使用基于上下文的限制保护 Security and Compliance Center 资源

在控制台中创建网络区域

要在 UI 中创建网络区域，请完成以下步骤。

1. 确定要添加到允许列表的资源。
2. 执行以下步骤以 在控制台中创建网络区域。 将 Security and Compliance Center 服务添加到网络区域，以允许 Security and Compliance Center 访问帐户中的服务和资源。

使用 API 创建网络区域

您可以使用 create-zone 命令来创建网络区域。 有关更多信息，请参阅 API 文档。 您可以将 Security and Compliance Center 作为服务引用添加到网络区域，以允许 Security and Compliance Center 访问作为规则主体的帐户中的资源和服务。

Security and Compliance Center 的 serviceRef 属性为 compliance。

用于将 Security and Compliance Center 添加到网络区域的示例有效内容。

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "compliance",
        "account_id": "ACCOUNT-ID"
      }
  ]
}

用于将多个服务，IP 地址和 VPC 添加到网络区域的示例有效内容。

{
  {
  "name": "zone",
  "description": "",
  "addresses": [
    {
      "type": "ipAddress",
      "value": "192.168.0.0"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-east:a/CRN"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-south:a/CRN"
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "cloud-object-storage",
        "account_id": "ACCOUNT-ID"
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "codeengine",
        "account_id": "ACCOUNT-ID"
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_type": "platform_service",
        "account_id": "ACCOUNT-ID"
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "iam-groups",
        "account_id": "ACCOUNT-ID"
      }
    ],
    "excluded": []
  }
}

使用 CLI 创建网络区域

您可以使用 cbr-zone-create 命令将网络位置，VPC 和服务引用添加到网络区域。 有关更多信息，请参阅 CBR CLI 参考。 将 Security and Compliance Center 添加到网络区域作为服务引用，以允许 Security and Compliance Center 访问作为规则主体的帐户中的资源和服务。

要查找可用服务引用的列表，请运行 ibmcloud cbr service-ref-targets 命令。 SSC 的 service_name 为 compliance。

用于将 compliance 服务添加到网络区域的示例命令。

ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=compliance

用于将单个 IP 地址添加到网络区域的示例命令。

ibmcloud cbr zone-create --addresses 129.41.86.7 --description "Allow only client IP" --name allow-client-ip

在控制台中创建规则

完成以下步骤以创建 Security and Compliance Center的规则。

1. 查看您为帐户创建的网络区域。
2. 遵循步骤以 在控制台中创建规则。

使用 API 创建规则

请查看以下示例，以了解如何使用 API 为 Security and Compliance Center 创建规则。 有关更多信息，请参阅 API 文档。

此有效内容将创建以 Security and Compliance Center 服务为目标的规则，并且仅允许来自指定网络区域的专用端点访问该服务。

{
  "description": "Example rule 1",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "compliance"
        }
      ]
    }
  ],
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

使用 CLI 创建规则

查看以下示例以了解如何使用 CLI 为 Security and Compliance Center 创建规则。 有关更多信息，请参阅 CBR CLI 参考。

此命令创建以 Security and Compliance Center 服务为目标的规则，并且仅允许来自指定网络区域的专用端点访问该服务。

ibmcloud cbr rule-create --description 'Example Rule Description' --service-name compliance --context-attributes endpointType=private --zone-id ZONE_ID --enforcement-mode report

对于实施方式选项，CLI 接受值 enabled，disabled 和 report。 如果未指定强制实施，那么缺省情况下将启用该规则。