Security Center:Add cloud assets for configuration checks

Etapa 1: Criar credenciais de acesso na plataforma de cloud de terceiros

• AWS

  1. Criar um usuário IAM e conceder permissões: Faça logon no console do AWS IAM, crie um novo usuário IAM e anexe as políticas de sistema ReadOnlyAccess e IAMReadOnlyAccess ao usuário.

  2. Criar e registrar a chave de acesso: Gere uma chave de acesso para o novo usuário e registre adequadamente o Access Key ID e a Secret Access Key.

• Huawei Cloud

  1. Criar um grupo de usuários e conceder permissões: Faça logon no console da Huawei Cloud, acesse a página User Group, crie um novo grupo de usuários e anexe as políticas de sistema Tenant Guest e IAM ReadOnlyAccess ao grupo.

  2. Criar um usuário e registrar a chave de acesso: Crie um novo usuário IAM, adicione-o ao grupo criado na etapa anterior, gere uma chave de acesso para esse usuário e registre adequadamente o Access Key Id e a Secret Access Key.

• Tencent Cloud

  1. Criar uma subconta e conceder permissões: Faça logon no console da Tencent Cloud, acesse a página User List, crie uma nova subconta e associe as políticas de sistema CloudResourceReadOnlyAccess e QcloudCamReadOnlyAccess à subconta.

  2. Criar e registrar a chave de API: Na página de gerenciamento de API Key nos detalhes da subconta, crie uma nova chave de API e registre adequadamente o SecretId e a SecretKey.

• Azure

  1. Registrar um aplicativo: Faça logon no portal do Azure, acesse o service App registrations, registre um novo aplicativo e anote seu Application (client) ID e Directory (tenant) ID.

  2. Criar um segredo do cliente: No aplicativo recém-registrado, acesse a página Certificates & secrets, crie um novo segredo do cliente e registre adequadamente seu Value.

  3. Atribuir uma função: Acesse o service Subscriptions, selecione sua assinatura e atribua a função Reader ao aplicativo recém-registrado na página Access control (IAM).

• Volcano Engine

  1. Criar uma subconta e conceder permissões: Faça logon no console do Volcano Engine, acesse a página Users, crie uma nova subconta e anexe as políticas de sistema IAMReadOnlyAccess e ECSReadOnlyAccess ao usuário.

  2. Criar e registrar a chave de acesso: Ao criar o usuário, certifique-se de que o Programmatic access esteja ativado. Após a criação, registre adequadamente o Access Key ID e a Secret Access Key.

Etapa 2: Concluir a integração no Security Center

1. Acesse o console do Security Center - System Settings - Feature Settings. No canto superior esquerdo da página, selecione a região dos seus ativos: Chinese Mainland ou Outside Chinese Mainland.

2. Na aba Multi-cloud Configuration Management > Multi-cloud Assets, clique em Grant Permission.

3. No painel Add Assets Outside Cloud, selecione um plano de configuração e insira as credenciais de acesso obtidas na etapa anterior nos campos correspondentes, seguindo as instruções exibidas.

4. Configure logs de auditoria (opcional): Caso deseje utilizar o recurso de auditoria de logs do CSPM, configure também as definições relacionadas.

   Nota

   A plataforma de terceiros deve fornecer o service Kafka correspondente. Atualmente, apenas a Tencent Cloud e a AWS suportam a configuração de logs de auditoria.

Etapa 1: Adicionar o cluster

Esta etapa cria as contas de autenticação e de service necessárias no cluster para que o agente do Security Center possa se comunicar com ele de forma segura.

1. Na página Risk Governance > CSPM, clique em Policy Management no canto superior direito. No painel Policy Management, clique na aba Configure Container Cluster e, em seguida, clique em Self-built cluster access.

   Nota

   Se a instância atual for a edição Ultimate, você também pode acessar Asset Center > Container > Cluster e clicar em Self-built cluster access.

2. No painel Access Self-built K8s cluster, conclua a configuração de acesso ao K8s e clique em Generate Command.

3. Faça logon no servidor onde o cluster está implantado, crie um arquivo chamado text-001.yaml e copie o comando gerado para dentro dele.

4. Execute o seguinte comando:

   # Apply the access configuration
   kubectl apply -f text-001.yaml

Etapa 2: Instale o componente de verificação

Esta etapa implanta o agente do componente de verificação no cluster para executar tarefas de varredura de configuração.

1. Retorne à lista de clusters na aba Configure Container Cluster e localize o cluster recém-adicionado. O Component Status do cluster estará como Not Installed. Clique em Component Access.

2. No painel Scan Component Access, copie o comando gerado. Em seguida, faça logon no servidor onde o cluster está implantado e cole o comando no arquivo deploy.yaml.

3. Execute o seguinte comando:

   # Deploy the check component
   kubectl apply -f deploy.yaml

4. (Opcional) Ative Webhook para verificações incrementais: Se desejar acionar automaticamente verificações incrementais quando houver alterações nos recursos do cluster (como pods), ative o recurso Webhook.

   Aviso

   Após a ativação do Webhook, apenas verificações incrementais para pods são suportadas. Se o Webhook não for configurado corretamente ou ocorrer uma exceção, a criação de recursos do cluster poderá ser afetada.

   1. No painel Scan Component Access, copie o comando relacionado ao Webhook. Depois, faça logon no servidor onde o cluster está implantado e cole o comando gerado no arquivo webhook.yaml.

   2. Execute o comando abaixo para implantar o componente:

      # Deploy the check component
      kubectl apply -f webhook.yaml

Etapa 3: Verifique a instalação

1. No servidor do cluster, execute o comando a seguir para verificar se o pod do agente está em execução.

   Nota

   O resultado esperado é que o status do pod relacionado ao agente seja Running.

   # Replace <agent-namespace> with the actual namespace where the agent is deployed.
   kubectl get pods -n <agent-namespace>

2. Na lista Configure Container Cluster do console do Security Center, confirme que o Component Status do cluster na lista está como Online, o que indica que o componente foi instalado com sucesso.