Use un analizador de acceso externo para detectar recursos compartidos con identidades fuera de su directorio de recursos o cuenta.
Descripción general
¿Qué es un analizador de acceso externo?
Un analizador de acceso externo identifica los recursos compartidos con cuentas externas dentro de su cuenta o directorio de recursos. Algunos recursos de Alibaba Cloud, como los buckets de OSS y los roles de RAM, admiten directivas basadas en recursos que otorgan acceso a identidades externas. El analizador supervisa estos recursos de forma continua y genera hallazgos para cualquier recurso compartido externo. Cada hallazgo describe la identidad externa y sus permisos otorgados.
Zona de confianza
Al crear un analizador, seleccione un ámbito de análisis: Current Account o Resource Directory. Este ámbito define la zona de confianza del analizador. El analizador supervisa los recursos compatibles dentro de la zona de confianza y considera confiable el acceso desde cualquier identidad dentro de esta zona. Si la zona de confianza es Current Account, solo se consideran confiables las identidades dentro de dicha cuenta. Si la zona de confianza es Resource Directory, se consideran confiables las identidades de todas las cuentas dentro de ese directorio, mientras que las identidades fuera del directorio no lo son.
Tipos de recursos compatibles
-
Buckets de OSS
El analizador evalúa las ACL y las directivas de bucket con respecto a la configuración de bloqueo de acceso público. Si un bucket permite el acceso desde una entidad fuera de la zona de confianza, como un usuario anónimo, el analizador genera un hallazgo activo.
-
Roles de RAM
El analizador evalúa las directivas de confianza de los roles de RAM. Una directiva de confianza especifica qué entidades pueden asumir el rol. Si una entidad fuera de la zona de confianza puede asumir un rol de RAM dentro de la zona de confianza, el analizador genera un hallazgo activo.
Crear un analizador de acceso externo
Inicie sesión en la consola de RAM como un usuario de RAM con derechos administrativos.
En el panel de navegación izquierdo, vaya a .
-
En la barra de navegación superior, seleccione una región.
NotaUn analizador solo supervisa recursos en su propia región. Para cubrir otras regiones, cree un analizador en cada una. Los recursos desplegados en la región central, como los roles de RAM, se pueden analizar desde cualquier región.
-
Haga clic en Create Analyzer, introduzca un nombre, seleccione External Access como tipo, establezca el ámbito y luego haga clic en Create Analyzer.
NotaSolo se puede crear un analizador con un ámbito de Resource Directory mediante la cuenta de administración de un directorio de recursos.
También debe seleccionar una Region, por ejemplo China (Hangzhou). Esta acción crea automáticamente el rol vinculado al servicio
AliyunServiceRoleForAccessAnalyzer.
Tras la creación, el analizador comienza a detectar el acceso externo dentro de su ámbito. La generación de hallazgos puede tardar algún tiempo.
Consultar y gestionar hallazgos
Consultar los hallazgos
Consulte los hallazgos en la página Analyzers o en la página Findings.
En la página Analyzers, haga clic en el nombre de un analizador para consultar sus detalles. La página muestra el Analyzer Name, el estado de ejecución, el Analyzer Type, el Analyzer Scope, la hora de creación, el ARN y la hora del último análisis. La pestaña Findings enumera los hallazgos con columnas para Finding ID, Resource, resource owner, status, Updated At y Actions (como archive). Puede filtrar los hallazgos por clave de filtro y tipo de coincidencia.
En la página Findings, dentro de la pestaña Findings, establezca criterios de filtro mediante una filter key y un match type (por ejemplo, status igual a active). La tabla de resultados muestra Finding ID, Resource, resource owner, status, Updated At y Actions. Haga clic en archive para archivar un hallazgo, o en Save as Archive Rule para guardar el filtro actual como regla.
Filtrar los hallazgos
Filtre los hallazgos por Resource, Resource Type, Resource Owner o Status.
Prevalecen las condiciones de filtro mostradas en la consola.
Por ejemplo, para comprobar el acceso público:
Establezca la filter key en public access, el match type en equals y el filter value en true. Luego, agregue una condición de filtro donde status sea igual a active.
Consultar los detalles de un hallazgo
En la lista de hallazgos, haga clic en un Finding ID para consultar sus detalles.
La página de detalles del hallazgo muestra las secciones Basic Information y Details. Basic Information incluye el Analyzer Name, Finding Type, status, Resource Type, Resource ARN, resource owner, así como las horas de creación, análisis y actualización. La pestaña Details indica si el recurso tiene Public Access y muestra una tabla External Identity con columnas para el tipo de principal, identificador, acciones permitidas y condiciones de acceso. Hay un botón Rescan disponible en la esquina superior derecha.
Según el hallazgo, realice una de las siguientes acciones:
Si el uso compartido es intencional, haga clic en Archive para archivar el hallazgo.
Si el uso compartido no es intencional, haga clic en Go for Governance (para recursos en la cuenta actual) o en Copy Resource URL (para recursos fuera de la cuenta actual) para ir a la página del recurso y corregir la configuración de acceso.
Archivar automáticamente los hallazgos
Además de archivar manualmente hallazgos individuales, puede crear reglas de archivo para archivar automáticamente los hallazgos que no requieren gobernanza.
Cree y guarde reglas de archivo en la página Findings. Los nuevos hallazgos que coincidan con los criterios de una regla se archivan automáticamente.
En la página Findings List, establezca criterios de filtro mediante los menús desplegables de filter key, match type y filter value, y luego haga clic en Save as Archive Rule.
Esta regla no se aplica a los hallazgos existentes. Para aplicarla retroactivamente, vaya a la página de detalles de un elemento en Analyzers y haga clic en Apply Archive Rule en la columna Actions de la lista de reglas de archivo.