# 多账号管理 #### 操作场景 随着企业上云的广泛应用，越来越多的企业将业务迁移至云端，云端的资源、项目、人员、权限管理变得极其复杂。企业用户对于跨账号的云资源具有集中化管理需求，安全云脑支持将多个云账号集合到一个账号内，对多个云账号资源进行统一安全管理、安全防护配置及数据运营监控，并实时检测各个成员账号的安全风险状况，实现多账号快捷运营。 本文介绍如何实现多账号管理。 - [创建多账号管理]：当期望通过组织管理员或委托管理员账号集中管理多个业务账号场景，可创建多账号管理。 - [查看多账号管理]：支持查看运营账号已管理的业务账号信息，包含账号名称、账号类型、账号状态、接入日志数等。 - [解除或批量解除多账号管理]：当希望解除一个或多个业务账号的管理时，可执行该操作。 #### 基本概念 - 运营账号：用来管理其他成员账号的主账号，也称为运营账号。一个运营账号可以管理多个业务账号。 - 业务账号：被运营账号（主账号）管理的成员账号，也称子账号。一个业务账号（子账号）仅能被一个运营账号管理。 - 主工作空间：系统默认安全云脑创建的第一个工作空间为主工作空间，且在"工作空间 \> 空间管理"页面置顶。也支持用户变更主工作空间。在"工作空间 \> 空间管理"页面，单击对应的目标工作空间右侧的![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002351236165.png "点击放大")设置按钮，在弹出的工作空间详情页面打开"主工作空间"按钮即可完成主工作空间变更设置。 #### 多账号管理使用流程 表1多账号管理使用流程 | 序号 | 操作项 | 说明 | |:---|:---|:---| | 1 | [按组织进行授权](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_0278.html#secmaster_01_0278__zh-cn_topic_0000001565953938_section2851145918115) | 在使用多账号管理功能前，需要完成创建组织，邀请账号加入组织，并进行按组织授权。仅组织管理员或委托管理员账号可以执行多账号管理操作。 - 已创建组织，且已邀请账号加入组织，详细操作请参见[创建组织](https://support.huaweicloud.com/usermanual-organizations/org_03_0015.html)、[邀请账号加入组织](https://support.huaweicloud.com/usermanual-organizations/org_03_0026.html)。 - 已完成按组织服务委托授权，详细操作请参见[按组织进行授权](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_0278.html#secmaster_01_0278__zh-cn_topic_0000001565953938_section2851145918115)。 | | 2 | 创建多账号管理 | 运营账号创建多账号管理。通过运营账号管理多个业务账号。 其中仅组织管理员或委托管理员账号可以执行多账号管理操作。 | | 3 | 接入云服务日志 | 通过运营账号的主工作空间接入其管理的业务账号的云服务日志。 系统默认安全云脑创建的第一个工作空间为主工作空间，且在"工作空间 \> 空间管理"页面置顶。也支持用户变更主工作空间。在"工作空间 \> 空间管理"页面，单击对应的目标工作空间右侧的![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002317488038.png "点击放大")设置按钮，在弹出的工作空间详情页面打开"主工作空间"按钮即可完成主工作空间变更设置。 | | 4 | 多账号管理运营 | 通过运营账号主工作空间进行多账号数据管理，运营。该场景下，如需进行基线检查，请在运营账号主工作空间执行并查看基线检查结果。 | #### 约束与限制 - 仅安全云脑专业版支持多账号管理功能。 - 多账号管理场景下，业务账号的数据只能接入运营账号的主工作空间。 - 一个业务账号仅能被一个运营账号管理。 - 一个运营账号支持最多纳管10000个业务账号。 - 配置多账号纳管时，仅一个运营账号支持打开"新增账号自动纳管"按钮，不支持多个运营账号同时打开"新增账号自动纳管"按钮。 - 仅组织管理员或委托管理员权限账号可执行"多账号管理"操作。组织管理员是指创建组织的账号，一个组织有且仅有1个组织管理员。委托管理员更多信息请参考[委托管理员](https://support.huaweicloud.com/usermanual-organizations/org_03_0043.html)。 - 多账号管理不支持跨Region数据托管。 - 多账号管理场景，运营账号不支持处置其所纳管的业务账号的告警（由智能建模的告警模型生成的告警），运营账号仅支持处置本账号下的由告警模型生成的告警。因此，多账号管理场景下，运营账号不支持通过如下剧本自动处置其所纳管的业务账号下的告警。关于剧本的更多信息请参见[剧本说明](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_0367.html#secmaster_01_0367)。 表2受影响的内置剧本列表 | 剧本名称 | 剧本说明 | |:---|:---| | HSS文件隔离查杀 | 自动隔离查杀恶意软件。 | | 挖矿主机隔离 | 当主机告警类型是挖矿程序/挖矿软件，对当前主机进行隔离，添加安全组，对入方向和出方向全部阻断。 | | 勒索主机隔离 | 当主机告警类型是勒索软件，对当前主机进行隔离，添加安全组，对入方向和出方向全部阻断。 | | HSS高危告警拦截通知 | 主机高危告警，如果源IP未加入安全组阻断，则通知客户并生成待办，如果人工审核通过则加入安全云脑VPC策略阻断。 | | 主机Rootkit事件攻击自动化处置 | 当主机告警类型为Rootkit，对当前主机进行隔离，添加安全组，对入方向和出方向全部阻断，同时关闭告警。 | | 主机反弹Shell攻击自动化处置 | 当主机告警类型为反弹shell，对当前主机进行隔离，添加安全组，对入方向和出方向全部阻断，同时关闭告警。 | | Web登录爆破拦截 | 对登录爆破成功的IP进行情报验证，如果不在白名单，则进行拦截通知，生成拦截待办，待办人工审核通过后会将该IP加入安全云脑WAF阻断策略中。 | | 高危告警自动化安全封堵 | 针对高危和致命告警，源IP地址攻击次数达到阈值(次数\>3)且命中微步在线的恶意标签，根据告警来源将该ip对应策略阻断(WAF、VPC、CFW、IAM)。 | | 高危告警WAF自动处置 | 安全云脑提供的"高危告警WAF自动处置"剧本，剧本已匹配"高危告警WAF自动处置"流程。该剧本会自动获取CloudTIC（华为云平台侧情报中心）中WAF的IP情报，针对"威胁度"为"黑"且"置信度"大于70的IP情报（判定为有风险的IP情报）进行自动封堵IP并新增IP情报指标。针对"威胁度"为"白"或"置信度"小于30的IP情报（判定为低风险的IP情报）自动关闭告警并自动新增IP情报指标。 | #### 前提条件 - 已创建组织，且已邀请账号加入组织，详细操作请参见[创建组织](https://support.huaweicloud.com/usermanual-organizations/org_03_0015.html)、[邀请账号加入组织](https://support.huaweicloud.com/usermanual-organizations/org_03_0026.html)。 - 已完成按组织服务委托授权，详细操作请参见[按组织进行授权](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_0278.html#secmaster_01_0278__zh-cn_topic_0000001565953938_section2851145918115)。 #### 创建多账号管理 1. 用组织管理员或委托管理员权限账号[登录安全云脑 SecMaster控制台](https://console.huaweicloud.com/secmaster/#/secmaster/ssa/overview)。 2. 单击管理控制台左上角的![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002020168740.png)，选择区域和项目。 3. 在左侧导航栏选择"多账号管理"，进入多账号管理页面。 图1多账号管理页面 ![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002658661983.png "点击放大") 4. 在多账号管理页面，单击"多账号纳管"，右侧弹出多账号纳管配置页面。 5. 在多账号纳管配置页面，勾选需要管理的业务账号（子账号）。其中，多账号纳管配置页面下方的"新增账号自动纳管"按钮可根据需要配置，![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002317200444.png "点击放大")打开该按钮表示当组织内新增子账号后会自动纳管。配置完成后，单击页面右下角"确定"。 6. 返回多账号管理页面，可查看已纳管的业务账号列表。 7. 多账号管理创建完成后，需要通过运营账号（用于创建多账号管理的组织管理员或委托管理员账号）的主工作空间接入云服务日志。 在左侧导航栏选择"工作空间 \> 空间管理"，进入空间管理页面。在空间管理页面的工作空间列表中，单击首个工作空间右侧的![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002351326509.png "点击放大")设置按钮，在弹出的工作空间详情页面可查看"主工作空间"按钮，按钮已开启![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002351329713.png "点击放大")表示当前工作空间是主工作空间。系统默认设置创建的第一个工作空间为主工作空间且在空间管理列表置顶，也支持用户变更主工作空间。 8. 确认了主工作空间后，在"工作空间 \> 空间管理"页面，单击主工作空间名称，进入主工作空间管理页面。 9. 在左侧导航栏选择"日志审计 \> 云服务接入"，在云服务接入配置页面，单击"一键接入"按钮，右侧弹出"一键接入"配置页面。 图2一键接入云服务配置 ![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002351957973.png "点击放大") 10. 在"一键接入"配置页面，配置需要接入云服务日志的账号、区域、日志类型等。配置完成后，单击页面右下角"确定"。 表3一键接入云服务日志参数配置 | 参数名称 | 参数说明 | |:---|:---| | 厂商 | 接入日志的云服务产品的厂商。 | | 接入的账号 | 当一个运营账号管理多个业务账号时，通过运营账号的主工作空间配置云服务日志接入，此处下拉勾选需要接入云服务日志的业务账号。**配置不能为空。** - 所有账号：一键接入所有账号（含运营账号和业务账号）的云服务日志。 - 指定账号：默认勾选接入本账号（运营账号）的云服务日志，支持用户下拉选择设置需要接入的业务账号日志。 | | 区域 | 下拉选择数据源的区域，即运营账号和业务账号日志所在的区域。 | | 选择接入的日志 | 在日志列表勾选需要接入的云服务日志类型。 | | 配置同步 | 将配置应用到其他区域的主工作空间。 打开此按钮，表示其他区域的主工作空间接入的云服务日志类型与当前主工作空间配置相同。 | 11. 返回云服务接入页面，可查看已接入云服务日志的产品列表。单击云服务产品所在行操作列的"设置"按钮，在弹出的"设置"页面，可设置该云服务产品接入的具体日志类型，根据需要配置。 图3云服务日志接入设置页面 ![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002318085660.png "点击放大") 表4云服务日志接入设置页面参数说明 | 参数名称 | 参数说明 | |:---|:---| | 日志类型 | 日志的类型。 | | 日志接入 | 设置日志接入。按钮打开表示日志接入安全云脑。 | | 新增账号自动接入 | 设置组织内新增的账号是否自动接入该日志。 | | 自动转告警 | 在"自动转告警"列，单击![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002317944526.png)，开启后，当接入的云服务日志满足告警触发条件时，自动转为告警，并且在"告警管理"页面中进行展示。 支持自动转告警的日志如下： - 安全云脑 SecMaster 合规基线日志 - 企业主机安全 HSS 主机安全告警 - 企业主机安全 HSS 主机漏洞扫描结果 - 企业主机安全 HSS 主机安全基线 - DDos攻击日志 - 数据库审计服务告警 - 云防火墙 攻击事件日志 | | 生命周期 | 日志接入后的存储时长。 | | 已接入账号 | 已接入日志的账号个数。 | | 日志状态 | 日志接入的状态。 - 成功：所有账号的日志都已经成功接入。 - 失败：所有账号的日志都接入失败。 - 接入中：日志接入中。 - 待接入：日志未接入。 - 部分失败：部分账号的日志接入失败，部分账号日志接入成功。 | | 最近活跃时间 | 最近日志接入时间，即活跃时间。 | | 操作 | 单击"编辑"： - 可设置该日志类型的生命周期，单位天。生命周期指的是日志接入后的存储时长。 - 可设置日志接入的账号。 - 可配置同步：将配置应用到其他区域的主工作空间。 | 12. 云服务日志接入配置完成后，可通过运营账号的主工作空间进行多账号数据管理，如资产管理、漏洞管理等。以资产管理为例，在运营账号主工作空间资产管理页面可查看汇聚的资产信息，包含运营账号和业务账号的资产信息，可在资产管理页面的资产列表中通过"账号ID"和"账号名称"区分资产所归属的账号。 #### 查看多账号管理 1. 用组织管理员或委托管理员权限账号[登录安全云脑 SecMaster控制台](https://console.huaweicloud.com/secmaster/#/secmaster/ssa/overview)。 2. 单击管理控制台左上角的![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002020168740.png)，选择区域和项目。 3. 在左侧导航栏选择"多账号管理"，进入多账号管理页面。 图4多账号管理页面 ![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002658661983.png "点击放大") 4. 在多账号管理页面，查看运营账号已纳管的业务账号列表。 表5多账号管理页面账号列表参数说明 | 参数名称 | 参数说明 | |:---|:---| | 账号名 | 已纳管的业务账号的账号名称。 | | 账号类型 | 业务账号的账号类型。当前多账号管理仅支持纳管组织内的子账号，即组织账号。 | | 账号状态 | 账号状态： - 已纳管：表示该业务账号已经被运营账号纳管。 - 纳管中：表示正在创建多账号管理。 - 纳管失败：创建多账号管理纳管该业务账号，任务执行失败。 - 删除中：表示解除该业务账号纳管，且正在执行解除操作。 - 删除失败：表示解除该业务账号纳管，任务执行失败。 | | 接入区域数 | 接入运营账号主工作空间的云服务日志源所在的区域数。 | | 接入日志数 | 该业务账号接入运营账号主工作空间的日志种类数量。举例说明：16/17表示业务账号有17种日志，其中16种已接入运营账号主工作空间。 | | 最近一小时接入日志数 | 最近一小时该业务账号接入运营账号主工作空间的日志种类数量。 | | 最近日志接入时间 | 最近的业务账号日志接入运营账号主工作空间的时间。 | | 账号纳管时间 | 该账号被运营账号纳管的时间。 | | 操作 | 支持解除业务账号的纳管。详细操作请参见[解除或批量解除多账号管理]。 | #### 解除或批量解除多账号管理 1. 用组织管理员或委托管理员权限账号[登录安全云脑 SecMaster控制台](https://console.huaweicloud.com/secmaster/#/secmaster/ssa/overview)。 2. 单击管理控制台左上角的![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002020168740.png)，选择区域和项目。 3. 在左侧导航栏选择"多账号管理"，进入多账号管理页面。 图5多账号管理页面 ![](https://support.huaweicloud.com/usermanual-secmaster/zh-cn_image_0000002658661983.png "点击放大") 4. 在多账号管理页面，单击计划解除管理的账号所在行操作列的"解除"按钮，右侧弹出解除信息确认页面。 若需要批量解除多个账号的管理，则在多账号管理页面，勾选多个待解除管理的业务账号，单击账号列表上方的"批量解除"按钮，右侧弹出解除信息确认页面。 5. 在解除管理信息确认页面最下方，单击"一键输入"，在框内输入"UNLINK"。单击页面右下角"确定"。完成业务账号解绑，解除多账号管理。**解除多账号管理后，运营账号主工作空间接入的业务账号的云服务日志也同步解除日志接入。** ![](https://support.huaweicloud.com/usermanual-secmaster/public_sys-resources/note_3.0-zh-cn.png) - 数据保留说明： 在多账号管理场景下，解除业务账号的纳管后，已经接入到运营账号里业务账号相关信息会继续保留在运营账号中。 该信息不会更新，跟随数据的老化时间而老化删除。 - 数据老化时间说明： - 基线检查：360天 - 告警：360天 - 漏洞：360天 - 资产：永久 - 云服务日志：根据云服务接入管道时配置的"生命周期"时长而定，最长180天。接入云服务日志请参见[接入日志数据](https://support.huaweicloud.com/usermanual-secmaster/secmaster_01_01335.html#secmaster_01_01335)。 6. 操作完成后，返回多账号管理页面，已解除绑定的账号则不会出现在账号列表中，说明操作成功。**解除绑定管理后不可恢复，请谨慎操作**。解除绑定多账号管理后，若需要重新管理账号，需要重新创建多账号管理纳管该账号。