一键修复

该功能目前仅支持AWS。

配置一键修复

要启用 修复角色ARN ，请按以下步骤操作：

在 GravityZone云安全态势管理中，选择 扫描配置 页面。
从 扫描组 列中，选择需要启用修复功能的账户。
点击编辑图标。

随后 账户详情 面板将显示。
在 账户详情 面板中，点击 配置修复 链接。

此时 修复配置 页面将呈现。

提供两种添加修复角色的方式：

CloudFormation
手动

CloudFormation方法（推荐）

按照以下步骤通过 修复角色ARN 使用 CloudFormation 方法进行配置：

在 选择连接方式 下，选择 CloudFormation 方法。

重要提示

在AWS安装过程中请勿关闭创建界面。
请在新浏览器标签页或窗口中以管理员账户登录AWS账户。
返回 GravityZone云安全态势管理 修复配置 浏览器页面。
点击 启动CloudFormation堆栈 .

随后 创建堆栈 页面将在新浏览器窗口显示，页面多个部分的信息已自动填充。
在 创建堆栈 页面中，向下滚动至功能部分。
勾选 我确认AWS CloudFormation可能创建IAM资源 复选框。
点击 创建堆栈 .

该堆栈将立即出现在您的AWS账户中：
等待CloudFormation堆栈状态显示为 创建完成 .
转到输出标签页。
复制值列中的信息。
返回 修复配置 浏览器页面。
将值粘贴到 在此处粘贴角色ARN 字段下。
点击添加 .

手动方法

您可以调整并限制 GravityZone云安全态势管理对AWS云资产的修复程度。

创建客户托管策略

要通过AWS管理控制台创建客户托管策略，请按照以下步骤操作：

在 选择连接方法 下，选择手动方法。

重要提示

在AWS安装期间请勿关闭创建屏幕。
打开新的浏览器标签页或窗口，并使用管理员账户登录AWS账户。
转到 IAM > 策略部分并点击 创建策略 .
选择JSON标签页。

复制以下参数并粘贴到 策略编辑器 :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowWardenRemediation",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:AddTags",
                "cloudtrail:CreateTrail",
                "cloudtrail:DescribeTrails",
                "cloudtrail:GetEventSelectors",
                "cloudtrail:GetTrail",
                "cloudtrail:GetTrailStatus",
                "cloudtrail:PutEventSelectors",
                "cloudtrail:StartLogging",
                "cloudwatch:DescribeAlarms",
                "cloudwatch:DescribeAlarmsForMetric",
                "cloudwatch:EnableAlarmActions",
                "cloudwatch:PutMetricAlarm",
                "ec2:CopyImage",
                "ec2:CreateFlowLogs",
                "ec2:DescribeFlowLogs",
                "ec2:DescribeImages",
                "ec2:DescribeSnapshotAttribute",
                "ec2:DescribeSnapshots",
                "ec2:ModifyImageAttribute",
                "ec2:ModifySnapshotAttribute",
                "elasticloadbalancing:DescribeLoadBalancerAttributes",
                "elasticloadbalancing:DescribeLoadBalancers",
                "elasticloadbalancing:ModifyLoadBalancerAttributes",
                "iam:CreateRole",
                "iam:DeactivateMFADevice",
                "iam:DeleteAccessKey",
                "iam:DeleteLoginProfile",
                "iam:DeleteServiceSpecificCredential",
                "iam:DeleteSigningCertificate",
                "iam:DeleteSSHPublicKey",
                "iam:DeleteUser",
                "iam:DeleteUserPolicy",
                "iam:DeleteVirtualMFADevice",
                "iam:DetachUserPolicy",
                "iam:GetAccessKeyLastUsed",
                "iam:GetAccountPasswordPolicy",
                "iam:GetLoginProfile",
                "iam:GetRole",
                "iam:GetUser",
                "iam:ListAccessKeys",
                "iam:ListAttachedUserPolicies",
                "iam:ListGroupsForUser",
                "iam:ListMFADevices",
                "iam:ListServiceSpecificCredentials",
                "iam:ListSigningCertificates",
                "iam:ListSSHPublicKeys",
                "iam:ListUserPolicies",
                "iam:PutRolePolicy",
                "iam:RemoveUserFromGroup",
                "iam:UpdateAccountPasswordPolicy",
                "kinesis:DescribeStream",
                "kinesis:StartStreamEncryption",
                "kms:DescribeKey",
                "kms:EnableKeyRotation",
                "kms:GetKeyRotationStatus",
                "logs:CreateLogGroup",
                "logs:DescribeLogGroups",
                "logs:DescribeMetricFilters",
                "logs:PutMetricFilter",
                "rds:DescribeDBInstances",
                "rds:DescribeDBSnapshotAttributes",
                "rds:DescribeDBSnapshots",
                "rds:ModifyDBInstance",
                "rds:ModifyDBSnapshotAttribute",
                "s3:CreateBucket",
                "s3:GetBucketAcl",
                "s3:GetBucketLocation",
                "s3:GetBucketPolicy",
                "s3:GetEncryptionConfiguration",
                "s3:ListBucket",
                "s3:PutBucketAcl",
                "s3:PutBucketLogging",
                "s3:PutBucketPolicy",
                "s3:PutBucketTagging",
                "s3:PutEncryptionConfiguration",
                "sns:CreateTopic",
                "sns:GetTopicAttributes",
                "sns:ListSubscriptions",
                "sns:ListSubscriptionsByTopic",
                "sns:SetTopicAttributes",
                "sns:Subscribe",
                "sns:TagResource",
                "sqs:GetQueueAttributes",
                "sqs:GetQueueUrl",
                "sqs:SetQueueAttributes"
            ],
            "Resource": "*"
        }
    ]
}

注意

有关操作的更多信息，请查阅官方文档 .

点击 下一步 .

系统将显示 审核并创建 窗口。
在 策略详情 部分填写信息：
- 在 策略名称 中输入描述性名称，例如 gravityzone-cloud-remediation-policy .
- 为策略输入清晰的描述。
点击 创建策略 .

新策略创建完成后，您可以在 IAM > 策略 .

使用新创建的自定义托管策略创建角色

按照以下步骤操作：

进入 IAM > 角色部分，点击 创建角色 .

系统将显示 选择可信实体 窗口。
在 可信实体类型 下，选择 AWS账户 .
在 AWS账户 部分，选择 另一个AWS账户 .
返回 修复配置 浏览器页面并复制账户ID。
在 账户ID 下方，粘贴第4步复制的信息。
在选项部分，勾选 需要外部ID 复选框。
返回 修复配置 浏览器页面并复制外部ID。
在 外部ID 输入框中，粘贴第7步复制的信息。

注意

确保 需要MFA 复选框未被勾选。
点击 下一步 .

此时将显示 添加权限 窗口。
在 权限策略 下方，按名称搜索新创建的策略并选中。
点击 下一步 .

系统将显示 创建角色 窗口。
在 角色详情 部分填写信息：
- 在 角色名称 栏中输入描述性名称，例如 gravityzone-cloud-remediation .
- 为角色输入清晰的描述。
滚动至页面底部并点击 创建角色 .

系统显示角色页面。
按名称搜索新创建的角色并点击它。

系统显示角色页面。
从编辑按钮（位于摘要部分）。

该 编辑描述和会话时长 窗口将显示。
将 最长会话时长 设置为4小时并点击 保存更改 .
点击复制按钮（位于 ARN 下方的摘要部分）。
返回 修复配置 浏览器页面。
在 在此处粘贴角色ARN 字段中，粘贴您在第17步复制的ARN。
点击添加 .

此时 修复角色ARN 可显示于 账户详情 面板中。

通过一键式修复流程

请参照以下步骤执行修复流程：

前往 态势管理 > 规则页面。
在规则页面中，您可以从列表中选择规则，或通过搜索栏查找特定规则。

您可通过规则标题所在行的图标快速识别已配置一键修复的规则。

注意

若图标缺失，则表示该规则不可修复。某些特定规则可能显示修复图标，但该功能并不适用于该规则下列出的所有账户。
点击需修复的规则并展开详情。
点击任意行可进入 检查详情 面板。
点击修复标签页。

系统默认选择 Playbook代码 修复选项。

注意

一键修复功能并非针对所有 Playbook代码 ，而仅适用于部分规则 .
点击 一键修复 按钮。

随后将显示以下弹出窗口。

片刻之后，系统会显示一条消息，告知您修复是否成功。您可以通过访问AWS控制台或直接点击 检查详情 面板中资源名称旁的链接查看详细信息。若要在 GravityZone云安全态势管理平台中查看状态变更，您需要执行新的扫描。