Security Center:Add cloud assets for configuration checks

1. Adım: Üçüncü taraf cloud platformunda erişim kimlik bilgileri oluşturma

• AWS

  1. IAM kullanıcısı oluşturun ve izin verin: AWS IAM konsolu oturumunu açın, yeni bir IAM kullanıcısı oluşturun ve kullanıcıya ReadOnlyAccess ile IAMReadOnlyAccess sistem ilkelerini ekleyin.

  2. Erişim anahtarını oluşturun ve kaydedin: Yeni kullanıcı için bir erişim anahtarı oluşturun ve Access Key ID ile Secret Access Key değerlerini doğru şekilde kaydedin.

• Huawei Cloud

  1. Kullanıcı grubu oluşturun ve izin verin: Huawei Cloud konsolunda oturum açın, User Group sayfasına gidin, yeni bir kullanıcı grubu oluşturun ve gruba Tenant Guest ile IAM ReadOnlyAccess sistem ilkelerini ekleyin.

  2. Kullanıcı oluşturun ve erişim anahtarını kaydedin: Yeni bir IAM kullanıcısı oluşturun, kullanıcıyı önceki adımda oluşturulan kullanıcı grubuna ekleyin, kullanıcı için bir erişim anahtarı oluşturun ve Access Key Id ile Secret Access Key değerlerini doğru şekilde kaydedin.

• Tencent Cloud

  1. Alt hesap oluşturun ve izin verin: Tencent Cloud konsolunda oturum açın, User List sayfasına gidin, yeni bir alt hesap oluşturun ve alt hesaba CloudResourceReadOnlyAccess ile QcloudCamReadOnlyAccess sistem ilkelerini ilişkilendirin.

  2. API anahtarını oluşturun ve kaydedin: Alt hesap ayrıntılarının API Key yönetim sayfasında yeni bir API anahtarı oluşturun ve SecretId ile SecretKey değerlerini doğru şekilde kaydedin.

• Azure

  1. Uygulama kaydedin: Azure portal adresine gidin, App registrations hizmetine geçin, yeni bir uygulama kaydedin ve uygulamanın Application (client) ID ile Directory (tenant) ID değerlerini kaydedin.

  2. İstemci gizli dizisi oluşturun: Yeni kaydedilen uygulamada Certificates & secrets sayfasına gidin, yeni bir istemci gizli dizisi oluşturun ve dizinin Value değerini doğru şekilde kaydedin.

  3. Rol atayın: Subscriptions hizmetine gidin, aboneliğinizi seçin ve ardından Access control (IAM) sayfasında yeni kaydedilen uygulamaya Reader rolünü atayın.

• Volcano Engine

  1. Alt hesap oluşturun ve izin verin: Volcano Engine konsolunda oturum açın, Users sayfasına gidin, yeni bir alt hesap oluşturun ve kullanıcıya IAMReadOnlyAccess ile ECSReadOnlyAccess sistem ilkelerini ekleyin.

  2. Erişim anahtarını oluşturun ve kaydedin: Kullanıcıyı oluştururken Programmatic access özelliğinin etkinleştirildiğinden emin olun. Kullanıcı oluşturulduktan sonra Access Key ID ve Secret Access Key değerlerini doğru şekilde kaydedin.

2. Adım: Security Center'da entegrasyonu tamamlama

1. Security Center konsolu - System Settings - Feature Settings adresine gidin. Sayfanın sol üst köşesinde varlıklarınızın bölgesini seçin: Chinese Mainland veya Outside Chinese Mainland.

2. Multi-cloud Configuration Management > Multi-cloud Assets sekmesinde Grant Permission seçeneğine tıklayın.

3. Add Assets Outside Cloud panelinde bir yapılandırma planı seçin ve önceki adımda elde edilen erişim kimlik bilgilerini ilgili giriş alanlarına istemlere göre girin.

4. Denetim günlüklerini yapılandırın (isteğe bağlı): CSPM (CSPM) günlük denetimi özelliğini kullanmak istiyorsanız ilgili ayarları da yapılandırmanız gerekir.

   Not

   Üçüncü taraf platformun karşılık gelen Kafka hizmetini sağlaması gerekir. Şu anda yalnızca Tencent Cloud ve AWS denetim günlüğü yapılandırmasını destekler.

1. Adım: Küme ekleme

Bu adım, Security Center aracısının kümeyle güvenli iletişim kurabilmesi için kümede gerekli kimlik doğrulama ve hizmet hesaplarını oluşturur.

1. Risk Governance > CSPM sayfasında sağ üst köşede yer alan Policy Management seçeneğine tıklayın. Policy Management panelinde Configure Container Cluster sekmesine tıklayın ve ardından Self-built cluster access seçeneğine tıklayın.

   Not

   Mevcut örnek Ultimate edition ise şuraya da gidebilirsiniz: Asset Center > Container > Cluster ve Self-built cluster access seçeneğine tıklayın.

2. Access Self-built K8s cluster panelinde K8s erişim yapılandırmasını tamamlayın ve Generate Command seçeneğine tıklayın.

3. Kümenin dağıtıldığı sunucuda oturum açın, bir text-001.yaml dosyası oluşturun ve oluşturulan komutu dosyaya kopyalayın.

4. Aşağıdaki komutu çalıştırın:

   # Apply the access configuration
   kubectl apply -f text-001.yaml

2. Adım: Denetim bileşenini yükleme

Bu adım, yapılandırma tarama görevlerini yürütmek üzere denetim bileşeni aracısını kümede dağıtır.

1. Configure Container Cluster sekmesindeki küme listesine dönün ve az önce eklediğiniz kümeyi bulun. Kümenin Component Status durumu Not Installed olarak görünür. Component Access seçeneğine tıklayın.

2. Scan Component Access panelinde oluşturulan komutu kopyalayın. Ardından, kümenin dağıtıldığı sunucuda oturum açın ve oluşturulan komutu deploy.yaml dosyasına kopyalayın.

3. Aşağıdaki komutu çalıştırın:

   # Deploy the check component
   kubectl apply -f deploy.yaml

4. (İsteğe bağlı) Artımlı denetimler için Webhook'u etkinleştirin: Küme kaynakları (podlar gibi) değiştiğinde artımlı denetimleri otomatik olarak tetiklemek istiyorsanız Webhook özelliğini etkinleştirebilirsiniz.

   Uyarı

   Webhook özelliği etkinleştirildikten sonra yalnızca podlar için artımlı denetimler desteklenir. Webhook özelliği doğru yapılandırılmazsa veya bir özel durum oluşursa küme kaynaklarının oluşturulması etkilenebilir.

   1. Scan Component Access panelinde Webhook ile ilgili komutu kopyalayın. Ardından, kümenin dağıtıldığı sunucuda oturum açın ve oluşturulan komutu webhook.yaml dosyasına kopyalayın.

   2. Bileşeni dağıtmak için aşağıdaki komutu çalıştırın:

      # Deploy the check component
      kubectl apply -f webhook.yaml

3. Adım: Yüklemeyi doğrulama

1. Aracı pod'unun çalışıp çalışmadığını kontrol etmek için küme sunucusunda aşağıdaki komutu çalıştırın.

   Not

   Beklenen sonuç, aracıyla ilgili pod'un durumunun Running olmasıdır.

   # Replace <agent-namespace> with the actual namespace where the agent is deployed.
   kubectl get pods -n <agent-namespace>

2. Security Center konsolundaki Configure Container Cluster listesinde, küme listesindeki kümenin Component Status durumunun Online olduğunu kontrol edin; bu durum bileşenin yüklendiğini gösterir.