyun.com/eci-aliyundun-enabled: "true"
   spec:
     containers:
     - name: sidecar
       image: registry-vpc.cn-shanghai.aliyuncs.com/eci_open/centos:7
       command:
       - /bin/sh
       - -c
       args:
       - sleep inf
       env:
       - name: ECI_CONTAINER_TYPE
         value: sidecar
     - name: nginx
       image: registry-vpc.cn-shanghai.aliyuncs.com/eci_open/centos:7
       command:
       - /bin/sh
       - -c
       args:
       - sleep inf

ACS クラスターの ECI Pod でクライアントを起動する

Container Compute Service コンソールで、ターゲットクラスターの管理ページに移動します。左側のナビゲーションウィンドウで、[ワークロード] > [ステートレス] を選択します。[YAML から作成] をクリックします。YAML テンプレートで、spec > template > metadata の下に annotations パラメーターを追加し、security.alibabacloud.com/aliyundun-enabled: 'true' に設定します。詳細については、「ACS Pod の概要」および「YAML ファイルからリソースを作成する」をご参照ください。

以下は YAML テンプレートのサンプルです。

apiVersion: apps/v1 # 1.8.0 より前のバージョンでは apps/v1beta1 を使用
kind: Deployment
metadata:
  name: nginx-deployment-basic
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
        alibabacloud.com/compute-class: general-purpose
        alibabacloud.com/compute-qos: default
      annotations:
         security.alibabacloud.com/aliyundun-enabled: 'true'
    spec:
    #  nodeSelector:
    #    env: test-team
      containers:
      - name: nginx
        image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6 # これを正確な <image_name:tags> に置き換えてください
        ports:
        - containerPort: 80
        resources:
          limits:
            cpu: "500m"

イメージからリソースを作成する場合、[高度な構成] セクションに Pod アノテーション security.alibabacloud.com/aliyundun-enabled=true を追加できます。リソースの作成方法の詳細については、「イメージからリソースを作成する」をご参照ください。

購入時にサーバーレスアセット保護を有効にする

無料版のユーザーおよび無料トライアル中のユーザーは、従量課金の Security Center インスタンスを購入することで、サーバーレスアセット保護を有効にできます。

1. Security Center 購入ページに移動し、Alibaba Cloud アカウントでログインします。

2. 購入ページで、[課金方法] を [従量課金] に設定します。[サーバーレスアセット] で、[はい] を選択します。

3. [オンデマンドバインディングのカスタマイズ] をクリックします。[権限付与管理] ダイアログボックスで、[すべてバインド] または [カスタムバインディング] を選択して、ターゲットのサーバーレスアセットの保護権限を設定できます。

   重要

   カスタムバインディングを設定しない場合、デフォルトですべてのアセットがバインドされ、新しいアセットには権限付与が自動的にアタッチされます。

   

4. Security Center 利用規約を読んで選択し、[注文する] をクリックします。

Security Center は、Alibaba Cloud アカウントで実行中の状態にあるサーバーレスアセット (ECI インスタンスおよび SAE アプリケーション) に自動的に接続します。その後、[権限付与管理] の構成に基づいて、ターゲットのサーバーレスアセットに権限付与をアタッチします。

既存のインスタンスに対してサーバーレスアセット保護を有効にする

Security Center の有料版 (ウイルス対策、プレミアム、エンタープライズ、またはアルティメット) を購入している場合は、サーバーレスアセット保護機能を有効にできます。

1. Security Center コンソールにログインします。

2. 左側のナビゲーションウィンドウで、アセットセンター > サーバーレスアセット を選択します。コンソールの左上隅で、保護するアセットが配置されているリージョンを選択します: 中国 または 全世界 (中国を除く)。

3. [サーバーレスアセット] ページで、[今すぐ有効にする] をクリックします。

   [概要] ページの右側にある [従量課金サービス] エリアで、サーバーレスアセットスイッチをオンにすることもできます。

4. 確認ダイアログボックスで、[オンデマンドバインディングのカスタマイズ] をクリックしてターゲットのサーバーレスアセットの保護権限を設定し、[OK] をクリックします。

   重要

   カスタムバインディングを設定しない場合、サーバーレスアセットは次のロジックに基づいて承認されます。

   • この機能を初めて有効にする場合、デフォルトですべてのアセットがバインドされ、新しいアセットには権限付与が自動的にアタッチされます。

   • 以前にこの機能を有効にしたことがある場合、以前に承認されたサーバーレスアセットに権限付与が自動的にアタッチされます。前回 ECI インスタンスまたは SAE アプリケーションが承認されなかった場合、デフォルトですべてのアセットがバインドされ、新しいアセットには権限付与が自動的にアタッチされます。

   • アカウントに支払い遅延があり、支払い遅延が発生する前にサーバーレスアセット機能が有効になっていた場合、支払い遅延を解消すると、以前に承認されたサーバーレスアセットが自動的にバインドされます。

5. 確認ダイログボックスで、Security Center (従量課金) 利用規約を読み、同意しますを選択し、[今すぐ有効にする] をクリックします。