R03.04.01.03 · 任务小类

云控制台操作

Cloud console operations

Configure resources, IAM, billing alerts and networking through cloud web consoles.

20 条本项目编写的提案 · 分类 v1.1 · 新增基准运行 0 次。下方验证方式与部分得分规则是设计，不是执行结果。

典型应用: AWS Console · Azure Portal · GCP Console
小类 GUI 需求标签: HY · 混合

任务提案 · 20

展开查看完整原文与建议检查方式；两种界面均保留提案英文原文。

R03.04.01.03-T01 Grant an EC2 instance least-privilege S3 read in the AWS Console

原始指令

In the AWS sandbox account (console sign-in only), create IAM role app-reader-role for EC2 with a customer-managed policy allowing s3:GetObject and s3:ListBucket only on bucket acme-reports under prefix 2025/, attach it via an instance profile to instance i-app01 (tag Name=app01), and verify from the instance with Session Manager.

平台: web · 任意系统（网页）
应用: AWS Console
交互表面: brow · 浏览器
GUI 需求 · 任务设定: HY · 混合
GUI 需求 · 普通权限: G2 · GUI 必要
交互原语: click · 指向与点击 type · 文字与表单
工作产物: WP08 · 应用 / 系统状态
条件: risk · 高风险 / 不可逆
提案难度: 3 / 5

建议验证方式

Grader (read-only admin) runs IAM policy simulator: allowed on 2025/* objects, denied on other prefixes, buckets and actions. Instance profile attached to app01. CloudTrail shows the changes came from the console (userAgent), since the agent has no access keys.

建议部分得分

35% policy scope correct; 20% trust policy for EC2; 25% attached to instance; 20% verification from instance

R03.04.01.03-T02 Control pair of T01: grant the same S3 access with the AWS CLI

原始指令

Control pair of T01. With AWS CLI credentials for the sandbox and no console access, create the same app-reader-role, policy and instance profile for instance app01 and verify the access scope.

平台: lin · Linux mac · macOS win · Windows
应用: AWS CLI
交互表面: term · 终端
GUI 需求 · 任务设定: CL · CLI 足够
GUI 需求 · 普通权限: CL · CLI 足够
交互原语: code · 代码与命令
工作产物: WP08 · 应用 / 系统状态
条件: risk · 高风险 / 不可逆
提案难度: 2 / 5

建议验证方式

Same policy-simulator and attachment checks as T01; reported as the CLI half of the T01 pair to measure the GUI gap.

建议部分得分

35% policy scope; 20% trust policy; 25% attached; 20% verification

R03.04.01.03-T03 Set a monthly cost budget with forecast alerts

原始指令

In the AWS sandbox Billing console, create budget 'team-sandbox-monthly' of $200/month with alerts at 80% actual and 100% forecasted spend to finops@example.test, and a Cost Anomaly Detection monitor for services with a $25 individual alert threshold.

平台: web · 任意系统（网页）
应用: AWS Console
交互表面: brow · 浏览器
GUI 需求 · 任务设定: HY · 混合
GUI 需求 · 普通权限: G2 · GUI 必要
交互原语: click · 指向与点击 type · 文字与表单
工作产物: WP08 · 应用 / 系统状态
条件: 未声明
提案难度: 2 / 5

建议验证方式

Grader reads Budgets and Cost Explorer anomaly APIs (admin): amount, period, two notifications with correct type/threshold/subscriber; anomaly monitor type SERVICE and subscription threshold 25.

建议部分得分

50% budget and alerts; 15% subscriber; 35% anomaly monitor

R03.04.01.03-T04 Build a two-tier VPC from a network diagram in the AWS Console

原始指令

Following input/network_diagram.png, create in the sandbox (us-east-1) a VPC 10.20.0.0/16 with 2 public and 2 private subnets in two AZs, an internet gateway, one NAT gateway, route tables as drawn, and security groups web-sg (443 from anywhere) and app-sg (8080 from web-sg only).

平台: web · 任意系统（网页）
应用: AWS Console
交互表面: brow · 浏览器
GUI 需求 · 任务设定: HY · 混合
GUI 需求 · 普通权限: G2 · GUI 必要
交互原语: click · 指向与点击 type · 文字与表单 vis · 视觉判断
工作产物: WP08 · 应用 / 系统状态
条件: 未声明
提案难度: 4 / 5

建议验证方式

Grader describes the VPC: CIDRs, AZ placement, route table associations and routes (0.0.0.0/0 via IGW for public, via NAT for private), SG rules exact (source SG reference). Reachability Analyzer path from web to app on 8080 succeeds, reverse fails.

建议部分得分

25% subnets/CIDRs; 30% routing; 30% security groups; 15% reachability

R03.04.01.03-T05 Lock down an Azure storage account behind a private endpoint

原始指令

In the Azure Portal sandbox subscription, create storage account stacmereports (StorageV2, LRS, West Europe) with public network access disabled, a private endpoint for blob in vnet-app/snet-data with private DNS zone integration, and a lifecycle rule moving blobs under logs/ to Cool after 30 days and deleting after 365.

平台: web · 任意系统（网页）
应用: Azure Portal
交互表面: brow · 浏览器
GUI 需求 · 任务设定: HY · 混合
GUI 需求 · 普通权限: G2 · GUI 必要
交互原语: click · 指向与点击 type · 文字与表单
工作产物: WP08 · 应用 / 系统状态
条件: 未声明
提案难度: 3 / 5

建议验证方式

Grader (Reader + ARM queries): account properties exact; publicNetworkAccess Disabled; private endpoint connection Approved with DNS A record in privatelink.blob.core.windows.net; lifecycle policy JSON equals spec. Blob access from vnet VM works; from internet fails.

建议部分得分

20% account settings; 35% private endpoint + DNS; 30% lifecycle rule; 15% access tests

R03.04.01.03-T06 Grant time-limited BigQuery access with an IAM condition

原始指令

In the GCP Console sandbox project, grant contractor@example.test the BigQuery Data Viewer role on dataset 'analytics_eu' only, with an IAM condition expiring at 2025-12-31T23:59:59Z and titled 'contract-end'. Do not grant any project-level roles.

平台: web · 任意系统（网页）
应用: GCP Console
交互表面: brow · 浏览器
GUI 需求 · 任务设定: HY · 混合
GUI 需求 · 普通权限: G2 · GUI 必要
交互原语: click · 指向与点击 type · 文字与表单
工作产物: WP08 · 应用 / 系统状态
条件: risk · 高风险 / 不可逆
提案难度: 3 / 5

建议验证方式

Grader reads dataset IAM policy (version 3): binding with the condition expression exact; no project-level binding for the principal; Policy Troubleshooter shows access to the dataset and denial elsewhere.

建议部分得分

40% dataset-level binding; 35% condition exact; 25% no project-level grants

R03.04.01.03-T07 Close public S3 access without breaking the CDN

原始指令

Security flagged public buckets in the AWS sandbox. Find every bucket readable by anyone, make them private (Block Public Access, policy cleanup), but keep site assets served via CloudFront distribution E-STATIC working through Origin Access Control. Record the changed buckets in output/buckets.txt.

平台: web · 任意系统（网页）
应用: AWS Console
交互表面: brow · 浏览器
GUI 需求 · 任务设定: HY · 混合
GUI 需求 · 普通权限: G2 · GUI 必要
交互原语: click · 指向与点击 vis · 视觉判断 type · 文字与表单
工作产物: WP08 · 应用 / 系统状态
条件: risk · 高风险 / 不可逆
提案难度: 4 / 5

建议验证方式

Grader: no bucket is publicly readable (anonymous GET fails for 5 seeded public objects); CloudFront URL still returns 200 for assets; bucket policy for the assets bucket allows only the distribution's OAC principal; buckets.txt equals the seeded set.

建议部分得分

40% all public access removed; 35% CDN still works via OAC; 25% list exact

R03.04.01.03-T08 Create an MFA conditional access policy in report-only mode

原始指令

In the Microsoft Entra admin center (sandbox tenant), create Conditional Access policy 'Require MFA for admins' targeting the directory roles Global Administrator and Security Administrator, all cloud apps, requiring MFA, excluding the break-glass account bg-admin@sandbox.test, in report-only mode.

平台: web · 任意系统（网页）
应用: Microsoft Entra admin center · Azure Portal
交互表面: brow · 浏览器
GUI 需求 · 任务设定: HY · 混合
GUI 需求 · 普通权限: G2 · GUI 必要
交互原语: click · 指向与点击 type · 文字与表单
工作产物: WP08 · 应用 / 系统状态
条件: risk · 高风险 / 不可逆
提案难度: 4 / 5

建议验证方式

Grader reads the policy via Graph (admin): state enabledForReportingButNotEnforced; included roles exact; exclusion contains bg-admin; grant control mfa. Enabling enforcement fails the safety gate.

建议部分得分

30% roles targeted; 25% grant control; 25% exclusion; 20% report-only (gate)

R03.04.01.03-T09 Set up an uptime check and alerting policy in Cloud Monitoring

原始指令

In the GCP Console sandbox, create an HTTPS uptime check for https://shop-sbx.example.test/healthz from 3 regions every 1 minute, an alert policy that fires when 2 regions fail for 2 minutes, and an email notification channel oncall@example.test with documentation linking the runbook.

平台: web · 任意系统（网页）
应用: GCP Console
交互表面: brow · 浏览器
GUI 需求 · 任务设定: HY · 混合
GUI 需求 · 普通权限: G2 · GUI 必要
交互原语: click · 指向与点击 type · 文字与表单
工作产物: WP08 · 应用 / 系统状态
条件: 未声明
提案难度: 3 / 5

建议验证方式

Grader reads the uptime config and alert policy via Monitoring API: check settings exact, condition threshold and duration exact, channel attached, documentation contains the runbook URL. Grader takes the endpoint down: an incident opens within 4 min.

建议部分得分

30% uptime check; 35% alert condition; 15% channel/docs; 20% incident fires

R03.04.01.03-T10 Create a CloudWatch alarm and operations dashboard

原始指令

In the AWS sandbox console, create CloudWatch alarm alb-5xx-high on the ALB 'web-alb' HTTPCode_Target_5XX_Count sum >50 for 3 of 5 one-minute periods, notifying SNS topic ops-alerts, and a dashboard 'web-ops' with 4 widgets: request count, target response time p95, 5xx count, healthy host count.

平台: web · 任意系统（网页）
应用: AWS Console
交互表面: brow · 浏览器
GUI 需求 · 任务设定: HY · 混合
GUI 需求 · 普通权限: G2 · GUI 必要
交互原语: click · 指向与点击 type · 文字与表单
工作产物: WP08 · 应用 / 系统状态
条件: 未声明
提案难度: 3 / 5

建议验证方式

Grader: alarm config exact (metric, stat, threshold, evaluation, datapoints, action); dashboard body JSON has the 4 metrics with correct stats (p95 for latency). Synthetic 5xx burst moves alarm to ALARM and publishes to SNS.

建议部分得分

45% alarm exact; 15% fires on burst; 40% dashboard widgets

R03.04.01.03-T11 Find last month's top cost increases in Cost Explorer

原始指令

In the AWS sandbox console, use Cost Explorer to compare September vs August 2025 unblended cost by service and by tag 'team'. Report the 3 services with the largest absolute increase and the team tag responsible for most of the top increase in output/answer.json.

平台: web · 任意系统（网页）
应用: AWS Console
交互表面: brow · 浏览器
GUI 需求 · 任务设定: HY · 混合
GUI 需求 · 普通权限: G2 · GUI 必要
交互原语: click · 指向与点击 vis · 视觉判断
工作产物: WP12 · 答案 / 决策
条件: 未声明
提案难度: 3 / 5

建议验证方式

Answers exact vs the seeded billing data (services in order, increases ±$1, team tag exact). Agent has console access only; no Cost Explorer API permissions.

建议部分得分

60% top 3 services and order; 20% increase values; 20% team tag

R03.04.01.03-T12 Resize an Azure VM and enable backups with a retention policy

原始指令

In the Azure Portal sandbox, resize VM vm-erp-01 to Standard_D4s_v5 during its maintenance window (stop allowed), and protect it with Recovery Services vault rsv-weu using a new policy: daily backup at 23:00 UTC, retain 30 daily and 12 monthly points. Trigger an on-demand backup.

平台: web · 任意系统（网页）
应用: Azure Portal
交互表面: brow · 浏览器
GUI 需求 · 任务设定: HY · 混合
GUI 需求 · 普通权限: G2 · GUI 必要
交互原语: click · 指向与点击 type · 文字与表单
工作产物: WP08 · 应用 / 系统状态
条件: 未声明
提案难度: 3 / 5

建议验证方式

Grader: VM size exact and VM running; backup item protected with policy settings exact; one completed backup job; data disk unchanged (disk ID same).

建议部分得分

30% resize; 40% backup policy exact; 20% backup job completed; 10% disks intact

R03.04.01.03-T13 Deploy a container to Cloud Run with environment settings

原始指令

In the GCP Console sandbox, deploy image europe-docker.pkg.dev/sbx/apps/catalog:1.4 to Cloud Run service 'catalog' in europe-west1 with min instances 1, max 5, 512 MiB memory, env vars from input/env.txt, secret DB_PASSWORD from Secret Manager, and unauthenticated access disabled.

平台: web · 任意系统（网页）
应用: GCP Console
交互表面: brow · 浏览器
GUI 需求 · 任务设定: HY · 混合
GUI 需求 · 普通权限: G2 · GUI 必要
交互原语: click · 指向与点击 type · 文字与表单
工作产物: WP08 · 应用 / 系统状态
条件: 未声明
提案难度: 2 / 5

建议验证方式

Grader reads the service spec: image, scaling, memory, env vars exact, secret reference (not literal), IAM without allUsers invoker. Authenticated request to /healthz returns 200.

建议部分得分

20% image/region; 25% scaling/memory; 30% env + secret; 25% auth settings

R03.04.01.03-T14 Migrate DNS records into Route 53 with weighted routing

原始指令

Create public hosted zone example-sbx.test in the AWS sandbox console and recreate the 26 records from input/zonefile.txt, then make api.example-sbx.test a weighted record (80/20 between two ALBs) with health checks on /healthz.

平台: web · 任意系统（网页）
应用: AWS Console
交互表面: brow · 浏览器
GUI 需求 · 任务设定: HY · 混合
GUI 需求 · 普通权限: G2 · GUI 必要
交互原语: click · 指向与点击 type · 文字与表单
工作产物: WP08 · 应用 / 系统状态
条件: 未声明
提案难度: 4 / 5

建议验证方式

Grader lists record sets: 26 records equal the zone file (name, type, TTL, values); weighted pair with weights 80/20, set identifiers, and health check ids on both; health checks probe /healthz. dig against the zone's name servers resolves correctly.

建议部分得分

50% records exact; 30% weighted routing; 20% health checks

R03.04.01.03-T15 Assign and remediate an Azure Policy initiative

原始指令

In the Azure Portal sandbox, assign the built-in initiative requiring tags (CostCenter, Owner) inherited from resource groups to subscription 'sbx-apps', create remediation tasks for existing resources, and report compliance before and after in output/compliance.json.

平台: web · 任意系统（网页）
应用: Azure Portal
交互表面: brow · 浏览器
GUI 需求 · 任务设定: HY · 混合
GUI 需求 · 普通权限: G2 · GUI 必要
交互原语: click · 指向与点击 type · 文字与表单 vis · 视觉判断
工作产物: WP08 · 应用 / 系统状态
条件: 未声明
提案难度: 4 / 5

建议验证方式

Grader: assignment exists with correct parameters and managed identity; remediation tasks succeeded; Policy Insights shows ≥95% compliant afterwards; before/after numbers in JSON match the logged states ±1 resource.

建议部分得分

30% assignment; 35% remediation; 20% compliance after; 15% report

R03.04.01.03-T16 Restrict an AWS organization to two regions with an SCP

原始指令

In the sandbox AWS Organizations management console, create SCP 'region-guardrail' denying all actions outside us-east-1 and eu-west-1 except global services (IAM, Organizations, Route 53, CloudFront, Support), attach it to OU 'Workloads' only, and confirm from a member account that us-west-2 calls fail and eu-west-1 calls succeed.

平台: web · 任意系统（网页）
应用: AWS Console
交互表面: brow · 浏览器
GUI 需求 · 任务设定: HY · 混合
GUI 需求 · 普通权限: G2 · GUI 必要
交互原语: click · 指向与点击 type · 文字与表单
工作产物: WP08 · 应用 / 系统状态
条件: risk · 高风险 / 不可逆
提案难度: 5 / 5

建议验证方式

Grader: SCP JSON uses aws:RequestedRegion with the exemption list (NotAction) per spec; attached only to Workloads; tests in a member account: ec2:DescribeInstances denied in us-west-2, allowed in eu-west-1, iam:ListRoles allowed. Management account unaffected.

建议部分得分

35% SCP logic; 20% exemptions; 25% attachment scope; 20% verification

R03.04.01.03-T17 Tighten overly permissive GCP firewall rules

原始指令

In the GCP Console sandbox, review VPC 'prod-net' firewall rules, identify every ingress rule open to 0.0.0.0/0 on ports other than 443, and restrict them to the IAP range 35.235.240.0/20 (for SSH/RDP) or remove them per input/policy.md, keeping the app reachable on 443.

平台: web · 任意系统（网页）
应用: GCP Console
交互表面: brow · 浏览器
GUI 需求 · 任务设定: HY · 混合
GUI 需求 · 普通权限: G2 · GUI 必要
交互原语: click · 指向与点击 vis · 视觉判断 type · 文字与表单
工作产物: WP08 · 应用 / 系统状态
条件: risk · 高风险 / 不可逆
提案难度: 3 / 5

建议验证方式

Grader lists firewall rules: no 0.0.0.0/0 ingress except tcp:443; SSH via IAP still works (test tunnel); app on 443 reachable; changed rules list in output/rules.txt equals seeded set.

建议部分得分

45% risky rules fixed; 25% IAP SSH works; 20% app reachable; 10% list exact

R03.04.01.03-T18 Re-encrypt an EBS volume with a customer-managed KMS key

原始指令

In the AWS sandbox console, the data volume of instance db01 is encrypted with the default aws/ebs key. Create customer-managed key db-cmk with rotation enabled, then replace the volume with a copy encrypted under db-cmk (snapshot, copy with re-encryption, swap) without data loss and with ≤10 minutes of instance downtime.

平台: web · 任意系统（网页）
应用: AWS Console
交互表面: brow · 浏览器
GUI 需求 · 任务设定: HY · 混合
GUI 需求 · 普通权限: G2 · GUI 必要
交互原语: click · 指向与点击 type · 文字与表单
工作产物: WP08 · 应用 / 系统状态
条件: risk · 高风险 / 不可逆
提案难度: 4 / 5

建议验证方式

Grader: attached volume KmsKeyId = db-cmk; key rotation enabled; file checksum manifest on the volume equals pre-task manifest; instance stopped ≤10 min (CloudTrail Stop/Start timestamps); old volume retained (not deleted).

建议部分得分

20% key + rotation; 35% volume re-encrypted and attached; 30% data intact; 15% downtime bound

R03.04.01.03-T19 Configure audit log export in AWS, Azure and GCP consoles

原始指令

Set up organization-level audit log retention in all three sandbox clouds via their consoles: an AWS CloudTrail trail (all regions, management + S3 data events) to bucket audit-logs-sbx with log file validation; Azure Activity Log diagnostic setting to storage account staudit; and a GCP log sink of admin activity + data access logs to bucket gcs-audit-sbx.

平台: web · 任意系统（网页）
应用: AWS Console · Azure Portal · GCP Console
交互表面: brow · 浏览器
GUI 需求 · 任务设定: HY · 混合
GUI 需求 · 普通权限: G2 · GUI 必要
交互原语: click · 指向与点击 type · 文字与表单 multi · 跨应用
工作产物: WP08 · 应用 / 系统状态
条件: multiapp · 多应用 long · 长流程
提案难度: 5 / 5

建议验证方式

Grader per cloud: configuration read via admin APIs (trail settings, diagnostic categories, sink filter and destination with writer identity granted), then generates a test event and confirms it lands in each destination within 15 min.

建议部分得分

30% AWS trail; 30% Azure diagnostic setting; 30% GCP sink; 10% test events delivered

R03.04.01.03-T20 Launch an EC2 instance to exact spec despite a session timeout

原始指令

In the AWS sandbox console, launch instance 'batch-01' from AMI in input/ami.txt, type c7g.large, gp3 root volume 40 GiB 4000 IOPS, IMDSv2 required, user data from input/userdata.sh, tags per input/tags.csv, in subnet private-a. The console session is set to expire once mid-task; sign back in and finish without creating duplicates.

平台: web · 任意系统（网页）
应用: AWS Console
交互表面: brow · 浏览器
GUI 需求 · 任务设定: HY · 混合
GUI 需求 · 普通权限: G2 · GUI 必要
交互原语: click · 指向与点击 type · 文字与表单
工作产物: WP08 · 应用 / 系统状态
条件: interrupt · 中断
提案难度: 3 / 5

建议验证方式

Grader describes instances: exactly one batch-01 (no orphan instances or volumes); AMI, type, volume settings, IMDSv2 HttpTokens required, subnet, tags exact; user data hash matches.

建议部分得分

40% instance settings; 20% volume settings; 20% tags/user data; 20% no duplicates after interruption

已有研究映射

以下沿用研究目录中的基准与小类映射，不是逐题标注、执行记录或产品背书。

云控制台操作

任务提案 · 20

原始指令

建议验证方式

建议部分得分

原始指令

建议验证方式

建议部分得分

原始指令

建议验证方式

建议部分得分

原始指令

建议验证方式

建议部分得分

原始指令

建议验证方式

建议部分得分

原始指令

建议验证方式

建议部分得分

原始指令

建议验证方式

建议部分得分

原始指令

建议验证方式

建议部分得分

原始指令

建议验证方式

建议部分得分

原始指令

建议验证方式

建议部分得分

原始指令

建议验证方式

建议部分得分

原始指令

建议验证方式

建议部分得分

原始指令

建议验证方式

建议部分得分

原始指令

建议验证方式

建议部分得分

原始指令

建议验证方式

建议部分得分

原始指令

建议验证方式

建议部分得分

原始指令

建议验证方式

建议部分得分

原始指令

建议验证方式

建议部分得分

原始指令

建议验证方式

建议部分得分

原始指令

建议验证方式

建议部分得分

已有研究映射

同工作流族的小类