Para habilitar Log Service, el descubrimiento de activos y el modo de proxy transparente en Web Application Firewall (WAF), debe crear el rol vinculado al servicio AliyunServiceRoleForWAF. Este rol se crea automáticamente cuando habilita cualquiera de estas funciones, por lo que no es necesario configurarlo manualmente.
Funcionamiento
WAF utiliza el rol vinculado al servicio AliyunServiceRoleForWAF para interactuar en su nombre con los servicios ECS, SLB, ALB, VPC, CDN, Simple Log Service (SLS) y Certificate. El rol se crea automáticamente la primera vez que habilita Log Service, el descubrimiento de activos o el modo de proxy transparente en la consola de WAF.
El rol emplea una directiva administrada por el sistema denominada AliyunServiceRolePolicyForWAF. El nombre y el contenido de esta directiva son fijos y no se pueden modificar.
{
"Version": "1",
"Statement": [
{
"Action": [
"ecs:DescribeInstances",
"ecs:DescribeNetworkInterfaces",
"ecs:CreateNetworkInterface",
"ecs:DeleteNetworkInterface",
"ecs:AttachNetworkInterface",
"ecs:DetachNetworkInterface",
"ecs:DescribeNetworkInterfacePermissions",
"ecs:CreateNetworkInterfacePermission",
"ecs:DeleteNetworkInterfacePermission",
"ecs:DescribeSecurityGroups",
"ecs:DescribeSecurityGroupAttribute",
"ecs:CreateSecurityGroup",
"ecs:DeleteSecurityGroup",
"ecs:AuthorizeSecurityGroup",
"ecs:RevokeSecurityGroup",
"ecs:DescribeDisks"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"slb:DescribeServerCertificates",
"slb:DescribeDomainExtensions",
"slb:DescribeLoadBalancers",
"slb:DescribeListenerAccessControlAttribute",
"slb:DescribeLoadBalancerAttribute",
"slb:DescribeLoadBalancerHTTPListenerAttribute",
"slb:DescribeLoadBalancerHTTPSListenerAttribute",
"slb:DescribeLoadBalancerTCPListenerAttribute",
"slb:DescribeLoadBalancerUDPListenerAttribute",
"slb:DescribeTLSCipherPolicies",
"slb:ListTLSCipherPolicies",
"slb:DescribeLoadBalancers"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"alb:ListLoadBalancers",
"alb:GetLoadBalancerAttribute",
"alb:ListListeners",
"alb:GetListenerAttribute",
"alb:ListListenerCertificates",
"alb:DescribeRegions",
"alb:ListSystemSecurityPolicies",
"alb:ListSecurityPolicies"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"vpc:DescribeEipAddresses"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"cdn:DescribeUserDomains",
"cdn:DescribeCdnDomainDetail",
"cdn:DescribeDomainsBySource",
"cdn:DescribeUserVipsByDomain"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"yundun-cert:DescribeUserCertificateList"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"log:PostLogStoreLogs",
"log:GetProject",
"log:ListProject",
"log:GetLogStore",
"log:ListLogStores",
"log:CreateLogStore",
"log:CreateProject",
"log:GetIndex",
"log:CreateIndex",
"log:UpdateIndex",
"log:CreateDashboard",
"log:ClearLogStoreStorage",
"log:UpdateLogStore",
"log:UpdateDashboard",
"log:DeleteProject",
"log:CreateSavedSearch",
"log:UpdateSavedSearch",
"log:DeleteLogStore"
],
"Resource": "acs:log:*:*:project/waf*",
"Effect": "Allow"
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "waf.aliyuncs.com"
}
}
}
]
}Para obtener más información sobre la sintaxis de las directivas, consulte Policy elements.
Requisitos previos
Antes de empezar, asegúrese de contar con lo siguiente:
Una instancia de WAF
Una cuenta de Alibaba Cloud o un usuario de RAM con permisos para crear y eliminar roles vinculados al servicio
Crear el rol AliyunServiceRoleForWAF
El rol se crea automáticamente cuando habilita cualquiera de las siguientes funciones. Elija la función que planea utilizar primero.
Mediante la habilitación de Log Service
Este método requiere que su sitio web ya esté agregado a WAF y que Log Service esté habilitado para WAF. Para consultar las instrucciones de configuración, consulte Add a website to WAF y Get started with Log Service for WAF.
Inicie sesión en la consola de WAF. En la barra de navegación superior, seleccione el resource group y la región donde está desplegada su instancia de WAF. La región puede ser Chinese Mainland u Outside Chinese Mainland.
En el panel de navegación izquierdo, vaya a Security Operations > Log Service.
Haga clic en Authorize Now. En el cuadro de diálogo Tips, haga clic en OK.
Mediante la habilitación del descubrimiento de activos
Este método solo está disponible cuando su instancia de WAF está desplegada en China continental. Si su instancia se encuentra fuera de China continental, utilice el método de Log Service o el modo de proxy transparente.
Inicie sesión en la consola de WAF. En la barra de navegación superior, seleccione el resource group y la región donde está desplegada su instancia de WAF. La región puede ser Chinese Mainland u Outside Chinese Mainland.
En el panel de navegación izquierdo, vaya a Asset Center > Asset Discovery.
Haga clic en Authorized activation. En el cuadro de diálogo Tips, haga clic en OK.
Mediante la habilitación del modo de proxy transparente
Inicie sesión en la consola de WAF. En la barra de navegación superior, seleccione el resource group y la región donde está desplegada su instancia de WAF. La región puede ser Chinese Mainland u Outside Chinese Mainland.
En el panel de navegación izquierdo, vaya a Asset Center > Website Access.
En la pestaña Domain Names, haga clic en Website Access.
Establezca Access Mode en Transparent Proxy Mode y luego haga clic en Authorized activation. En el cuadro de diálogo Tips, haga clic en OK.
Alibaba Cloud crea automáticamente el rol AliyunServiceRoleForWAF. Para comprobarlo, inicie sesión en la consola de RAM y vaya a Identities > Roles en el panel de navegación izquierdo.
Eliminar el rol AliyunServiceRoleForWAF
El rol vinculado al servicio solo se puede eliminar después de que su instancia de WAF caduque y se libere automáticamente.
Para eliminar el rol:
Libere su instancia de WAF y espere a que se libere automáticamente.
Inicie sesión en la consola de RAM y vaya a Identities > Roles en el panel de navegación izquierdo.
Busque AliyunServiceRoleForWAF y haga clic en Delete Role en la columna Actions.
En el cuadro de diálogo, introduzca el nombre del rol y haga clic en Delete Role.
Resource Access Management (RAM) comprueba si alguna instancia de WAF sigue utilizando el rol:
Si ninguna instancia utiliza el rol, este se elimina.
Si una instancia aún utiliza el rol, la eliminación falla. RAM muestra las instancias de WAF que están usando el rol. Libere dichas instancias antes de volver a intentarlo.
Para obtener instrucciones generales sobre cómo eliminar un rol de RAM, consulte Delete a RAM role.
Preguntas frecuentes
¿Por qué no se creó automáticamente AliyunServiceRoleForWAF para mi usuario de RAM?
Los usuarios de RAM necesitan permiso explícito para crear roles vinculados al servicio. Adjunte la siguiente directiva a su usuario de RAM y reemplace <account-ID> con el ID de su cuenta de Alibaba Cloud:
{
"Statement": [
{
"Action": [
"ram:CreateServiceLinkedRole"
],
"Resource": "acs:ram:*:<account-ID>:role/*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": [
"waf.aliyuncs.com"
]
}
}
}
],
"Version": "1"
}Para obtener instrucciones sobre cómo adjuntar una directiva a un usuario de RAM, consulte Grant permissions to a RAM role.