阿里云安全中心多账号管理与基线报告导出

使用 aliyun CLI 和 Python 脚本，对资源目录（Resource Directory）下的多个阿里云账号进行统一管理，并批量导出各账号的安全中心基线检查报告。

前提条件与环境准备

1. 安装阿里云 CLI

# macOS
brew install aliyun-cli

# 或从 GitHub 下载：https://github.com/aliyun/aliyun-cli/releases

验证凭证配置：

aliyun sts get-caller-identity

若调用失败，请指导用户运行 aliyun configure 手动完成凭证配置（交互式步骤，需用户自行完成）。

1.1 启用 AI 模式与插件模式（必需）

本技能依赖 aliyun CLI 的插件模式命令（kebab-case 格式），并要求声明固定的 User-Agent。

# 保持插件版本最新
aliyun plugin update

# 如缺失所需产品插件，请安装
aliyun plugin install --names aliyun-cli-sts,aliyun-cli-sas

# 启用 AI 模式并设置必需的 UA 字段
aliyun configure ai-mode enable
aliyun configure ai-mode set-user-agent --user-agent AlibabaCloud-Agent-Skills

# 可选：检查或回退
aliyun configure ai-mode show
aliyun configure ai-mode disable

2. 安装 Python ≥ 3.6

# 检查版本
python3 --version  # 要求 3.6+，推荐 3.9+

3. 创建虚拟环境并安装依赖

在 /scripts/ 目录下创建虚拟环境，并安装 pyproject.toml 中声明的依赖项：

cd scripts/

# 方案 A：使用 venv
python3 -m venv .venv
.venv/bin/pip install -e .

# 方案 B：使用 uv（可选）
uv sync

# 方案 C：若当前 Python 版本不兼容，可作为系统级依赖安装
pip install -r requirements.txt

4. 执行命令

所有脚本必须使用虚拟环境中的 Python 解释器执行（无论该环境由 venv、uv、conda 等创建）。本文档示例中统一使用 .venv/bin/python，请根据实际环境路径替换为对应路径。

工作目录说明

accounts.json 文件及导出的 Excel 文件均保存在Agent 当前工作目录（即执行命令所在的目录）。脚本文件本身位于 /scripts/。运行命令时请勿切换至 scripts 目录，否则可能导致 accounts.json 位置意外偏移。

# 示例：可在任意目录下执行
.venv/bin/python /path/to/scripts/accounts.py refresh

功能一：账号管理（accounts.py）

工作流程

1. 首次使用：运行 refresh 命令，从资源目录拉取账号列表。
2. 按需筛选：使用 search 命令查找目标账号，获取 AccountId。
3. 启用/禁用控制：使用 enable / disable 命令决定哪些账号参与后续批量导出任务。

快速入门

刷新账号列表

从阿里云资源目录获取最新账号列表，并写入 accounts.json。已存在的 enable 状态将被保留；新增账号默认启用。

.venv/bin/python accounts.py refresh

列出全部账号

.venv/bin/python accounts.py list

输出示例：

1225574417218097    cwx                     [enabled]
1234567890123456    prod-account            [disabled]

搜索账号

基于 DisplayName 进行模糊匹配，返回 AccountId 及启用状态。

.venv/bin/python accounts.py search cwx
.venv/bin/python accounts.py search prod

启用 / 禁用账号

控制某账号是否参与后续批量导出任务。

.venv/bin/python accounts.py enable 1225574417218097
.venv/bin/python accounts.py disable 1234567890123456

accounts.json 结构说明

[
  {
    "AccountId": "1225574417218097",
    "DisplayName": "cwx",
    "FolderId": "r-1Q4pqB",
    "IsMaAccount": "NO",
    "SasVersion": "0",
    "enable": true
  }
]

功能二：批量基线报告导出（baseline.py）

为所有 enable=true 的账号并发启动导出任务。轮询完成后，自动下载、解压并合并为单个 Excel 文件。

工作流程

1. 并发提交：为所有启用的账号提交 export-record 请求（QPS ≤ 5）。
2. 并发轮询：对每个账号轮询 describe-export-info，直至导出完成。
3. 下载与解压：下载 zip 包并解压出 xlsx 文件。
4. 合并输出：通过 merge.py 将所有账号的 xlsx 文件合并为一个文件，并追加“资源目录账号”列。
5. 清理临时文件：合并完成后删除各账号对应的临时 xlsx 文件。

前提条件

• 已完成 accounts.py refresh，且账号启用/禁用配置已就绪。
• aliyun CLI 已配置有效凭证，并具备 SAS 的 export-record 和 describe-export-info 权限。
• 目标账号需已购买安全中心服务（免费版账号将被自动跳过）。

导出云平台配置检查结果（CSPM）

为所有启用的账号导出 baselineCspm 结果，并合并为 baseline-cspm-merged-{date}.xlsx。

# 为所有启用的账号执行导出
.venv/bin/python baseline.py export-cspm

# 仅为指定账号执行导出
.venv/bin/python baseline.py export-cspm --account-id 1225574417218097

导出系统基线风险列表

为所有启用的账号导出 exportHcWarning 风险列表（高/中/低风险，全部状态），并合并为 system-warning-merged-{date}.xlsx。

# 为所有启用的账号执行导出
.venv/bin/python baseline.py export-system-warning

# 仅为指定账号执行导出
.venv/bin/python baseline.py export-system-warning --account-id 1225574417218097

输出文件

错误处理

功能三：批量漏洞导出（vuln.py）

为所有 enable=true 的账号并发启动漏洞导出任务，支持四类漏洞类型。轮询完成后，自动下载、解压并合并为单个 Excel 文件。

工作流程

1. 并发提交：为所有启用的账号提交 export-vul --force 请求（QPS ≤ 5）。
2. 并发轮询：对每个账号轮询 describe-vul-export-info --force，直至导出完成。
3. 下载与解压：下载 zip 包并解压出 xlsx 文件。
4. 合并输出：通过 merge.py 将所有账号的 xlsx 文件合并为一个文件，并追加“资源目录账号”列。
5. 清理临时文件：合并完成后删除各账号对应的临时 xlsx 文件。

当当前账号与调用者主账号相同时，--ResourceDirectoryAccountId 参数将自动省略。

前提条件

• 已完成 accounts.py refresh，且账号启用/禁用配置已就绪。
• aliyun CLI 已配置有效凭证，并具备 SAS 的 export-vul 和 describe-vul-export-info 权限。
• 目标账号需已购买安全中心服务（免费版账号将被自动跳过）。

导出 Linux 软件漏洞（CVE）

为所有启用的账号导出未修复的 Linux 软件漏洞（高/中/低优先级），并合并为 vul-cve-merged-{date}.xlsx。

# 为所有启用的账号执行导出
.venv/bin/python vuln.py export-cve

# 仅为指定账号执行导出
.venv/bin/python vuln.py export-cve --account-id 1225574417218097

导出 Windows 系统漏洞

为所有启用的账号导出未修复的 Windows 系统漏洞（高/中/低优先级），并合并为 vul-sys-merged-{date}.xlsx。

.venv/bin/python vuln.py export-sys
.venv/bin/python vuln.py export-sys --account-id 1225574417218097

导出应用漏洞（含 SCA）

为所有启用的账号导出未修复的应用漏洞（ECS + 容器，含软件成分分析 SCA），并合并为 vul-app-merged-{date}.xlsx。

.venv/bin/python vuln.py export-app
.venv/bin/python vuln.py export-app --account-id 1225574417218097

导出应急漏洞

为所有启用的账号导出处于“高危”状态的应急漏洞，并合并为 vul-emg-merged-{date}.xlsx。

.venv/bin/python vuln.py export-emg
.venv/bin/python vuln.py export-emg --account-id 1225574417218097

输出文件

导出参数详情

错误处理

注意事项

• 脚本必须在虚拟环境中运行。示例中使用 .venv/bin/python，请根据实际环境路径替换。
• 请使用 aliyun configure 管理 aliyun CLI 凭证，切勿硬编码 AccessKey ID / Secret（AK/SK）。
• SAS API 仅支持两个接入点：cn-shanghai（中国内地）和 ap-southeast-1（中国内地以外）。