ActionTrail:Gerenciar uma conta de administrador delegado

Pré-requisitos

• Diretório de recursos ativado. Para mais informações, consulte Ativar um diretório de recursos.

• Membros criados no diretório de recursos ou convidados a participar dele. Para mais informações, consulte Criar um membro e Convidar uma conta Alibaba Cloud para participar de um diretório de recursos.

Cenários

A conta de administrador delegado do ActionTrail separa o gerenciamento organizacional e de auditoria da infraestrutura de TI. Essa separação é fundamental para a segurança em nuvem do seu negócio.

Por padrão, a conta de gerenciamento do diretório de recursos atua como superadministrador da empresa. Para seguir as melhores práticas de TI, use a conta de gerenciamento apenas na gestão organizacional do diretório de recursos, e não na configuração de recursos. Isso evita operações acidentais com uma conta que possui permissões excessivas. Utilize uma conta de administrador delegado para executar operações globais de gerenciamento. Por exemplo, use a conta de gerenciamento para designar um membro como administrador delegado do ActionTrail e atribua essa conta ao departamento de auditoria. Assim, o departamento de auditoria coleta eventos para análise e auditoria centralizadas. Esse modelo respeita a divisão de responsabilidades da organização.

Para adotar as melhores práticas de gerenciamento multiconta, designe uma conta de administrador delegado do ActionTrail e atenda aos seguintes requisitos:

• Substitua a conta de gerenciamento por uma conta dedicada na coleta, gestão e análise de eventos de auditoria.

• Transfira a gestão das configurações do ActionTrail para uma conta dedicada, evitando o uso excessivo da conta de gerenciamento.

Para mais informações sobre contas de administrador delegado, consulte Gerenciar uma conta de administrador delegado.

Adicionar uma conta de administrador delegado

Especifique um membro do diretório de recursos como conta de administrador delegado do ActionTrail para auditar eventos. Essa conta serve exclusivamente para gerenciar configurações de auditoria e armazenar eventos na nuvem, sem reter outros recursos. Dessa forma, as responsabilidades de gerenciamento de permissões, auditoria e recursos ficam distribuídas entre contas diferentes, aumentando a segurança na nuvem. A conta de administrador delegado do ActionTrail cria uma trilha multiconta que envia os eventos de todos os membros do diretório de recursos para um Logstore específico do Simple Log Service ou um bucket do OSS. Recomendamos enviar os eventos para um Logstore do Simple Log Service ou um bucket do OSS pertencente à própria conta de administrador delegado. Também é possível especificar um Logstore do Simple Log Service ou um bucket do OSS de outro membro para armazenar os eventos. Com a conta de administrador delegado, você gerencia as configurações das trilhas, armazena os eventos de todos os membros do diretório de recursos e envia notificações de alerta com base nos resultados de análises de auditoria de longo prazo.

A conta de administrador delegado do ActionTrail recebe as seguintes permissões:

• Visualizar informações sobre a estrutura e os membros do diretório de recursos no ActionTrail.

• Criar uma trilha multiconta que coleta os eventos de todos os membros do diretório de recursos.

Utilize a conta de gerenciamento do seu diretório de recursos para adicionar uma conta de administrador delegado no Resource Management console. Para mais informações, consulte Adicionar uma conta de administrador delegado.

Alterar uma conta de administrador delegado

Após designar um membro como conta de administrador delegado do ActionTrail, evite alterá-la. Essa conta gerencia operações comerciais dentro do diretório de recursos. Caso você a substitua, as configurações associadas podem deixar de funcionar corretamente e interromper o processo contínuo de auditoria. Se for necessário trocar a conta designada, remova primeiro a conta de administrador delegado original e só então especifique uma nova.

1. Faça login no Resource Management console e use a conta de gerenciamento para remover a conta de administrador delegado original do diretório de recursos.

   Para mais informações, consulte Remover uma conta de administrador delegado.

2. No Resource Management console, especifique uma nova conta de administrador delegado.

   Para mais informações, consulte Adicionar uma conta de administrador delegado.

3. Faça login no ActionTrail console e use a nova conta de administrador delegado para criar uma trilha multiconta que envie eventos ao espaço de armazenamento da nova conta.

   Para mais informações, consulte Usar um membro para fazer login no Alibaba Cloud Management Console e Criar uma trilha multiconta.

4. No ActionTrail console, utilize a nova conta de administrador delegado para criar uma tarefa de preenchimento retroativo de dados que envie todos os eventos dos últimos 90 dias ao espaço de armazenamento especificado de uma só vez.

   Para mais informações, consulte Criar uma tarefa de preenchimento retroativo de dados.

5. Faça login no Simple Log Service console ou no OSS console e migre os eventos da conta de administrador delegado original para o espaço de armazenamento da nova conta.

   Para mais informações, consulte Replicar dados de um Logstore e Migrar dados entre buckets do OSS.

   Nota

   Após a alteração da conta de administrador delegado, eventos duplicados de até 90 dias ficarão armazenados no Logstore do Simple Log Service ou no bucket do OSS especificado para a nova conta. Isso garante que nenhum evento gerado nos últimos 90 dias seja perdido.