Application Real-Time Monitoring Service：Peran terkait layanan untuk Keamanan Aplikasi

Skenario

Ketika Keamanan Aplikasi perlu mengakses sumber daya Web Application Firewall (WAF), Anda dapat menggunakan peran terkait layanan AliyunServiceRoleForARMSSecurity untuk mendapatkan izin akses.

Izin

Peran terkait layanan AliyunServiceRoleForARMSSecurity memberikan izin berikut untuk mengakses WAF:

{
      "Action": [
        "yundun-waf:ModifyProtectionConfig",
        "yundun-waf:ModifyApplicationsRaspState",
        "yundun-waf:DescribeRiskDependencyStatisticsInfo",
        "yundun-waf:DescribeRiskDependencies",
        "yundun-waf:DescribeRiskCount",
        "yundun-waf:DescribeProtectionStatisticsInfo",
        "yundun-waf:DescribeProtectionConfig",
        "yundun-waf:DescribeMiddlewareInstances",
        "yundun-waf:DescribeDependencyInstances",
        "yundun-waf:DescribeDependencies",
        "yundun-waf:DescribeAttackStatisticsInfo",
        "yundun-waf:DescribeAttacks",
        "yundun-waf:DescribeAttackCount",
        "yundun-waf:DescribeAttackApplicationCount",
        "yundun-waf:DescribeApplications"
        "yundun-waf:GetRaspCommercialStatus"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }

Hapus AliyunServiceRoleForARMSSecurity

Jika Anda ingin menghapus peran terkait layanan AliyunServiceRoleForARMSSecurity, perhatikan konsekuensinya. Setelah penghapusan, Anda tidak dapat melihat halaman konsol yang terkait dengan Keamanan Aplikasi. Jika ingin menggunakan Keamanan Aplikasi lagi, Anda harus memberikan izin ulang.

Untuk menghapus AliyunServiceRoleForARMSSecurity, ikuti langkah-langkah berikut:

1. Masuk ke Konsol RAM sebagai pengguna RAM dengan hak administratif.

2. Di bilah navigasi di sebelah kiri, pilih Identities > Roles.

3. Di halaman Peran, masukkan AliyunServiceRoleForARMSSecurity di kotak pencarian untuk menemukan peran tersebut.

4. Di halaman Roles, temukan pengguna RAM yang ingin Anda hapus dan klik Delete Role di kolom Actions.

5. Di kotak dialog Delete Role, masukkan nama peran RAM dan klik Delete Role.

   Jika kebijakan dilampirkan pada peran RAM, kebijakan tersebut akan dilepaskan ketika Anda menghapus peran RAM.

   Untuk peran RAM yang gagal dihapus, Anda dapat mengklik Role Deletion di sudut kanan atas daftar peran RAM untuk melihat detailnya.

Pertanyaan Umum

T: Mengapa peran terkait layanan AliyunServiceRoleForARMSSecurity tidak dibuat secara otomatis untuk pengguna RAM saya?

J: Peran terkait layanan AliyunServiceRoleForARMSSecurity hanya dapat dibuat atau dihapus secara otomatis untuk pengguna RAM setelah Anda memberikan izin yang diperlukan kepada pengguna RAM tersebut. Jika peran terkait layanan AliyunServiceRoleForARMSSecurity tidak dibuat secara otomatis untuk pengguna RAM, Anda harus melampirkan kebijakan kustom atau kebijakan sistem AliyunARMSFullAccess ke pengguna RAM tersebut.

Kebijakan kustom atau kebijakan sistem AliyunARMSFullAccess dapat digunakan dalam skenario berikut:

• Kebijakan kustom dapat digunakan untuk memberikan pengguna RAM izin baca-saja untuk menggunakan Keamanan Aplikasi.

• Kebijakan sistem AliyunARMSFullAccess dapat digunakan untuk memberikan pengguna RAM semua izin yang diperlukan untuk mengelola ARMS, termasuk izin untuk menggunakan Keamanan Aplikasi.

(Opsional) Langkah 1: Buat kebijakan kustom

1. Masuk ke Konsol RAM sebagai pengguna RAM dengan hak administratif.

2. Di bilah navigasi di sebelah kiri, pilih Permissions > Policies.

3. Di halaman Policies, klik Create Policy.

   

4. Di halaman Create Policy, klik tab JSON. Masukkan skrip berikut di dokumen kebijakan.

   {
     "Statement": [{
       "Action": [
         "ram:CreateServiceLinkedRole"
       ],
       "Resource": "acs:ram:*:ID akun Alibaba Cloud:role/*",
       "Effect": "Allow",
       "Condition": {
         "StringEquals": {
           "ram:ServiceName": [
             "security.arms.aliyuncs.com"
           ]
         }
       }
     }, {
       "Action": "arms:CreateSecurityAuth",
       "Effect": "Allow",
       "Resource": "*"
     }],
     "Version": "1"
   }

   Catatan

   Ganti ID akun Alibaba Cloud Anda dengan ID akun yang sebenarnya.

5. Klik Optimize di bagian atas. Di pesan Optimalkan, klik Perform untuk mengoptimalkan kebijakan.

   Sistem melakukan operasi berikut selama optimasi tingkat lanjut:

   • Pisahkan sumber daya atau kondisi yang tidak kompatibel dengan tindakan.

   • Persempit sumber daya.

   • Hapus duplikat atau gabungkan pernyataan kebijakan.

6. Di halaman Create Policy, klik OK.

7. Di kotak dialog Create Policy, konfigurasikan parameter Name dan Description dan klik OK.

Langkah 2: Lampirkan kebijakan kustom ke pengguna RAM

1. Masuk ke Konsol RAM sebagai administrator RAM.

2. Di bilah navigasi di sebelah kiri, pilih Identities > Users.

3. Di halaman Users, temukan pengguna RAM yang diperlukan, dan klik Add Permissions di kolom Actions.

   

   Anda juga dapat memilih beberapa pengguna RAM dan klik Add Permissions di bagian bawah halaman untuk memberikan izin kepada pengguna RAM sekaligus.

4. Di panel Grant Permission, berikan satu atau lebih izin kepada pengguna RAM.

   1. Atur Resource Scope.

      • Account: Izin berlaku untuk akun Alibaba Cloud saat ini.

      • ResourceGroup: Izin berlaku di grup sumber daya tertentu. Untuk informasi tentang cara memberikan izin ke grup sumber daya, lihat Gunakan grup sumber daya untuk memberikan pengguna RAM izin mengelola instance ECS tertentu.

        Penting

        Sebelum mengatur Resource Scope ke ResourceGroup, pastikan bahwa layanan cloud dan sumber daya yang terlibat mendukung grup sumber daya. Untuk informasi lebih lanjut, lihat Layanan yang bekerja dengan Grup Sumber Daya.

   2. Atur Principal.

      Subjek adalah pengguna RAM yang ingin Anda berikan izin. Sistem secara otomatis memilih grup pengguna RAM saat ini sebagai subjek.

   3. Atur Policy.

      Kebijakan berisi satu set izin. Kebijakan dapat diklasifikasikan menjadi kebijakan sistem dan kebijakan kustom. Anda dapat memilih beberapa kebijakan sekaligus.

      • Kebijakan sistem: kebijakan yang dibuat oleh Alibaba Cloud. Anda dapat menggunakan tetapi tidak dapat memodifikasi kebijakan ini. Pembaruan versi kebijakan dipertahankan oleh Alibaba Cloud. Untuk informasi lebih lanjut, lihat Layanan yang bekerja dengan RAM.

        Catatan

        Sistem secara otomatis mengidentifikasi kebijakan sistem berisiko tinggi, seperti AdministratorAccess dan AliyunRAMFullAccess. Kami menyarankan agar Anda tidak memberikan izin yang tidak perlu dengan melampirkan kebijakan berisiko tinggi.

      • Kebijakan kustom: Anda dapat mengelola dan memperbarui kebijakan kustom berdasarkan persyaratan bisnis Anda. Anda dapat membuat, memperbarui, dan menghapus kebijakan kustom. Untuk informasi lebih lanjut, lihat Buat kebijakan kustom.

   4. Klik Grant permissions.

5. Klik Close.