alibabacloud-sas-openclaw-security

OpenClaw セキュリティ運用

aliyun CLI を介して Alibaba Cloud Security Center（SAS）および ECS API を呼び出し、OpenClaw 環境に対する包括的なセキュリティ運用を実施します。

ワークフロー

次の順序でセキュリティ運用を実行します。

1. インスタンスを照会：OpenClaw のデプロイ状況を把握します（SCA コンポーネントの照会）。
2. セキュリティを確認：脆弱性、ベースライン、アラートの 3 つの観点から確認します。
3. 詳細に調査：特定されたリスクの相関分析を行います。
4. 修正：修正ガイドを参照してリスクに対処します（ガイダンスのみ）。
5. 推奨：リスクに基づいて Alibaba Cloud のセキュリティ製品を推奨します。
6. 日次レポート：セキュリティ日次レポートの概要を作成します。

詳細なワークフローについては、references/security_workflow.md を参照してください。

前提条件

すべての API 呼び出しは aliyun CLI を介して行います。使用前に次の手順を完了してください。

事前確認：Aliyun CLI 3.3.3 以上が必要です

aliyun version を実行して、バージョンが 3.3.3 以上であることを確認してください。未インストールの場合、またはバージョンが古い場合は、 curl -fsSL https://aliyuncli.alicdn.com/setup.sh | bash を実行して更新してください。

事前確認：Aliyun CLI プラグインの更新が必要です

[MUST] aliyun configure set --auto-plugin-install true を実行して、自動プラグインインストールを有効にしてください。 [MUST] aliyun plugin update を実行して、既存のプラグインを常に最新の状態にしてください。

[MUST] CLI User-Agent — aliyun CLI コマンドを実行するたびに、次を含める必要があります。 --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-openclaw-security

1. aliyun CLI がインストールされていることを確認する

aliyun コマンドを実行して、インストール状況を確認します。

aliyun version

2. 認証情報の設定を確認する

aliyun sts get-caller-identity

まだ設定されていない場合は、aliyun configure を実行して、プロンプトに従ってください。認証情報は ~/.aliyun/config.json に保存されます。

スクリプトや環境変数に AK/SK をハードコードしないでください。認証情報は aliyun configure で一元管理してください。 いかなる場合も、access_key_id や access_key_secret などの認証情報を平文で出力しないでください。

3. region-id の取り扱いに関する注意

Security Center（SAS）および Security Guardrail（AISC）の機能を使用する場合、対応リージョンは cn-shanghai（中国本土）と ap-southeast-1（中国本土以外）の 2 つのみです。

Cloud Assistant（ECS）の機能を使用する場合、region-id は ECS インスタンスのリージョンに直接紐づいています。Security Center UUID からインスタンスの region-id を調べるには、query_asset_detail を使用してください。

4. RAM 権限を確認する

この Skill のすべての CLI 呼び出しには、各クラウドサービスに対応する RAM Action の認可が必要です。最小権限ポリシーについては、references/ram-policies.md に記載されています。

User-Agent について

base_client.py を介して実行する aliyun CLI の呼び出しには、--user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-openclaw-security が自動的に追加されます。手動で設定する必要はありません。

クイックスタート

OpenClaw インスタンスを照会する

デプロイ済みの OpenClaw コンポーネントをすべて一覧表示し、ホスト名、IP、バージョンを確認します。

python -m scripts.query_openclaw_instances \
    --name-pattern openclaw --biz sca_ai

アセットの詳細を照会する

UUID を指定して、単一のマシンの詳細情報（OS、IP、ディスク、クライアントの状態など）を照会します。

python -m scripts.query_asset_detail --uuid <UUID>
# Multiple UUIDs separated by commas
python -m scripts.query_asset_detail --uuid <UUID1>,<UUID2>

脆弱性を確認する

OpenClaw に関連する未解決の緊急脆弱性を照会し、修正の推奨事項とともに脆弱性一覧を出力します。

python -m scripts.check_openclaw_vulns \
    --name "emg:SCA:AVD-2026-1860246" --type emg --dealed n
# View only critical vulnerabilities
python -m scripts.check_openclaw_vulns --necessity asap

ベースラインのリスクを確認する

UUID を指定して、ベースラインチェック結果の概要を照会します。特定のリスク項目のチェック詳細を確認するには、--risk-id を指定します。

# Summary only
python -m scripts.check_openclaw_baseline --uuid <UUID>
# Drill into a specific risk item
python -m scripts.check_openclaw_baseline --uuid <UUID> --risk-id 320

アラートを確認する

未対応のセキュリティアラートを照会します。重大度またはホストで絞り込めます。

python -m scripts.check_openclaw_alerts --dealed N
# View only critical alerts
python -m scripts.check_openclaw_alerts --dealed N --levels serious
# Filter by specific hosts
python -m scripts.check_openclaw_alerts --uuids <UUID1>,<UUID2>

チェックタスクをプッシュする

指定したマシンの脆弱性スキャンとベースラインチェックを開始します。実行前に UUID を確認してください。

python -m scripts.push_openclaw_check_tasks --uuid <UUID>

Security Guardrail をインストールする

Cloud Assistant を介して、指定した ECS インスタンスに Security Guardrail をデプロイします。インストール完了まで自動的に待機し、結果を出力します。

python -m scripts.install_security_guardrail \
    --instance-ids i-abc123 --region cn-hangzhou
# Multiple machines
python -m scripts.install_security_guardrail \
    --instance-ids i-abc123,i-def456

ガードレールのステータスを照会

Cloud Assistant を介して対象マシンでのセキュリティガードレールの実行状況を検出し、インストール後の確認に使用します。

python -m scripts.query_guardrail_status \
    --instance-ids i-abc123 --region cn-hangzhou

Cloud Assistant コマンドを実行

ECS インスタンス上で任意の Shell コマンドをリモート実行し、リアルタイムで結果を待機して出力を返します。

python -m scripts.run_cloud_assistant_command \
    --instance-ids i-abc123 \
    --command "uname -a" \
    --region cn-hangzhou

注意：

1. Cloud Assistant のリージョンは ECS インスタンスのリージョンと一致している必要があります。SAS のデフォルトは cn-shanghai、ECS のデフォルトは cn-hangzhou です。
2. コマンド内の $() は \$() のようにエスケープしてください。
3. 実行前に必ずコマンド全体をユーザーに明示し、明確な確認を得てください。

セキュリティ日次レポートを生成

インスタンス、脆弱性、ベースライン、アラートの 4 つの観点をワンクリックで集計し、Markdown レポートを output/ ディレクトリに出力します。

python -m scripts.generate_security_report

スクリプトリファレンス

スクリプト	用途	必須引数	任意引数（一般的なもの）
query_openclaw_instances.py	OpenClaw SCA インスタンス一覧を照会	—	--name-pattern、--biz、--max-pages
query_asset_detail.py	UUID でアセットの詳細（ホスト／OS／ディスク／クライアントのステータス）を照会	--uuid	--region
check_openclaw_vulns.py	未解決の脆弱性を照会	—	--name、--type、--dealed、--necessity、--uuids
check_openclaw_baseline.py	UUID でベースラインチェックの結果を照会	--uuid	--risk-id（特定のリスク項目を詳しく確認）
check_openclaw_alerts.py	セキュリティアラートイベントを照会	—	--dealed、--levels、--uuids、--name
push_openclaw_check_tasks.py	脆弱性とベースラインのチェックタスクを送信（スキャンを開始）	--uuid	--tasks
get_ai_agent_plugin_command.py	AI Security Assistant のインストールコマンドを取得	—	--output-dir
install_security_guardrail.py	Cloud Assistant を介してセキュリティガードレールをインストール	--instance-ids	--region、--timeout、--username
query_guardrail_status.py	Cloud Assistant を介してガードレールのインストール／実行ステータスを照会	--instance-ids	--region、--timeout
run_cloud_assistant_command.py	Cloud Assistant を介して ECS 上でコマンドをリモート実行	--instance-ids、--command	--region、--type、--timeout、--username
generate_security_report.py	4 つの観点（インスタンス／脆弱性／ベースライン／アラート）でセキュリティ日次レポートを集計	—	--vuln-name、--name-pattern、--region

すべてのスクリプトは --region と --output-dir パラメーターに対応しています（run_cloud_assistant_command.py は --output-dir に対応していません）。

Cloud Assistant のセキュリティルール

Cloud Assistant を介してコマンドを実行する前に、以下のルールに従う必要があります。

1. 実行するコマンドの全内容をユーザーに明確に伝えてください。
2. コマンドの実行前に、ユーザーから明示的な確認（同意の返信）を得てください。
3. ユーザーから確認を得ていない場合、またはコマンドのリスクが高い場合は、実行してはいけません。

出力方針

すべてのクエリ結果とレポートは output/ ディレクトリに保存されます。

• JSON 形式：プログラムでの利用を目的とした、API の生のレスポンスデータ
• Markdown 形式：表示やアーカイブに適した、人が読みやすいレポート

参考資料

• API パラメーターリファレンス
• セキュリティ運用ワークフロー
• 修復と製品の推奨事項
• RAM 権限ポリシー