私の IBM Cloud アカウント監査イベントを取り込まないのはなぜですか

IBM Cloud アカウント CDR を有効にした後、そのアカウント Workload Protection インスタンスの [統合] > [環境] > [ IBM Cloud ] に Connected として表示されません。

CDR接続は、以下のいずれかの理由でアクティブになっていない可能性があります：

  • 信頼済みプロファイルが正しく作成されていないか、 Workload Protection インスタンス CRN がプロファイルの信頼済みエンティティとして設定されていません。
  • Trusted Profile には、 Object Storage バケットからの読み取りやサービス ID の表示に必要な IAM アクセスポリシーがありません。
  • Activity Tracker Event Routing ターゲットが Object Storage バケットに正しく書き込まれていない。
  • レジストリシークレットが見つからないか、APIキーが間違っているため、 Code Engine アプリケーションが実行されない。
  • Code Engine と IBM Cloud Object Storage 間の IAM サービス間承認ポリシーが欠落しているため、 Object Storage イベント通知が配信されません。
  • Object Storage イベントサブスクリプションの宛先が Code Engine アプリケーション名と一致しません。
  • ステップ7のパラメータ（cdr_bucket_region, cdr_bucket_name, cdr_ingestion_url ）は、前のステップで作成されたリソースと一致しない。

この問題を解決するには、以下のステップを実行します。

  1. Activity Tracker Event Routing ターゲットが Object Storage バケットに正常に書き込まれていることを確認する：

    ibmcloud atracker target get --target <target_name>

    Write Status が success を示していることを確認する。 エラーが表示された場合は、 Activity Tracker Event Routing と IBM Cloud Object Storage の間のサービス間認証が有効になっていることと、バケットが想定されるリージョンに存在することを確認する。

  2. 信頼されたプロファイルに、信頼されたエンティティとして Workload Protection インスタンス CRN が含まれ、必要なアクセス・ポリシーがあることを確認します：

    ibmcloud iam trusted-profile-get ibmcdr-wp-cos

    信頼関係が正しい Workload Protection CRN を指しており、 cloud-object-storage （Viewer、Reader on the bucket）および iam-identity （Viewer on the Service ID）のポリシーが存在することを確認する。

  3. Code Engine アプリケーションが起動していることを確認する：

    ibmcloud ce application get --name sccwp-cdr-app

    アプリケーションの準備ができていない場合は、 icr-secret レジストリ・シークレットが正しく設定されているか、 cdr-secrets シークレットに有効なAPIキーが含まれているかを確認する。 画像が引き出せない場合、サービスIDがリーダーから IBM Cloud Container Registry にアクセスできることを確認する。

  4. Code Engine と IBM Cloud Object Storage の間に IAM 認証ポリシーが存在することを確認する：

    ibmcloud iam authorization-policies

    IBM Cloud Object Storage インスタンスで Code Engine Notifications Manager ロールを付与するポリシーを探します。 見つからない場合は、セットアップのステップ6で認可ポリシーコマンドを再実行してください。

  5. Object Storage イベントサブスクリプションが準備できており、正しいアプリケーションを指していることを確認する：

    ibmcloud ce subscription cos get --name cdr-cos-sub

    Destination が sccwp-cdr-app と一致し、 Bucket が Object Storage のバケツ名と一致し、 Ready が true を示していることを確認する。

  6. セットアップのステップ7を正しい値で再実行して、 Workload Protection インスタンスが正しいパラメータで更新されたことを確認する。 cdr_bucket_region、 cdr_bucket_name、 cdr_trusted_profile_id、 cdr_service_id、 cdr_ingestion_url がすべて、前のステップで作成したリソースと一致していることを確認する。

  7. 修正後、 Workload Protection UIで接続ステータスが更新されるまで最大5分かかります。

詳細については、 IBM Cloud の検出と応答を有効にして ください。