Grant system and custom RAM policies to Security Center users - Security Center

Accordez des politiques système ou personnalisées via Resource Access Management (RAM) pour contrôler l'accès des utilisateurs RAM aux fonctionnalités de Security Center.

Types de politiques

Le service RAM fournit des politiques système prédéfinies pour les services Alibaba Cloud et prend en charge les politiques personnalisées. Les politiques système sont immuables. En revanche, les politiques personnalisées vous permettent de contrôler avec précision l'accès des utilisateurs RAM à Security Center.

Remarque

Security Center propose deux politiques système : AliyunYundunSASFullAccess (autorisations complètes sur toutes les fonctionnalités) et AliyunYundunSASReadOnlyAccess (accès en lecture seule à toutes les données).

Création d'un utilisateur RAM

Pour plus d'informations, reportez-vous à la rubrique Création d'un utilisateur RAM.

Attribution d'une politique système à un utilisateur RAM

Alibaba Cloud met à disposition des politiques système pour User Center et Security Center. Si un utilisateur RAM voit s'afficher le message No Permission lors de l'achat, du renouvellement ou de la résiliation d'un abonnement à Security Center, ou bien No Permission. Check Your Permissions. lors de l'accès à Security Center, attribuez-lui les politiques système requises.

Important

Les politiques système de User Center s'appliquent à l'ensemble des produits cloud. L'attribution de ces politiques confère à un utilisateur RAM le droit d'acheter, de renouveler et de résilier des abonnements pour tous les produits cloud.

Dans le volet de navigation de gauche, sélectionnez Identities > Users.

Dans le panneau Grant Permission, accordez les autorisations à l'utilisateur RAM.

Choisissez une politique système adaptée à votre scénario, puis cliquez sur OK.

Scénario	Politique système
Achat, renouvellement ou résiliation d'instances Security Center	AliyunBSSOrderAccess, AliyunBSSRefundAccess
Accès en lecture seule à Security Center	AliyunYundunSASReadOnlyAccess
Gestion de Security Center	AliyunYundunSASFullAccess

Attribution d'une politique personnalisée à un utilisateur RAM

Créez et associez des politiques personnalisées afin de contrôler finement l'accès des utilisateurs RAM à Security Center.

Étape 1 : Création d'une politique personnalisée pour Security Center

Dans le volet de navigation de gauche, sélectionnez Permissions > Policies.
Sur la page Policies, cliquez sur Create Policy.

Sur la page Create Policy, ouvrez l'onglet JSON . Voici quelques exemples courants de scripts de politique :

Renouvellement et remboursement

Scénario	Script
Interrogation du prix pour le renouvellement automatique (`bssapi:QueryAvailableInstances`) et configuration des paramètres de renouvellement automatique (bssapi:SetRenewal)	`{ "Version": "1", "Statement": [ { "Action": [ "bssapi:QueryAvailableInstances", "bssapi:SetRenewal", "bss:ModifyPrepaidInstanceAutoRenew", "bss:PayOrder", "bss:QueryPrice", "bss:RefundBatchRemainRefund" ], "Resource": "*", "Effect": "Allow" } ] }`
Modification des paramètres de renouvellement automatique (`bss:ModifyPrepaidInstanceAutoRenew`)
Paiement des commandes de renouvellement et de mise à niveau/rétrogradation (`bss:PayOrder`)
Affichage des tarifs promotionnels (`bss:QueryPrice`)
Demande de remboursement (`bss:RefundBatchRemainRefund`)

Accès en lecture seule à Asset Center

{
    "Version": "1",
    "Statement": [
        {
           "Action": [
                     "yundun-sas:DescribeCloudCenterInstances",
                     "yundun-sas:DescribeFieldStatistics",
                     "yundun-sas:DescribeCriteria"
                     ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Vérification de sécurité dans Asset Center

{
    "Version": "1",
    "Statement": [
        {
            "Action": "yundun-sas:ModifyPushAllTask",
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Accès en lecture seule à la gestion des vulnérabilités

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "yundun-sas:DescribeVulFixStatistics",
                "yundun-sas:DescribeVulDefendCountStatistics",
                "yundun-sas:DescribeVulMetaCountStatistics",
                "yundun-sas:DescribeVulListPage",
                "yundun-sas:DescribeVulNumStatistics",
                "yundun-sas:DescribeVulConfig",
                "yundun-sas:DescribeGroupedVul",
                "yundun-sas:DescribeVulDetails",
                "yundun-sas:DescribeVulList",
                "yundun-sas:DescribeVulWhitelist",
                "yundun-sas:DescribeAppVulScanCycle",
                "yundun-sas:ListVulAutoRepairConfig",
                "yundun-sas:DescribeEmgUserAgreement",
                "yundun-sas:DescribeEmgVulItem",
                "yundun-sas:DescribeUuidsByVulNames",
                "yundun-sas:DescribeTarget",
                "yundun-sas:DescribeVulTargetStatistics",
                "yundun-sas:DescribeConcernNecessity",
                "yundun-sas:DescribeOnceTask",
                "yundun-sas:GetOnceTaskResultInfo",
                "yundun-sas:DescribeCycleTaskList",
                "yundun-sas:DescribeVulExportInfo",
                "yundun-sas:DescribeInstanceRebootStatus",
                "yundun-sas:DescribeMachineCanReboot"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Gestion des vulnérabilités

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "yundun-sas:OperateVuls",
                "yundun-sas:ModifyCreateVulWhitelist",
                "yundun-sas:DeleteVulWhitelist",
                "yundun-sas:ModifyVulWhitelistTarget",
                "yundun-sas:ModifyOperateVul",
                "yundun-sas:ModifyStartVulScan",
                "yundun-sas:ModifyVulConfig",
                "yundun-sas:ModifyEmgVulSubmit",
                "yundun-sas:ModifyVulTarget",
                "yundun-sas:ModifyCycleTask",
                "yundun-sas:ModifyAppVulScanCycle",
                "yundun-sas:ModifyAutoDelConfig",
                "yundun-sas:ModifyConcernNecessity",
                "yundun-sas:DeleteVulAutoRepairConfig",
                "yundun-sas:CreateVulAutoRepairConfig",
                "yundun-sas:ExportVul",
                "yundun-sas:RebootMachine",
                "yundun-sas:DescribeVulFixStatistics",
                "yundun-sas:DescribeVulDefendCountStatistics",
                "yundun-sas:DescribeVulMetaCountStatistics",
                "yundun-sas:DescribeVulListPage",
                "yundun-sas:DescribeVulNumStatistics",
                "yundun-sas:DescribeVulConfig",
                "yundun-sas:DescribeGroupedVul",
                "yundun-sas:DescribeVulDetails",
                "yundun-sas:DescribeVulList",
                "yundun-sas:DescribeVulWhitelist",
                "yundun-sas:DescribeAppVulScanCycle",
                "yundun-sas:ListVulAutoRepairConfig",
                "yundun-sas:DescribeEmgUserAgreement",
                "yundun-sas:DescribeEmgVulItem",
                "yundun-sas:DescribeUuidsByVulNames",
                "yundun-sas:DescribeTarget",
                "yundun-sas:DescribeVulTargetStatistics",
                "yundun-sas:DescribeConcernNecessity",
                "yundun-sas:DescribeOnceTask",
                "yundun-sas:GetOnceTaskResultInfo",
                "yundun-sas:DescribeCycleTaskList",
                "yundun-sas:DescribeVulExportInfo",
                "yundun-sas:DescribeInstanceRebootStatus",
                "yundun-sas:DescribeMachineCanReboot"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Autorisations pour les ingénieurs O&M

Remarque

Cette politique accorde l'accès à l'analyse des vulnérabilités, à leur correction, à la vérification des lignes de base ainsi qu'à Asset Center. Une fois cette politique associée, consultez le tableau de l'Annexe : Politiques d'autorisation personnalisées courantes pour connaître les opérations spécifiques disponibles pour l'utilisateur RAM.

{
    "Version": "1",
    "Statement": [{
            "Action": [
                "yundun-sas:OperateVul",
                "yundun-sas:ModifyStartVulScan"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "yundun-sas:FixCheckWarnings",
                "yundun-sas:IgnoreHcCheckWarnings",
                "yundun-sas:ValidateHcWarnings"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "ecs:RebootInstance",
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "Bool": {
                    "acs:MFAPresent": "true"
                }
            }
        },
        {
            "Action": "ecs:*",
            "Effect": "Allow",
            "Resource": [
                "acs:ecs:*:*:*"
            ]
        },
        {
            "Action": "ecs:CreateSnapshot",
            "Effect": "Allow",
            "Resource": [
                "acs:ecs:*:*:*",
                "acs:ecs:*:*:snapshot/*"
            ]
        },
        {
            "Action": [
                "ecs:Describe*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }, {
            "Action": [
                "yundun-sas:ModifyPushAllTask",
                "yundun-sas:DeleteTagWithUuid",
                "yundun-sas:ModifyTagWithUuid",
                "yundun-sas:CreateOrUpdateAssetGroup",
                "yundun-sas:DeleteGroup",
                "yundun-sas:ModifyAssetImportant",
                "yundun-sas:RefreshAssets"

            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Cliquez sur Continue To Edit Basic Information, puis saisissez un Name et une Note pour la politique.
Cliquez sur OK.

Étape 2 : Attribution des autorisations à l'utilisateur RAM

Dans le panneau Grant Permission, accordez les autorisations à l'utilisateur RAM.

Par défaut, un utilisateur RAM nouvellement créé ne dispose d'aucune autorisation.
3. Sélectionnez les politiques.
  - Recherchez et sélectionnez la politique AliyunYundunSASReadOnlyAccess. Cette politique système offre à l'ingénieur O&M un accès en lecture seule à Security Center.
  - Recherchez et sélectionnez la politique personnalisée que vous avez créée à l'étape Étape 1 : Création d'une politique personnalisée pour Security Center.
Cliquez sur OK.

Annexe : Politiques d'autorisation personnalisées courantes

Les tableaux ci-dessous répertorient les actions de politique RAM pour les fonctionnalités courantes de Security Center. Accordez ces autorisations aux utilisateurs RAM selon vos besoins.

Remarque

Chaque action définie dans une politique personnalisée correspond généralement à une opération API.

Asset Center

Action dans la politique RAM	Description	API prise en charge
yundun-sas:DescribeCloudCenterInstances	Interroge les ressources, y compris le type de ressource, l'état des alertes de sécurité et le statut de connexion du client.	DescribeCloudCenterInstances
yundun-sas:DescribeFieldStatistics	Interroge les statistiques serveur de vos ressources.	DescribeFieldStatistics
yundun-sas:DescribeCriteria	Interroge les critères de recherche pour la recherche floue des ressources.	DescribeCriteria - Interrogation des critères relatifs aux ressources
yundun-sas:ModifyPushAllTask	Exécute une tâche de vérification de sécurité sur les serveurs.	ModifyPushAllTask
yundun-sas:DeleteGroup	Supprime un groupe de ressources.	DeleteGroup
yundun-sas:DescribeSearchCondition	Interroge les conditions de filtrage des ressources.	DescribeSearchCondition
yundun-sas:DescribeImageStatistics	Interroge les statistiques de risques des ressources d'images de conteneur.	DescribeImageStatistics
yundun-sas:DescribeGroupedTags	Interroge les statistiques des tags de ressources.	DescribeGroupedTags
yundun-sas:DescribeDomainCount	Interroge le nombre de ressources de noms de domaine.	DescribeDomainCount
yundun-sas:DescribeCloudProductFieldStatistics	Interroge les statistiques des services Alibaba Cloud.	DescribeCloudProductFieldStatistics
yundun-sas:DescribeCloudCenterInstances	Interroge les informations sur les ressources.	DescribeCloudCenterInstances
yundun-sas:DescribeAllGroups	Interroge tous les groupes de serveurs.	DescribeAllGroups
yundun-sas:CreateOrUpdateAssetGroup	Crée un groupe de serveurs ou modifie les serveurs d'un groupe.	CreateOrUpdateAssetGroup
yundun-sas:DescribeInstanceStatistics	Interroge les statistiques de risques des ressources.	DescribeInstanceStatistics
yundun-sas:PauseClient	Active ou met en pause le client agent.	PauseClient - Mise en pause ou reprise du client Agent
yundun-sas:ModifyTagWithUuid	Modifie le nom d'un tag de ressource ou met à jour les ressources associées.	ModifyTagWithUuid - Modification du nom ou des ressources associées à un tag de ressource
yundun-sas:RefreshAssets	Synchronise les dernières ressources.	RefreshAssets
yundun-sas:ExportRecord	Exporte les résultats de vérification depuis Asset Center, Cloud Security Posture Management, Image Security Scan, Attack Analysis et AccessKey Pair Leakage Detection vers un fichier Excel.	ExportRecord
yundun-sas:DescribeExportInfo	Interroge la progression d'une tâche d'exportation de ressources.	DescribeExportInfo - Description de la progression d'une exportation de liste de ressources
yundun-sas:DescribeDomainList	Interroge la liste des ressources de noms de domaine.	DescribeDomainList
yundun-sas:DescribeDomainDetail	Interroge les détails d'une ressource de nom de domaine.	DescribeDomainDetail
yundun-sas:DescribeAssetDetailByUuid	Interroge les détails d'une ressource par UUID.	DescribeAssetDetailByUuid

Gestion des vulnérabilités

Action dans la politique RAM	Description	API prise en charge
yundun-sas:DescribeVulWhitelist	Interroge la liste blanche des vulnérabilités avec pagination.	DescribeVulWhitelist
yundun-sas:ModifyOperateVul	Corrige, vérifie ou ignore les vulnérabilités.	ModifyOperateVul
yundun-sas:ModifyVulTargetConfig	Configure la détection des vulnérabilités pour un serveur unique.	ModifyVulTargetConfig
yundun-sas:DescribeConcernNecessity	Interroge la nécessité de corriger les vulnérabilités suivies.	DescribeConcernNecessity
yundun-sas:DescribeVulList	Interroge les informations sur les vulnérabilités par type.	DescribeVulList
yundun-sas:ModifyOperateVul	Corrige, vérifie ou ignore les vulnérabilités.	ModifyOperateVul
yundun-sas:DescribeImageVulList	Répertorie les vulnérabilités détectées par les analyses de sécurité des images et les images de conteneur affectées.	DescribeImageVulList
yundun-sas:ExportVul	Exporte une liste de vulnérabilités.	ExportVul
yundun-sas:DescribeVulExportInfo	Interroge la progression d'une tâche d'exportation des vulnérabilités.	DescribeVulExportInfo

Cloud Security Posture Management

Action dans la politique RAM	Description	API prise en charge
yundun-sas:FixCheckWarnings	Corrige les risques identifiés lors de la vérification des lignes de base.	FixCheckWarnings
yundun-sas:IgnoreHcCheckWarnings	Ignore ou annule l'ignorance des risques identifiés lors de la vérification des lignes de base.	IgnoreHcCheckWarnings - Ignorer ou annuler l'ignorance des menaces dans une ligne de base par lot
yundun-sas:ValidateHcWarnings	Vérifie les risques identifiés lors de la vérification des lignes de base.	ValidateHcWarnings

Références

Éléments de politique d'autorisation : structure d'une politique RAM, incluant les éléments Effect, Action, Resource, Condition et Principal.

Structure et syntaxe des politiques : structure et syntaxe des politiques pour la création ou la mise à jour.

Utilisation de RAM pour gérer les autorisations de plusieurs ingénieurs O&M : contrôle des autorisations pour différents types d'ingénieurs O&M afin de simplifier la gestion des accès.

Utilisation de RAM pour restreindre les adresses IP autorisées à accéder aux ressources Alibaba Cloud : limitation de l'accès aux ressources cloud uniquement depuis des adresses IP spécifiées.

Utilisation de RAM pour restreindre la période durant laquelle les utilisateurs RAM peuvent accéder aux ressources Alibaba Cloud : limitation de l'accès aux ressources cloud à une période définie.