Resource Access Management:Access Analyzer service-linked role

Contexte

Un rôle lié au service (SLR) est un type de rôle RAM associé à un service Alibaba Cloud spécifique. Dans certains scénarios, un service cloud doit disposer d'autorisations pour accéder à d'autres services cloud afin d'exécuter ses fonctions. L'utilisation d'un rôle lié au service vous permet d'autoriser un service cloud à accéder en toute sécurité à d'autres ressources en votre nom, sans créer ni gérer manuellement le rôle. Pour plus d'informations, consultez la section Rôles liés au service.

Cas d'utilisation

Le rôle lié au service Access Analyzer (AliyunServiceRoleForAccessAnalyzer) s'applique aux scénarios suivants :

• Analyse des accès externes

  Lorsque vous créez un analyseur d'accès externe pour identifier les ressources de votre compte auxquelles des comptes externes accèdent, Access Analyzer doit lire les stratégies de compartiment (bucket), les listes de contrôle d'accès (ACL) et les stratégies d'approbation des rôles RAM de votre compte afin d'identifier les ressources accessibles par des comptes externes.

• Analyse des accès excessivement privilégiés

  Lorsque vous créez un analyseur d'accès excessivement privilégié pour identifier les identités RAM disposant d'autorisations excessives, Access Analyzer doit lire les configurations des identités RAM (utilisateurs, rôles, stratégies d'autorisation, paramètres de connexion et paires AccessKey) et les combiner avec les journaux d'activité ActionTrail pour analyser l'utilisation réelle des identités. Cela permet de découvrir les super administrateurs, les identités privilégiées, les identités inactives et les identités disposant de privilèges excessifs.

Access Analyzer obtient ces autorisations en lecture seule via le rôle lié au service pour analyser les informations d'autorisation et les journaux d'activité ActionTrail.

Stratégie d'autorisation

Nom du rôle : AliyunServiceRoleForAccessAnalyzer

Stratégie d'autorisation : AliyunServiceRolePolicyForAccessAnalyzer

Contenu de la stratégie :

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:GetBucketPolicy",
        "oss:GetBucketAcl",
        "oss:ListBuckets",
        "oss:GetBucketPublicAccessBlock",
        "oss:GetBucketPolicyStatus",
        "ram:GetPolicy",
        "ram:GetRole",
        "ram:ListUsers",
        "ram:ListRoles",
        "ram:GetLoginProfile",
        "ram:ListAccessKeys",
        "ram:ListEntitiesForPolicy",
        "ram:ListUsersForGroup",
        "ram:GenerateServiceLastAccessedDetails",
        "ram:GetServiceLastAccessedDetails"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "actiontrail:CreateServiceTrail",
        "actiontrail:DeleteServiceTrail",
        "actiontrail:GetServiceTrail",
        "actiontrail:GetServiceTrailDeliveryStatus"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "ram:DeleteServiceLinkedRole",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ram:ServiceName": "accessanalyzer.aliyuncs.com"
        }
      }
    }
  ]
}

La stratégie d'autorisation ci-dessus contient trois groupes d'autorisations :

• Le premier groupe d'autorisations permet à Access Analyzer de lire les stratégies de compartiment OSS, les ACL et les configurations de blocage d'accès public, ainsi que les configurations des utilisateurs et rôles RAM (paramètres de connexion, paires AccessKey et attachements de stratégies d'autorisation) pour l'analyse des accès externes et l'analyse des accès excessivement privilégiés.

• Le deuxième groupe d'autorisations permet à Access Analyzer de créer et de gérer des pistes de service ActionTrail afin de collecter les journaux d'activité pour analyser l'utilisation des autorisations par les identités.

• Le troisième groupe d'autorisations permet à Access Analyzer de supprimer automatiquement le rôle lié au service après la suppression de tous les analyseurs.

Créer le rôle lié au service

Le rôle lié au service Access Analyzer (AliyunServiceRoleForAccessAnalyzer) est créé automatiquement dans les scénarios suivants :

• Lorsque vous créez un analyseur pour la première fois dans la console Access Analyzer, le système crée automatiquement le rôle lié au service.

• Lorsque vous créez un analyseur en appelant une opération API, le système crée automatiquement le rôle lié au service.

Le comportement de création du rôle lié au service varie en fonction de la portée de l'analyseur :

• Analyseurs à l'échelle du compte : Le système crée le rôle lié au service dans le compte actuel.

• Analyseurs à l'échelle du Resource Directory : Le système crée le rôle lié au service dans tous les comptes membres du Resource Directory.

Pour connaître les étapes spécifiques de création d'un analyseur, consultez les sections Détecter les identités excessivement privilégiées et Identifier les accès externes.

Afficher le rôle lié au service

Une fois le rôle lié au service (AliyunServiceRoleForAccessAnalyzer) créé, vous pouvez consulter les informations de base, la stratégie d'approbation et la stratégie d'autorisation du rôle dans la console RAM.

1. Connectez-vous à la console RAM.

2. Dans le volet de navigation de gauche, choisissez Identities > Roles.

3. Dans la liste des rôles, recherchez AliyunServiceRoleForAccessAnalyzer et cliquez sur le nom du rôle pour accéder à la page des détails du rôle.

4. Dans la section des informations de base de la page des détails du rôle, consultez l'ID du rôle, l'heure de création et d'autres informations.

5. Cliquez sur l'onglet Trust Policy Management et vérifiez si le champ Service de la stratégie d'approbation contient accessanalyzer.aliyuncs.com.

6. Consultez la stratégie d'autorisation du rôle :

   1. Sur la page des détails du rôle, cliquez sur l'onglet Permissions.

   2. Dans la liste des stratégies, localisez AliyunServiceRolePolicyForAccessAnalyzer et cliquez sur le nom de la stratégie.

   3. Consultez le contenu de la stratégie pour comprendre l'étendue spécifique de l'autorisation.

Supprimer le rôle lié au service

Si vous devez supprimer AliyunServiceRoleForAccessAnalyzer (le rôle lié au service), vous devez d'abord vous assurer que le service correspondant n'est plus utilisé.

FAQ