クラウドのより効率的、安全な運用を支援をするクラウドアドバイザ

クラウド・アドバイザはCost Management と Security のふたつの視点から、現在のOCIの運用に対してアドバイスしてくれるサービスです。
このサービスは、クラウド運用の上で役に立つので、定期的に確認するようにすると良いと思います。
Cost managementは初期状態から動いていますが、Securityのアドバイザは、意識的にユーザーが機能をオンにしないと動きません、なのでどう使えるのか確認してみたいと思います。

初期状態では機能していないのは、cloudguardというオラクルの運営するサービスアカウントに対して、私のシステムを覗いてもよいですよ、というユーザー側のオプトインによってはじめて有効化できます、という考え方に基づくものであると思われます。
ここで、私のアカウントの設定詳細を知ることのできるcloudguardというオラクル運営の第三者アカウントを招き入れるリスクは、自分が設定のミスをして、セキュリティ上の問題を起こすリスクより小さいと判断するかどうかになると思います。しかし、独自な社内ルールなど禁止されていたりしていない限りはオンにしておいた方が、よりセキュアだと思います。

なお、クラウド・ガードSecurityはAlways Freeでは使用できません。

初期設定

クラウドガードの有効化

コンソールでセキュリティ >> クラウドガード　または
クラウド・アドバイザ >> ダッシュボード >> Security
で移動し "クラウド・ガードの有効化"　をクリック

確認画面の中に cloudgouardというサービスに対してこの一覧にあるようにいろいろなものに対してreadアクセスの閲覧権限を与えますかと聞かれていますので、許可します。

ポリシーの作成をクリック

この"有効化"で、上記のcloudguardポリシーを有効化します。
これを全てのコンパートメントに対して有効化　します。
もちろん、見てはいけないコンパートメントがある場合はルートコンパートメント以外にしましょう。

どのような項目をチェックするかと言うと、ディテクタ・レシピは2種類あり
構成ディテクタ(OCI Configuration Detector Recipe)　と
アクティビティ・ディテクタ (OCI Activity Detector Recipe) 　です。
どんな項目をチェックしているのかは、それぞれのレシピを開いてみると分かります。
構成ディテクタは39種類の検知項目で、設定に対する検知で、例えば、アクセス許可範囲が広すぎないかとかの警告をしてきます。

アクティビティディテクタは24種類の検知項目で、動きに対する検知で、例えばインスタンスを消去したのであれば、それに対してアクセス権を持っていたIAM許可を消す必要はありませんか、などと警告してきます。